Google HA VPN Cisco маршрутизаторуна: адегенде өнөктөш ресурсун пландаңыз
Cisco маршрутизаторун конфигурациялоодон мурун Google'дун эки интерфейсин, өнөктөш ресурсун, IKEv2 келишимин жана ар бир BGP сессиясын атаңыз, анан бир же эки өнөктөштү тандаңыз.
Cisco'дон Google'га чейинки HA VPNде биринчи чечим кайсы крипто профилин колдонуу эмес, туннелдерди бир жергиликтүү түзмөк же экөө бүтүрөбү. Google'дун HA VPN дарбазасынын эки интерфейси бар жана ар бири тиешелүү өнөктөш туннелин күтөт. Бул сизге эки маршрутизаторуңуз барбы же жокпу, эки туннел берет, ал эми айырма бир электр булагы же программалык жаңыртуу бүт долбоорду кулата алабы же жокпу.
Чечим бир өнөктөш түзмөк же экөө
Жайгаштырууну үч шарт боюнча тандаңыз: жергиликтүү бузулуу чекитин кабыл ала аласызбы, эки булут интерфейсин колдонуу керекпи жана жумуш жүктөрүңүз канча кайра конвергенцияга чыдайт. Эгер үчөөнүн бири катуу талап болсо, эки өнөктөш түзмөк чынчыл жооп.
Консолду ачканга чейин аны чечиңиз, анткени жооп жумуш баракчасы канча туннел жана BGP сессиясын сүрөттөшү керектигин өзгөртөт.
Каалаган буйруктан мурун жумуш баракчасын жазыңыз
Жумуш баракчасында беш сап бар жана ар бирине ээ керек:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Сырткы өнөктөш ресурсу Google Cloud ичиндеги интерфейстериңизди сүрөттөйт жана аны түзүү Cisco маршрутизаторун конфигурациялабайт. Бул асимметрия булут консолу эки учун тең чындыктын булагы болот деп күткөндөрдү таң калтырат. Бул Google эмнени күтүшү керектиги тууралуу билдирүү жана маршрутизатор ага дагы эле туура келиши керек. Google'дун өнөктөш дарбазасынын колдонмосу бул билдирүүнү сиз дагы карыз болгон туннель, BGP, файрвол жана IKE ишине картага салат.
Эгер сапта ээ жок болсо, аны өткөрүү учурунда кезекте турган адам толтурат.
Үч дарек ролун өзүнчө кармаңыз
Коомдук өнөктөш даректери сырткы IPsec алмашууну алып жүрөт. Ички BGP жубу анын үстүндө жүргөн корголгон логикалык туташууга таандык. Жарыяланган LAN жана VPC префикстери ошол туташуунун артындагы жумуш жүктөрүн сүрөттөйт. VMдин ички дарегин сырткы өнөктөш талаасына көчүрүү алгачкы эки ролду аралаштырат, ал эми бузулуу маалымат киргизүү катасы эмес, сүйлөшүү маселесине окшош көрүнөт.
Ар бир HA VPN интерфейси үчүн бирден, эки тиешелүү өнөктөш туннелин пландаңыз. Эки булут интерфейсин колдонуу жергиликтүү бузулуу чекитин өзүнөн өзү жок кылбайт, анткени эки туннел тең бир корпуска конушу мүмкүн.
Жумуш баракчасындагы ар бир маанинин жанына даректин ролун жазыңыз. Ошол бир адат аралашуунун көп бөлүгүн алдын алат.
Жумуш баракчасын Cisco чыгарылышына которуңуз
Колдоого алынган өнөктөш документтеринен же платформаңызга ылайыктуу Google конфигурация шаблонунан баштаңыз, анан ар бир орун толтургучту жумуш баракчасы менен шайкештештириңиз. IKEv2 аутентификациясын, ESP сунуштарын, PFS жана туннель менен маршруттоо моделин бирге текшериңиз, анткени алардын бириндеги шайкешсиздик адатта экинчисиндеги шайкешсиздик катары көрүнөт. Эмне колдоого алынганын тандоо үчүн реалдуу платформаны жана программалык чыгарылышты колдонуңуз, анткени Classic VPN рецепти башка баштапкы чекит.
Жалпы сырды скриншоттордон, билет тиркемелеринен жана колдоо жазууларынан алыс кармаңыз. Иштин комментарийине чапталган алдын ала бөлүшүлгөн ачкыч ыйгарым укуктардын ачылышы, ал эми бузулууну оңдоо артефактысы эмес.
Эгер шаблон менен жумуш баракчасы дал келбесе, токтоп, аны кагазда чечиңиз. Түзмөк сиздин ордуңузга чечим чыгарбайт.
Ар бир туннелди өзүнүн далилдери менен кабыл алыңыз
HA VPNге BGP сессиялары керек, ал эми ийгиликтүү IKE сүйлөшүүсү биринчи этапты гана орнотот. Ички сессия көтөрүлүшү керек, пландалган префикстер жарыяланып, кабыл алынышы керек жана пайдалуу маршруттар менен файрвол уруксаттары жумуш жүктүн трафиги кыймылдаганга чейин болушу керек. Аларды бир жашыл жарык катары жазуу кайсы этап чындыгында ийгиликсиз болгонун жашырат.
Ар бир туннель үчүн кабыл алуу далилдерин жазыңыз: сүйлөшүлгөн коопсуздук бирикмелери, BGP кошунасынын абалы, күтүлгөн үйрөнүлгөн префикстер жана пландалган жумуш жүктүн жолу. Анан көзөмөлдөнгөн бузулуу жана калыбына келтирүү текшерүүсүн жүргүзүңүз, анткени эч качан бузулбаган туннель — калыбына келтирүү жолу сыналбаган туннель.
Бул жазуу кийинки жолу долбоор өзгөргөндө кайра колдонула алат жана бул өз ара аракеттешүү менен божомолдору жоголгон буйрук үзүндүсүнүн ортосундагы айырма.