GCP HA VPN: BGP-Sessioun hänkt bei Waiting for peer, den Adresspaar getosch
Eng Cloud VPN BGP-Sessioun, déi bei Waiting for peer hänkt, huet meeschtens d'Tunnel- an d'Peer-Adress getosch. Kontrolléiert d'Paar, ier Dir eppes nei opbaut.
Eng BGP-Sessioun, déi op engem Cloud VPN-Tunnel ni Established erreecht, ass meeschtens kee Routingproblem. Et ass e Verkabelungsproblem: zwou Adressen, déi sech géigesäiteg spigele mussen, goufen an der falscher Reihenfolg aginn, oder d'Paar vum éischten Tunnel gouf um zweete benotzt. Den Tunnel selwer kann komplett gesond sinn, während d'Sessioun bei Waiting for peer steet, well IPsec a BGP getrennt Verhandlunge tëscht deene selwen zwee Endpunkte sinn. Entscheet, wéi eng vun deenen zwee futti ass, ier Dir eppes nei opbaut.
Eng Fro entscheet déi meescht Fäll: gesäit den Peer-Gerät d'Adress vum Cloud Router iwwerhaapt?
Tunnelstatus a Sessiounsstatus si verschidden Kontrollen
IKE an ESP komme fir d'éischt. Wann den Tunnel net opgeriicht ass, spillt näischt dobannen eng Roll an d'Diskussioun iwwer d'BGP-Adress ass ze fréi. Liest de Status an de detailléierte Status vum Tunnel, duerno de BGP-Peerstatus vum Router fir dee selwen Tunnel.
En Tunnel, deen uewen ass, während säi BGP-Peer ënnen ass, enkert de Feeler op d'Sessioun an: Peer-Adress, ASN oder TCP 179, deen op der banneschter Adress ukommt. En Tunnel uewen, eng Sessioun uewen an nach ëmmer keng Route an der VPC dat ass den drëtte Fall. Adressen ze änneren hëlleft do net, well d'Sessioun schonn funktionéiert an de Prefix einfach net annoncéiert oder net bevorzugt gëtt. Dës dräi Fäll ausernee ze halen ass de gréissten Deel vun der Aarbecht.
Jeden Tunnel brauch säin eegent /30, mat béide Säiten ausgefëllt
Jeden HA VPN-Tunnel kritt en link-local /30 aus 169.254.0.0/16, eng Adress um Interface vum Cloud Router an déi aner bei Ärem Peer. D'Peer-Feld muss de wäiten Enn nennen, ni d'Adress vum Router selwer.
Zwee Tunnelen heescht zwee Interfaces um Cloud Router, jiddwereen mat engem aneren /30. D'Paar vum Tunnel 0 um Tunnel 1 nach eng Kéier ze benotzen ass dee Feeler, deen an enger Iwwersiichtstabell uerdentlech ausgesäit an am OPEN-Paket stierft.
| Tunnel | Router interface | Peer address | What a swap produces |
|---|---|---|---|
| tunnel 0 | 169.254.1.1/30 | 169.254.1.2 | OPEN sent to itself or to nothing; session waits |
| tunnel 1 | 169.254.1.5/30 | 169.254.1.6 | same failure on the second session |
| both | one pair reused | one address reused | one session up, the other never leaves waiting |
Liest d'Paar aus der Ressource vum Router an net aus der Iwwersiicht vun der Konsole. D'Iwwersiicht listet d'Peer-Adress an enger Kolonn, déi een einfach falsch liest, an den ipRange vum Interface plus d'peerIpAddress vum Peer musse géigeniwwerlei Enner vun engem /30 beschreiwen.
Den Tausch geschitt meeschtens wärend engem Neiopbau
Et ass beim Neiopbau vun engem Tunnel, datt d'Paaren sech kräizen. D'Peer-Adress vum ale Tunnel gëtt an d'Interfacefeld vum neien kopéiert, oder d'nei Sessioun gëtt op de Peer vun der viregter Sessioun geriicht. Esou oder esou schéckt de Cloud Router OPEN-Paketen un eng Adress, déi elo hie selwer ass, oder un eng Adress ouni Tunnel hannendrun.
Schreift d'Paaren op, ier Dir d'Konsole opmaacht: Tunnelnumm, Interface, Router-Adress, Peer-Adress, Peer-ASN. Erstellt duerno béid Tunnelen an engem Passage, sou datt deen zweete net aus de Reschter vum éischten ausgefëllt gëtt.
Dräi aner Grënn, firwat eng Sessioun waart
Den ASN vum Peer ass deen éischten: all Säit muss mam ASN vun der anerer Säit konfiguréiert sinn, an eng Ongereimteschkeet erreecht de Peer awer riicht sech ni op. Den zweete ass d'Firewall vum Peer selwer, déi TCP 179 um Tunnel-Interface mussen erlaben; eng IKE- oder ESP-Reeg deckt dat net of. Den drëtten ass e Peer, dee vun enger anerer Quelladress äntwert wéi déi, déi als säin Noper konfiguréiert ass.
De Log vum Peer selwer ass den Ënnerscheeder. Wann seng BGP-Iwwersiicht kee Noper fir déi Adress opzielt, komme keng Paketen un an d'Paar oder de Wee ass falsch. Wann den Noper an Active oder Connect steet, komme Paketen un an d'Sessiounsparameteren triede sech net.
Kontrolléiert an der Rei, wéi d'Paketen reesen
Schafft no baussen: Tunnelstatus, duerno de BGP-Peerstatus vum Router, duerno d'BGP-Iwwersiicht vum Peer, duerno d'Routen. Wann déi éischt zwee gesond sinn, léisst d'Cloud VPN-Säit a Rou a schafft um Peer-Gerät. Wann de Router de Peer als ënnen ugëtt an Äert Gerät keng Noperen huet, ass d'Paar falsch oder de BGP-Port gëtt gefiltert. Eng Paketoflëssung um Tunnel-Interface vum Peer entscheet dat an engem Bléck, well OPEN-Paketen entweder do ukommen oder ni.
gcloud compute routers get-status ROUTER --region=REGION dréckt de Peerstatus nieft der Adress, déi en benotzt, an dat ass genee d'Paar, dat Dir vergläiche musst.
Soubal d'Sessioun sech opgeriicht huet, bestätegt, datt de geléierte Prefix an der Routetabelle vun der VPC erschéngt an datt een Host op all Säit äntwert. Schrieft duerno déi endgülteg Paaren nieft den Tunnelnimm op, sou datt den nächsten Neiopbau vun enger geprüfter Tabell aus geet an net vun der Iwwersiicht vun der Konsole.