Google HA VPN에서 Cisco 라우터로: 피어 리소스를 먼저 계획하세요
Cisco 라우터를 구성하기 전에 Google의 두 인터페이스, 피어 리소스, IKEv2 계약, 각 BGP 세션을 명명한 다음 피어를 하나 또는 둘로 선택하세요.
Cisco에서 Google로 가는 HA VPN의 첫 번째 결정은 어떤 암호화 프로필을 쓸지가 아니라, 터널을 온프레미스 장비 한 대가 끝낼지 두 대가 끝낼지입니다. Google의 HA VPN 게이트웨이에는 두 개의 인터페이스가 있고, 각각은 대응하는 피어 터널을 기대합니다. 이는 라우터가 두 대이든 아니든 두 개의 터널을 제공하며, 차이는 전원 공급 장치 하나나 소프트웨어 업그레이드 하나로 전체 설계가 무너질 수 있는지에 있습니다.
결정은 피어 장비 한 대 또는 두 대입니다
세 가지 조건으로 배치를 선택하세요: 로컬 장애 지점을 받아들일 수 있는지, 두 클라우드 인터페이스를 모두 사용해야 하는지, 워크로드가 얼마나 많은 재수렴을 견디는지입니다. 세 가지 중 하나라도 엄격한 요구 사항이라면 피어 장비 두 대가 정직한 답입니다.
콘솔을 열기 전에 그것을 결정하세요, 답에 따라 워크시트가 설명해야 할 터널과 BGP 세션 수가 달라지기 때문입니다.
어떤 명령보다도 먼저 워크시트를 작성하세요
워크시트에는 다섯 개의 행이 있고, 각 행에는 담당자가 필요합니다:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
외부 피어 리소스는 Google Cloud 내부의 인터페이스를 설명하며, 이를 만들어도 Cisco 라우터가 구성되지는 않습니다. 이 비대칭성은 클라우드 콘솔이 양쪽 끝의 진실 원천이 될 것이라고 기대하는 사람들을 놀라게 합니다. 그것은 Google이 무엇을 기대해야 하는지에 대한 선언이며, 라우터는 여전히 그에 맞아야 합니다. Google의 피어 게이트웨이 가이드 는 그 선언을 아직 갚아야 할 터널, BGP, 방화벽, IKE 작업에 매핑합니다.
행에 담당자가 없으면 전환 중에 근무하는 사람이 그것을 채웁니다.
세 가지 주소 역할을 분리하세요
공용 피어 주소는 외부 IPsec 교환을 전달합니다. 내부 BGP 쌍은 그 위로 흐르는 보호된 논리 연결에 속합니다. 광고되는 LAN 및 VPC 접두사는 그 연결 뒤의 워크로드를 설명합니다. VM의 내부 주소를 외부 피어 필드에 복사하면 처음 두 역할이 섞이고, 장애는 데이터 입력 오류가 아니라 협상 문제처럼 보입니다.
각 HA VPN 인터페이스에 하나씩, 대응하는 피어 터널 두 개를 계획하세요. 두 클라우드 인터페이스를 모두 사용해도 두 터널이 같은 섀시에 착지할 수 있으므로 로컬 장애 지점 자체가 사라지지는 않습니다.
워크시트의 각 값 옆에 주소 역할을 적으세요. 그 하나의 습관이 대부분의 혼합을 막습니다.
워크시트를 Cisco 릴리스로 번역하세요
지원되는 피어 문서나 플랫폼에 맞는 Google 구성 템플릿에서 시작한 다음 모든 자리 표시자를 워크시트와 맞추세요. IKEv2 인증, ESP 제안, PFS, 터널 및 라우팅 모델을 함께 확인하세요, 그중 하나의 불일치는 보통 다른 것의 불일치로 나타나기 때문입니다. 지원되는 것을 선택하려면 실제 플랫폼과 소프트웨어 릴리스를 사용하세요, Classic VPN 레시피는 다른 출발점이기 때문입니다.
공유 비밀은 스크린샷, 티켓 첨부 파일, 지원 노트에서 빼 두세요. 케이스 댓글에 붙여 넣은 사전 공유 키는 자격 증명 노출이며 문제 해결 산출물이 아닙니다.
템플릿과 워크시트가 어긋나면 멈추고 종이 위에서 해결하세요. 장비가 당신을 대신해 판정하지는 않습니다.
각 터널을 그 자체의 증거로 받아들이세요
HA VPN에는 BGP 세션이 필요하고, 성공적인 IKE 협상은 첫 단계만 설정합니다. 내부 세션이 올라와야 하고, 의도한 접두사가 광고되어 수락되어야 하며, 워크로드 트래픽이 움직이기 전에 유용한 경로와 방화벽 권한이 존재해야 합니다. 그것들을 하나의 초록불로 기록하면 어느 단계가 실제로 실패했는지가 숨겨집니다.
터널별로 수락 증거를 기록하세요: 협상된 보안 연결, BGP 이웃 상태, 예상 학습 접두사, 의도한 워크로드 경로입니다. 그런 다음 통제된 장애 및 복구 점검을 실행하세요, 한 번도 실패한 적 없는 터널은 복구 경로가 시험되지 않은 터널이기 때문입니다.
그 기록은 다음에 설계가 바뀔 때 다시 쓸 수 있으며, 상호 운용과 가정이 유실된 명령 조각 사이의 차이입니다.