Cloud VPN BGP adresai priklauso tunelio viduje, o ne tinklo plokštei

Atidarykite VPN skirtą Cloud Router puslapį ir jus pasitinka BGP sesija su adresu 169.254.0.0/16 ribose. Natūrali reakcija yra įdėti tą adresą kur nors į VM ir laukti, kol sesija pakils. Ta reakcija yra klaidinga konkrečiu būdu: pora priklauso loginiam ryšiui, kurį sukuria IPsec tunelis, o ne įprastai mašinos tinklo sąsajai. Niekas, ką pridedate prie NIC, nepriverčia tunelio perduoti BGP.

Sekite pora žemyn krūva, o ne pridėkite ją prie pagrindinio kompiuterio.

Pradėkite ten, kur konsolė rodo porą

Sesijos puslapyje išvardyti Cloud Router BGP adresas ir partnerio adresas, abu link-local IPv4 HA VPN atveju. Šalia jų yra išoriniai šliuzo adresai, kurie užbaigia tunelius. Tai skirtingi objektai: link-local pora gyvena viduje, o šliuzo adresai gyvena išorėje ir turi būti maršrutizuojami, kol dar kas nors veikia.

Užrašykite visus tris prieš atverdami konfigūracijos failą, nes jų supainiojimas yra visas gedimo būdas.

Nusileiskite prie tunelio, kuris jį neša

Link-local pora įgyja prasmę tik tada, kai tarp dviejų šliuzų yra IPsec saugos asociacija. Google pusėje HA VPN tuneliai ją sukuria dviejose sąsajose; jūsų pusėje tai yra tai, dėl ko susitarė partneris. Pirmiausia patikrinkite duomenų asociaciją naudodami swanctl --list-sas ir pasižymėkite, kuris tunelis pakilęs kurioje sąsajoje, nes sveika BGP sesija per negyvą tunelį neįmanoma, o negyvas tunelis su viltyingu nustatymu yra įprastas dalykas.

BGP paketas yra vidinis IP srautas. Išorinis tinklas jo niekada nemato, todėl jokiam komutatoriui nereikia abiejų adresų viename VLAN.

Dabar sukonfigūruokite Linux partnerį, kad atitiktų

Pasirinkite palaikomą tunelio dizainą ir leiskite jam nuspręsti vidinius adresus. Su maršrutais pagrįsta sąsaja maršruto įrašas ir suderinti srauto selektoriai turi sutapti, nes vien sąsajos pavadinimas nieko neleidžia. Nukreipkite BIRD į vidinį vietinį adresą ir Cloud Router vidinį adresą, nustatykite AS numerius iš sesijos puslapio ir leiskite TCP 179 apsaugotame kelyje. Laikykite maršrutą į tolimą išorinį adresą fizinėje jungtyje, kad tunelis nepagautų savo paties transporto.

Tunelis, kuris maršrutizuoja pats save, yra kilpa su rankos paspaudimu, ir valandą atrodys kaip užkardos problema.

Tikrinkite kiekvieną etapą iš eilės, o ne viską iš karto

Pereikite etapus: saugos asociacija pakilusi, vidinis partneris pasiekiamas iš tunelio adreso, BGP sesija užmegzta, prefiksai priimti, tada darbo krūvio prefiksas tikrai naudojamas. birdc show protocols atsako į trečią klausimą ir nieko daugiau, todėl žmonės per anksti skelbia pergalę.

Užmegztas kaimynas nežada, kad abi pusės paskelbė reikalingus prefiksus arba kad tie maršrutai buvo įdiegti kaip pageidaujami.

Jei sesija užmegzta, o srautas vis tiek eina neteisingu keliu, palyginkite paskelbtus prefiksus su tuo, ką su jais daro maršrutizavimo lentelė. Konkretesnis maršrutas kitur arba pirmenybė kitam keliui duoda veikiančią BGP sesiją ir jokio naudingo persiuntimo.

Sustokite prieš tai taikydami Router Appliance

Network Connectivity Center Router Appliance yra kitas prijungimo modelis. Jo Cloud Router partneriai naudoja vidinius adresus iš VPC ir potinklio išdėstymo, o ne HA VPN link-local porą. Jei tikrasis tikslas yra BGP su maršrutizavimo VM, laikykitės to produkto sąsajos reikalavimų, o ne kopijuokite link-local sesiją.

Link-local apimtis vis dar reiškia tai, ką sako. Loginis tunelis suteikia šį kaimyniškumą, ir jis nesuteikia licencijos maršrutizuoti savavališkus link-local tikslus per VPC.