Google HA VPN-тен Cisco маршрутизаторына: алдымен серіктес ресурсын жоспарлаңыз
Cisco маршрутизаторын конфигурацияламас бұрын Google-дың екі интерфейсін, серіктес ресурсын, IKEv2 келісімін және әрбір BGP сессиясын атаңыз, содан кейін бір немесе екі серіктес таңдаңыз.
Cisco-тан Google-ға дейінгі HA VPN-де бірінші шешім қай крипто профилін қолдану емес, туннельдерді бір жергілікті құрылғы немесе екеуі аяқтайтыны. Google-дың HA VPN шлюзінің екі интерфейсі бар және әрқайсысы сәйкес серіктес туннелін күтеді. Бұл сізге екі маршрутизатор болсын немесе болмасын екі туннель береді, ал айырмашылық бір қуат көзі немесе бағдарламалық жаңарту бүкіл жобаны құлата алатынында.
Шешім бір серіктес құрылғы немесе екі
Орналасуды үш шарт бойынша таңдаңыз: жергілікті ақау нүктесін қабылдай аласыз ба, екі бұлт интерфейсін пайдалану қажет пе және жұмыс жүктемелеріңіз қанша қайта конвергенцияға төзеді. Егер үшеуінің кез келгені қатаң талап болса, екі серіктес құрылғы адал жауап.
Консоль ашпас бұрын осыны шешіңіз, өйткені жауап жұмыс парағы қанша туннель мен BGP сессиясын сипаттауы керектігін өзгертеді.
Кез келген пәрменнен бұрын жұмыс парағын жазыңыз
Жұмыс парағында бес жол бар және әрқайсысына ие қажет:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Сыртқы серіктес ресурсы Google Cloud ішіндегі интерфейстеріңізді сипаттайды және оны құру Cisco маршрутизаторын конфигурацияламайды. Бұл асимметрия бұлт консолі екі ұш үшін де шындық көзі болады деп күтетіндерді таң қалдырады. Бұл Google нені күтуі керектігі туралы мәлімдеме және маршрутизатор оған әлі де сәйкес келуі керек. Google-дың серіктес шлюзінің нұсқаулығы бұл мәлімдемені әлі берешек туннель, BGP, файрвол және IKE жұмысына сәйкестендіреді.
Егер жолда ие болмаса, оны ауысу кезінде кезекшіліктегі адам толтырады.
Үш мекенжай рөлін бөлек ұстаңыз
Жалпыға ортақ серіктес мекенжайлары сыртқы IPsec алмасуын тасымалдайды. Ішкі BGP жұбы оның үстінен өтетін қорғалған логикалық қосылымға жатады. Жарияланған LAN және VPC префикстері сол қосылымның артындағы жұмыс жүктемелерін сипаттайды. VM-нің ішкі мекенжайын сыртқы серіктес өрісіне көшіру алғашқы екі рөлді араластырады, ал ақау деректерді енгізу қатесі емес, келіссөз мәселесі сияқты көрінеді.
Әр HA VPN интерфейсіне бір-бірден екі сәйкес серіктес туннелін жоспарлаңыз. Екі бұлт интерфейсін пайдалану жергілікті ақау нүктесін өздігінен жоймайды, өйткені екі туннель де бір корпуста қонуы мүмкін.
Жұмыс парағындағы әрбір мәннің қасына мекенжай рөлін жазыңыз. Осы бір дағды араласудың көп бөлігін болдырмайды.
Жұмыс парағын Cisco шығарылымына аударыңыз
Қолдау көрсетілетін серіктес құжаттамасынан немесе платформаңызға сәйкес Google конфигурация үлгісінен бастаңыз, содан кейін әрбір орынбасарды жұмыс парағымен үйлестіріңіз. IKEv2 аутентификациясын, ESP ұсыныстарын, PFS және туннель мен маршруттау моделін бірге тексеріңіз, өйткені олардың біріндегі сәйкессіздік әдетте екіншісіндегі сәйкессіздік ретінде көрінеді. Ненің қолдау көрсетілетінін таңдау үшін нақты платформа мен бағдарламалық шығарылымды пайдаланыңыз, өйткені Classic VPN рецепті басқа бастау нүктесі.
Ортақ құпияны скриншоттардан, билет тіркемелерінен және қолдау жазбаларынан алыс ұстаңыз. Іс түсініктемесіне қойылған алдын ала ортақтасқан кілт тіркелгі деректерінің ашылуы, ал ақаулықты жою артефактісі емес.
Егер үлгі мен жұмыс парағы сәйкес келмесе, тоқтап, оны қағазда шешіңіз. Құрылғы сіздің орныңызға төрелік етпейді.
Әрбір туннельді өз дәлелдерімен қабылдаңыз
HA VPN-ге BGP сессиялары қажет, ал сәтті IKE келіссөзі тек бірінші кезеңді орнатады. Ішкі сессия көтерілуі керек, жоспарланған префикстер жарияланып, қабылдануы керек, және пайдалы маршруттар мен файрвол рұқсаттары жұмыс жүктемесінің трафигі қозғалмас бұрын болуы керек. Оларды бір жасыл шам ретінде жазу қай кезеңнің шын мәнінде сәтсіз болғанын жасырады.
Әрбір туннель үшін қабылдау дәлелдерін жазыңыз: келісілген қауіпсіздік бірлестіктері, BGP көршісінің күйі, күтілетін үйренген префикстер және жоспарланған жұмыс жүктемесінің жолы. Содан кейін бақыланатын ақау және қалпына келтіру тексеруін орындаңыз, өйткені ешқашан істен шықпаған туннель — қалпына келтіру жолы сыналмаған туннель.
Бұл жазба келесі жолы дизайн өзгергенде қайта пайдалануға болады және бұл өзара әрекеттестік пен болжамдары жоғалған пәрмен үзіндісінің арасындағы айырмашылық.