BGP-Adresse vum Cloud VPN gehéieren an den Tunnel, net op eng Netzwierkkarte

Maacht d'Cloud Router-Säit fir de VPN op, an eng BGP-Sessioun mat enger Adress an 169.254.0.0/16 kuckt Iech un. Déi natierlech Reaktioun ass, déi Adress iergendwou op der VM ze setzen an ze waarden, datt d'Sessioun eropkënnt. Déi Reaktioun ass op eng bestëmmte Manéier falsch: d'Puer gehéiert zu der logescher Verbindung, déi den IPsec-Tunnel schaaf, net zu der gewéinlecher Netzwierkinterface vun der Maschinn. Näischt, wat Dir op d'NIC setzt, bréngt den Tunnel dozou, BGP ze droen.

Follegt dem Puer de Stack erof, amplaz et op den Host ze setzen.

Fänkt do un, wou d'Konsole d'Puer weist

D'Sessiounssäit lëscht eng Cloud Router BGP-Adress an eng Peer-Adress op, allebéid link-local fir eng IPv4 HA VPN. Nieft hinnen sinn déi baussenzeg Gateway-Adressen, déi d'Tunnele terminéieren. Dat sinn ënnerschiddlech Objeten: d'Link-Local-Puer lieft dobannen, an d'Gateway-Adressen liewe baussen a musse routbar sinn, ier eppes anescht funktionéiert.

Schreift all dräi op, ier Dir eng Konfiguratiounsdatei opmaacht, well se ze verwiesselen ass de ganzen Feelmode.

Gitt erof bis zum Tunnel, deen et dréit

D'Link-Local-Puer heescht eppes, soubal eng IPsec-Sécherheetsassociatioun tëscht den zwou Gatewaye besteet. Op der Google-Säit schaafen d'HA VPN-Tunnele se op den zwou Interfaceen; op Ärer Säit ass et dat, wat de Peer verhandelt huet. Préift fir d'éischt d'Dateassociatioun mam swanctl --list-sas a schreift op, wéi en Tunnel op wéi enger Interface erop ass, well eng gesond BGP-Sessioun iwwer en doudegen Tunnel net méiglech ass an en doudegen Tunnel mat enger hoffnungsvoller Konfiguratioun allgemeng ass.

De BGP-Paket ass bannenzege IP-Trafic. D'baussenzegt Netzwierk gesäit en ni, also brauch keen Switch déi zwou Adressen op engem VLAN.

Konfiguréiert elo de Linux-Peer, datt en entsprécht

Wielt dee ënnerstëtzten Tunneldessin a loosst hien d'bannenzeg Adressen entscheeden. Mat enger routingbaséierter Interface mussen de Routing-Andrag an déi verhandelt Trafficselectoren iwwerenee stëmmen, well en Interface-Numm eleng näischt erlaabt. Riicht BIRD op déi bannenzeg lokal Adress an op déi bannenzeg Adress vum Cloud Router, setzt d'AS-Nummeren aus der Sessiounssäit, a erlaabt TCP 179 am geschützte Wee. Hält d'Route zur wäiter baussenzeger Adress um physeschen Uplink, soudatt den Tunnel säin eegenen Transport net fänkt.

En Tunnel, deen sech selwer routéiert, ass eng Schleif mat engem Handshake, an en wäert eng Stonn laang wéi e Firewall-Problem ausgesinn.

Préift all Stuf der Rei no, net alles op eemol

Gitt d'Stufen duerch: Sécherheetsassociatioun erop, bannenzege Peer vun der Tunneladress aus erreechbar, BGP-Sessioun opgebaut, Präfixer akzeptéiert, duerno e Workload-Präfix deen tatsächlech benotzt gëtt. birdc show protocols beäntwert déi drëtt Fro an näischt anescht, an dofir erklären d'Leit fréi de Sieg.

En opgebauten Noper versprécht net, datt béid Säiten d'Präfixer annoncéiert hunn, déi Dir braucht, oder datt déi Routen als bevorzugt installéiert goufen.

Wann d'Sessioun opgebaut ass an den Traffic awer de falsche Wee hëlt, vergläicht d'annoncéiert Präfixer mat deem, wat d'Routingstabell domat mécht. Eng méi spezifesch Route soss anzwousch, oder eng Preferenz fir en anere Wee, gëtt Iech eng funktionéierend BGP-Sessioun an keen nëtzlecht Weiderleeden.

Stoppt, ier Dir dëst op Router Appliance uwendt

Network Connectivity Center Router Appliance ass en anere Uschlossmodell. Seng Cloud Router-Peere benotzen intern Adressen aus der VPC- a Subnetz-Andeelung amplaz vum HA VPN Link-Local-Puer. Wann d'real Zil BGP mat enger Routing-VM ass, follegt de Interface-Ufuerderunge vun deem Produkt amplaz eng Link-Local-Sessioun ze kopéieren.

De Link-Local-Ëmfang heescht nach ëmmer dat, wat en seet. Den logeschen Tunnel liwwert dës Nopeschschaft, an en erlaabt net, arbiträr Link-Local-Ziler iwwer d'VPC ze routen.