Cloud VPN BGP adreses pieder tuneļa iekšpusē, nevis tīkla kartē

Atveriet VPN Cloud Router lapu, un jūs sagaida BGP sesija ar adresi 169.254.0.0/16 ietvaros. Dabiskā reakcija ir ievietot šo adresi kaut kur uz VM un gaidīt, kamēr sesija paceļas. Šī reakcija ir nepareiza konkrētā veidā: pāris pieder loģiskajam savienojumam, ko veido IPsec tunelis, nevis mašīnas parastajai tīkla saskarnei. Nekas, ko pievienojat NIC, neliek tunelim pārvadāt BGP.

Sekojiet pārim lejup pa steku, nevis pievienojiet to resursdatoram.

Sāciet tur, kur konsole rāda pāri

Sesijas lapā ir uzskaitīta Cloud Router BGP adrese un partnera adrese, abas link-local IPv4 HA VPN gadījumā. Blakus tām ir ārējās vārtejas adreses, kas pabeidz tuneļus. Tie ir dažādi objekti: link-local pāris dzīvo iekšpusē, un vārtejas adreses dzīvo ārpusē un tām jābūt maršrutējamām, pirms kaut kas cits darbojas.

Pierakstiet visus trīs, pirms atverat konfigurācijas failu, jo to sajaukšana ir viss atteices režīms.

Nokāpiet līdz tunelim, kas to nes

Link-local pārim ir nozīme tikai tad, kad starp abām vārtejām pastāv IPsec drošības asociācija. Google pusē HA VPN tuneļi to izveido abās saskarnēs; jūsu pusē tas ir tas, par ko vienojās partneris. Vispirms pārbaudiet datu asociāciju ar swanctl --list-sas un pierakstiet, kurš tunelis ir augšā kurā saskarnē, jo veselīga BGP sesija virs miruša tuneļa nav iespējama, un miris tunelis ar cerīgu konfigurāciju ir ikdiena.

BGP pakete ir iekšējā IP plūsma. Ārējais tīkls to nekad neredz, tāpēc nevienam komutatoram nav vajadzīgas abas adreses vienā VLAN.

Tagad konfigurējiet Linux partneri, lai tas atbilstu

Izvēlieties atbalstīto tuneļa dizainu un ļaujiet tam noteikt iekšējās adreses. Ar maršrutēšanā balstītu saskarni maršruta ierakstam un saskaņotajiem datplūsmas selektoriem ir jāsakrīt, jo saskarnes nosaukums vien neko neļauj. Vērsiet BIRD uz iekšējo lokālo adresi un Cloud Router iekšējo adresi, iestatiet AS numurus no sesijas lapas un atļaujiet TCP 179 aizsargātajā ceļā. Turiet maršrutu uz tālo ārējo adresi fiziskajā uplinkā, lai tunelis neuztvertu savu paša transportu.

Tunelis, kas maršrutē pats sevi, ir cilpa ar rokasspiedienu, un stundu tas izskatīsies kā ugunsmūra problēma.

Pārbaudiet katru posmu pēc kārtas, nevis visu uzreiz

Izejiet posmus: drošības asociācija augšā, iekšējais partneris sasniedzams no tuneļa adreses, BGP sesija izveidota, prefiksi pieņemti, tad darba slodzes prefikss faktiski izmantots. birdc show protocols atbild uz trešo jautājumu un ne uz ko citu, tāpēc cilvēki pārāk agri pasludina uzvaru.

Izveidots kaimiņš negarantē, ka abas puses paziņoja vajadzīgos prefiksus vai ka šie maršruti tika instalēti kā vēlami.

Ja sesija ir izveidota un datplūsma joprojām iet nepareizo ceļu, salīdziniet paziņotos prefiksus ar to, ko ar tiem dara maršrutēšanas tabula. Konkrētāks maršruts citur vai priekšroka citam ceļam dod jums strādājošu BGP sesiju un nekādu lietderīgu pārsūtīšanu.

Apstājieties, pirms to lietojat uz Router Appliance

Network Connectivity Center Router Appliance ir cits pievienošanas modelis. Tā Cloud Router partneri izmanto iekšējās adreses no VPC un apakštīkla izkārtojuma, nevis HA VPN link-local pāri. Ja patiesais mērķis ir BGP ar maršrutēšanas VM, sekojiet šī produkta saskarnes prasībām, nevis kopējiet link-local sesiju.

Link-local tvērums joprojām nozīmē to, ko saka. Loģiskais tunelis nodrošina šo kaimiņattiecību, un tas nepiešķir licence maršrutēt patvaļīgus link-local galamērķus visā VPC.