Google HA VPN į Cisco maršrutizatorių: pirmiausia suplanuokite lygiaverčio išteklių
Prieš konfigūruodami Cisco maršrutizatorių, įvardykite abi Google sąsajas, lygiaverčio išteklių, IKEv2 sutartį ir kiekvieną BGP sesiją, tada pasirinkite vieną lygiavertį arba du.
Pirmasis sprendimas HA VPN tinkle nuo Cisco iki Google yra ne tai, kurį šifravimo profilį naudoti, o tai, ar tunelius užbaigs vienas vietinis įrenginys, ar du. Google HA VPN šliuzas turi dvi sąsajas, ir kiekviena tikisi atitinkamo lygiaverčio tunelio. Tai suteikia du tunelius nepriklausomai nuo to, ar turite du maršrutizatorius, o skirtumas yra tas, ar vienas maitinimo šaltinis ar programinės įrangos naujinimas gali sugriauti visą projektą.
Sprendimas yra vienas lygiavertis įrenginys arba du
Pasirinkite išdėstymą pagal tris sąlygas: ar galite priimti vietinį gedimo tašką, ar turi būti naudojamos abi debesijos sąsajos ir kiek perkongvergencijos toleruoja jūsų darbo krūviai. Jei kuri nors iš trijų yra griežtas reikalavimas, du lygiaverčiai įrenginiai yra sąžiningas atsakymas.
Nuspręskite tai prieš atidarydami konsolę, nes atsakymas keičia, kiek tunelių ir BGP sesijų turi aprašyti darbo lapas.
Parašykite darbo lapą prieš bet kurią komandą
Darbo lape yra penkios eilutės, ir kiekvienai reikia savininko:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Išorinis lygiaverčio išteklius aprašo jūsų sąsajas Google Cloud viduje, o jo sukūrimas nesukonfigūruoja Cisco maršrutizatoriaus. Ši asimetrija nustebina tuos, kurie tikisi, kad debesijos konsolė bus tiesos šaltinis abiem galams. Tai pareiškimas apie tai, ko Google turėtų tikėtis, o maršrutizatorius vis tiek turi jį atitikti. Google lygiaverčio šliuzo vadovas susieja tą pareiškimą su tunelio, BGP, ugniasienės ir IKE darbu, kurį dar esate skolingi.
Jei eilutė neturi savininko, ją užpildys tas, kas perėjimo metu yra budėjime.
Laikykite tris adresų roles atskirai
Viešieji lygiaverčio adresai perneša išorinį IPsec mainus. Vidinė BGP pora priklauso apsaugotam loginiam ryšiui, kuris eina per juos. Skelbiami LAN ir VPC priešdėliai aprašo darbo krūvius už to ryšio. Vidinio VM adreso nukopijavimas į išorinį lygiaverčio lauką sumaišo pirmąsias dvi roles, o gedimas atrodo kaip derybų problema, o ne duomenų įvesties klaida.
Suplanuokite du atitinkamus lygiaverčio tunelius, po vieną kiekvienai HA VPN sąsajai. Abiejų debesijos sąsajų naudojimas savaime nepanaikina vietinio gedimo taško, nes abu tuneliai vis tiek gali nusileisti ant to paties korpuso.
Parašykite adreso rolę prie kiekvienos darbo lapo vertės. Šis vienas įprotis užkerta kelią didžiajai daliai sumaišymo.
Išverskite darbo lapą į Cisco leidimą
Pradėkite nuo palaikomos lygiaverčio dokumentacijos arba jūsų platformai tinkančio Google konfigūracijos šablono, tada suderinkite kiekvieną vietos laikiklį su darbo lapu. Patikrinkite IKEv2 autentifikavimą, ESP pasiūlymus, PFS ir tunelio bei maršrutizavimo modelį kartu, nes vieno iš jų neatitikimas paprastai pasireiškia kaip kito neatitikimas. Naudokite faktinę platformą ir programinės įrangos leidimą, kad pasirinktumėte, kas palaikoma, nes Classic VPN receptas yra kitas pradžios taškas.
Laikykite bendrą paslaptį atokiau nuo ekrano kopijų, bilietų priedų ir palaikymo pastabų. Į bylos komentarą įklijuotas iš anksto bendrinamas raktas yra prisijungimo duomenų atskleidimas, o ne trikčių šalinimo artefaktas.
Jei šablonas ir darbo lapas nesutampa, sustokite ir išspręskite tai popieriuje. Įrenginys nearbitruos už jus.
Priimkite kiekvieną tunelį pagal jo paties įrodymus
HA VPN reikia BGP sesijų, o sėkmingos IKE derybos nustato tik pirmąjį etapą. Vidinė sesija turi pakilti, numatyti priešdėliai turi būti skelbiami ir priimami, o naudingi maršrutai ir ugniasienės leidimai turi egzistuoti prieš judant darbo krūvio srautui. Tai užrašius kaip vieną žalią šviesą, paslepiama, kuris etapas iš tikrųjų nepavyko.
Užrašykite priėmimo įrodymus kiekvienam tuneliui: suderintos saugos asociacijos, BGP kaimyno būsena, tikėtini išmokti priešdėliai ir numatytas darbo krūvio kelias. Tada atlikite kontroliuojamą gedimo ir atkūrimo patikrą, nes tunelis, kuris niekada nebuvo sugedęs, yra tunelis, kurio atkūrimo kelias neišbandytas.
Šis įrašas gali būti naudojamas pakartotinai, kai kitą kartą pasikeis projektas, ir tai yra skirtumas tarp sąveikos ir komandos fragmento, kurio prielaidos buvo prarastos.