Cloud VPN BGP даректери NICте эмес, туннелдин ичинде

VPN үчүн Cloud Router баракчасын ачыңыз, алдыңызда 169.254.0.0/16 ичиндеги дареги бар BGP сессиясы турат. Табигый реакция — ал даректи VMге бир жерге коюп, сессиянын көтөрүлүшүн күтүү. Бул реакция белгилүү бир жактан туура эмес: жуп IPsec туннели түзгөн логикалык байланышка таандык, машинанын кадимки тармак интерфейсине эмес. NICке кошконуңуздун эч бири туннелди BGP ташууга мажбурлабайт.

Жупту хостко кошуунун ордуна стек боюнча ылдый ээрчиңиз.

Консол жупту көрсөткөн жерден баштаңыз

Сессия баракчасы Cloud Routerдин BGP дарегин жана өнөктөш дарегин тизмелейт, IPv4 HA VPN үчүн экөө тең link-local. Алардын жанында туннелдерди аяктаган сырткы шлюз даректери бар. Булар ар башка объектилер: link-local жубу ичинде жашайт, ал эми шлюз даректери сыртта жашайт жана башка нерсе иштеши үчүн алар маршрутталуучу болушу керек.

Конфигурация файлын ачардан мурун үчөөнү тең жазыңыз, анткени аларды аралаштыруу — бул ийгиликсиздиктин толук режими.

Аны ташыган туннелге чейин ылдый түшүңүз

link-local жубу эки шлюздун ортосунда IPsec коопсуздук ассоциациясы болгондон кийин гана мааниге ээ. Google тарапта HA VPN туннелдери аны эки интерфейсте түзөт; сиздин тарапта бул өнөктөш келишкен нерсе. Адегенде swanctl --list-sas менен дайындар ассоциациясын текшерип, кайсы туннель кайсы интерфейсте көтөрүлгөнүн жазыңыз, анткени өлүк туннелдин үстүндөгү соо BGP сессиясы мүмкүн эмес, ал эми үмүттүү конфигурация менен өлүк туннель кадимки көрүнүш.

BGP пакети ички IP трафиги. Сырткы тармак аны эч качан көрбөйт, ошондуктан эч бир коммутаторго эки даректи бир VLANда кармоо керек эмес.

Эми Linux өнөктөшүн шайкеш кылып конфигурациялаңыз

Колдоого алынган туннелдик дизайнды тандап, ички даректерди ошого аныктоого бериңиз. Маршрутка негизделген интерфейсте маршрут жазуусу жана келишилген трафик селекторлору шайкеш келиши керек, анткени интерфейстин аталышы эле эч нерсеге уруксат бербейт. BIRDди ички жергиликтүү дарекке жана Cloud Routerдин ички дарегине багыттаңыз, AS номурларын сессия баракчасынан орнотуңуз жана корголгон жолдун ичинде TCP 179га уруксат бериңиз. Алыскы сырткы дарекке маршрутту физикалык uplinkте кармаңыз, туннель өз ташуусун кармап калбашы үчүн.

Өзүн-өзү маршруттаган туннель — кол алышуу менен жасалган цикл, жана ал бир саат бою өрт дубалынын көйгөйүндөй көрүнөт.

Ар бир баскычты ирети менен текшериңиз, баарын бирден эмес

Баскычтарды өтүңүз: коопсуздук ассоциациясы көтөрүлдү, ички өнөктөш туннелдин дарегинен жеткиликтүү, BGP сессиясы орнотулду, префикстер кабыл алынды, анан жумуш жүгүнүн префикси чындап колдонулду. birdc show protocols үчүнчү суроого жооп берет жана башка эч нерсеге эмес, ошондуктан адамдар жеңишти эрте жарыялашат.

Орнотулган кошуна эки тарап тең сизге керектүү префикстерди жарыялаганына же бул маршруттар артык көрүлүп орнотулганына кепилдик бербейт.

Эгер сессия орнотулган болсо да трафик дагы эле туура эмес жол менен жүрсө, жарыяланган префикстерди маршруттоо таблицасы алар менен эмне кылганы менен салыштырыңыз. Башка жердеги такыраак маршрут же башка жолго артыкчылык сизге иштеген BGP сессиясын берет, бирок пайдалуу өткөрүп берүүнү бербейт.

Муну Router Applianceке колдонуудан мурун токтоңуз

Network Connectivity Center Router Appliance — башка туташуу модели. Анын Cloud Router өнөктөштөрү HA VPNдин link-local жубунун ордуна VPC жана субнетти жайгаштыруудан алынган ички даректерди колдонушат. Эгер чыныгы максат маршруттоочу VM менен BGP болсо, link-local сессиясын көчүрүүнүн ордуна ошол продукттун интерфейс талаптарын аткарыңыз.

link-localдын аймагы дагы эле айтканды билдирет. Логикалык туннель бул коңшулукту камсыз кылат жана VPC боюнча каалаган link-local максаттарын маршруттоого лицензия бербейт.