Google HA VPN op engem Cisco-Router: plangt d'Peer-Ressource als éischt
Nennt béid Google-Interfacen, d'Peer-Ressource, den IKEv2-Kontrakt an all BGP-Sessioun, ier Dir den Cisco-Router konfiguréiert, a wielt duerno een Peer oder zwee.
Déi éischt Entscheidung an enger HA VPN vu Cisco op Google ass net, wéi ee Krypto-Profil benotzt gëtt, mä ob een lokalen Apparat oder zwee d'Tunnelen terminéieren. D'HA VPN-Gateway vu Google huet zwee Interfacen, a jidderee erwaart en entspriechenden Peer-Tunnel. Dat gëtt Iech zwee Tunnelen, egal ob Dir zwee Router hutt oder net, an den Ënnerscheed ass, ob eng eenzeg Stroumversuergung oder e Software-Upgrade de ganzen Design ka rëmmer bréngen.
D'Entscheidung ass een Peer-Apparat oder zwee
Wielt de Layout op Basis vun dräi Konditiounen: ob Dir e lokale Feelerpunkt akzeptéiere kënnt, ob béid Cloud-Interfacen benotzt musse ginn, a wéi vill Rekonvergenz Är Workloads toleréieren. Wann ee vun den dräi eng haart Ufuerderung ass, sinn zwee Peer-Apparater déi éierlech Äntwert.
Entscheet dat, ier Dir eng Konsole opmaacht, well d'Äntwert änert, wéi vill Tunnelen a BGP-Sessiounen de Wierksblat muss beschreiwen.
Schreift de Wierksblat virun all Kommando
De Wierksblat huet fënnef Reien, an jidderee brauch en Eegentemer:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Déi extern Peer-Ressource beschreift Är Interfacen an Google Cloud, an hir Kreatioun konfiguréiert den Cisco-Router net. Dës Asymmetrie iwwerrascht Leit, déi erwaarden, datt d'Cloud-Konsole d'Wourechtquell fir béid Enner ass. Et ass eng Deklaratioun vun deem, wat Google erwaarde soll, an de Router muss nach ëmmer dozou passen. Dem Google seng Peer-Gateway-Guide mappt déi Deklaratioun op d'Tunnel-, BGP-, Firewall- an IKE-Aarbecht, déi Dir nach schëlleg sidd.
Wann eng Rei keen Eegentemer huet, gëtt se vun deem gefëllt, deen während der Ëmstellung am Déngscht ass.
Halt déi dräi Adressrollen auserneen
Déi ëffentlech Peer-Adressen droen den äusseren IPsec-Austausch. Déi bannenzeg BGP-Puer gehéiert zu der geschützter logescher Verbindung, déi driwwer leeft. Déi annoncéiert LAN- a VPC-Präfixer beschreiwen d'Workloads hannert där Verbindung. Eng intern VM-Adress an d'extern Peer-Feld ze kopéieren vermëscht déi éischt zwou Rollen, an de Feeler gesäit aus wéi e Verhandlungsproblem anstatt wéi e Dateeingabefehler.
Plangt zwee entspriechend Peer-Tunnelen, een fir all HA VPN-Interface. Béid Cloud-Interfacen ze benotzen hëlt de lokale Feelerpunkt net vun sech aus ewech, well béid Tunnelen nach ëmmer op déiselwecht Chassis lande kënnen.
Schreift d'Adressroll niewent all Wäert am Wierksblat. Dee een eenzegen Habit verhënnert de gréissten Deel vun der Vermëschung.
Iwwersetzt de Wierksblat an d'Cisco-Versioun
Fänkt mat der ënnerstëtzter Peer-Dokumentatioun oder engem passenden Google-Konfiguratiounstemplate fir Är Plattform un, a gläicht duerno all Plazhalter mam Wierksblat of. Kontrolléiert IKEv2-Authentifikatioun, ESP-Virschléi, PFS an de Tunnel- a Routingmodell zesummen, well eng Onstëmmegkeet an engem vun hinnen sech meeschtens als Onstëmmegkeet an engem aneren weist. Benotzt déi tatsächlech Plattform a Software-Versioun, fir auszewielen, wat ënnerstëtzt gëtt, well e Classic VPN-Rezept en aneren Ausgangspunkt ass.
Halt de gedeelte Geheimnis aus Screenshots, Ticket-Uschléiss an Support-Notizen eraus. En im Viraus gedeelte Schlëssel, deen an e Fallkommentar agefüügt gëtt, ass eng Offenlegung vun Zoustänn, keen Artefakt fir d'Feelerbehebung.
Wann den Template an de Wierksblat net iwwerenee stëmmen, stoppt a léist et um Pabeier. Den Apparat wäert net fir Iech schlichten.
Akzeptéiert all Tunnel mat sengen eegenen Beweiser
HA VPN brauch BGP-Sessiounen, an eng erfollegräich IKE-Verhandlung stellt nëmmen déi éischt Phas hier. Déi bannenzeg Sessioun muss eropkommen, déi virgesinn Präfixer mussen annoncéiert an akzeptéiert ginn, a nëtzlech Route souwéi Firewall-Berechtegungen mussen existéieren, ier de Workload-Trafic sech beweegt. Dat als een eenzelt gréngt Luucht ze notéieren, verstoppt, wéi eng Phas tatsächlech versot huet.
Notéiert Akzeptanzbeweiser pro Tunnel: ausgehandelt Sécherheetsassociatiounen, BGP-Noperstatus, erwaarde geléiert Präfixer an de virgesinne Workload-Wee. Maacht duerno eng kontrolléiert Feeler- a Restauratiounspréifung, well en Tunnel, deen ni versot huet, en Tunnel ass, deem säi Restauratiounswee net getest ginn ass.
Dee Rekord ass erëm benotzbar, wann den Design sech nächst änert, an et ass den Ënnerscheed tëscht enger Interoperabilitéit an engem Kommandofragment, deem seng Viraussetzunge verluer gaange sinn.