GCP HA VPN: BGP сессиясы Waiting for peer абалында илинип калат, дарек жуптарынын алмашуусу
Cloud VPN BGP сессиясы Waiting for peer абалында илинип калса, адатта туннелдин жана теңдештин даректери алмашып кеткен. Бир нерсени кайра куруудан мурун жупту текшериңиз.
Cloud VPN туннелинде эч качан Established абалына жетпеген BGP сессиясы адатта маршруттоо маселеси эмес. Бул зым маселеси: бири-бирин күзгүдөй кайталашы керек болгон эки дарек туура эмес тартипте киргизилген, же биринчи туннелдин жубу экинчисинде кайра колдонулган. Туннелдин өзү толук соо болушу мүмкүн, ал эми сессия Waiting for peer абалында турат, анткени IPsec менен BGP ошол эки четки чекиттин ортосундагы өзүнчө сүйлөшүүлөр. Бир нерсени кайра куруудан мурун ушул экөөнүн кайсынысы бузулганын аныктаңыз.
Бир суроо көпчүлүк учурларды чечет: теңдеш түзмөк Cloud Router дарегин таптакыр көрөбү?
Туннелдин абалы менен сессиянын абалы өзүнчө текшерүүлөр
Алгач IKE жана ESP келет. Туннел орнотулбаган болсо, анын ичиндеги эч нерсе маанилүү эмес жана BGP дареги тууралуу сүйлөшүү эрте. Туннелдин абалын жана толук абалын окуңуз, анан ошол эле туннел үчүн маршруттагычтын BGP теңдеш абалын окуңуз.
Туннел иштеп турганда анын BGP теңдеши өчүк болсо, бузулуу сессияга чейин куушурат: теңдештин дареги, ASN же ички дарекке келген TCP 179. Туннел иштеп турат, сессия иштеп турат жана VPC ичинде азырынча маршрут жок бул үчүнчү учур. Даректерди өзгөртүү анда жардам бербейт, анткени сессия мурунтан иштеп турат жана префикс жөн гана жарыяланбайт же артык көрүлбөйт. Бул үч учурду өзүнчө кармоо иштин чоң бөлүгү.
Ар бир туннелге эки учу толтурулган өзүнүн /30 керек
Ар бир HA VPN туннели 169.254.0.0/16 ичинен link-local /30 алат, бир дарек Cloud Router интерфейсинде, экинчиси сиздин теңдешиңизде. Теңдеш талаасы алыскы учун көрсөтүүгө тийиш, эч качан маршруттагычтын өз дарегин эмес.
Эки туннел Cloud Routerдо эки интерфейс дегенди билдирет, ар бири башка /30 менен. 0 туннелдин жубу 1 туннелде кайра колдонуу жыйынтык таблицада тыкан көрүнгөн жана OPEN пакетинде өлгөн ката.
| Tunnel | Router interface | Peer address | What a swap produces |
|---|---|---|---|
| tunnel 0 | 169.254.1.1/30 | 169.254.1.2 | OPEN sent to itself or to nothing; session waits |
| tunnel 1 | 169.254.1.5/30 | 169.254.1.6 | same failure on the second session |
| both | one pair reused | one address reused | one session up, the other never leaves waiting |
Жупту консолдук жыйынтыктан эмес, маршруттагычтын ресурсунан окуңуз. Жыйынтык теңдештин дарегин туура эмес окууга оңой болгон тилкеде көрсөтөт, ал эми интерфейстин ipRange жана теңдештин peerIpAddress бир /30дун карама-каршы учтарын сүрөттөшү керек.
Алмашуу адатта кайра куруу учурунда болот
Жуптар дал туннелди кайра курганда айкашат. Эски туннелдин теңдеш дареги жаңы туннелдин интерфейс талаасына көчүрүлөт, же жаңы сессия мурунку сессиянын теңдешине багытталат. Кандай болбосун Cloud Router OPEN пакеттерин эми өзү болуп саналган дарекке же артында туннел жок дарекке жөнөтөт.
Консолду ачардан мурун жуптарды жазып алыңыз: туннелдин аты, интерфейс, маршруттагычтын дареги, теңдештин дареги, теңдештин ASN. Анан эки туннелди бир жолу менен түзүңүз, экинчиси биринчинин калдыктары менен толтурулбасын.
Сессиянын күтүүсүнүн дагы үч себеби
Биринчиси теңдештин ASN: ар бир тарап каршы тараптын ASN менен конфигурацияланышы керек, ал эми дал келбестик теңдешке жетет, бирок эч качан орнотулбайт. Экинчиси теңдештин өзүнүн файрволу, ал туннелдин интерфейсинде TCP 179га уруксат бериши керек; IKE же ESP эрежеси муну камтыбайт. Үчүнчүсү өзүнүн коңшусу катары конфигурацияланган даректен башка булак дарегинен жооп берген теңдеш.
Теңдештин өз журналы айырмалоочу белги. Эгер анын BGP жыйынтыгында ошол дарек үчүн коңшу жок болсо, пакеттер келбейт жана жуп же жол туура эмес. Эгер коңшу Active же Connect абалында турса, пакеттер келет, ал эми сессиянын параметрлери дал келбейт.
Пакеттер жүргөн тартипте текшериңиз
Сыртка карай иштеңиз: туннелдин абалы, анан маршруттагычтын BGP теңдеш абалы, анан теңдештин BGP жыйынтыгы, анан маршруттар. Эгер алгачкы экөө соо болсо, Cloud VPN тарабын оңдоону токтотуп, теңдеш түзмөгүндө иштеңиз. Эгер маршруттагыч теңдешти өчүк деп билдирсе жана түзмөгүңүздө коңшу жок болсо, жуп туура эмес же BGP порту чыпкаланган. Теңдештин туннел интерфейсинде пакеттерди кармоо муну бир караш менен чечет, анткени OPEN пакеттери же ошол жерге жетет, же эч качан жетпейт.
gcloud compute routers get-status ROUTER --region=REGION теңдештин абалын ал колдонуп жаткан даректин жанына басып чыгарат, жана бул дал салыштырууга тийиш болгон жуп.
Сессия орнотулгандан кийин үйрөнүлгөн префикстин VPC маршрут таблицасында пайда болгонун жана ар тарапта бирден хост жооп бергенин тастыктаңыз. Анан акыркы жуптарды туннел аттарынын жанына жазып коюңуз, кийинки кайра куруу консолдук жыйынтыктан эмес, текшерилген таблицадан башталсын.