BGP адресите на Cloud VPN припаѓаат внатре во тунелот, не на мрежната карта

Отворете ја страницата Cloud Router за VPN и во вас гледа BGP сесија со адреса во 169.254.0.0/16. Природната реакција е да ја ставите таа адреса некаде на VM и да чекате сесијата да се подигне. Таа реакција е погрешна на конкретен начин: парот и припаѓа на логичката врска што ја создава IPsec тунелот, а не на обичниот мрежен интерфејс на машината. Ништо што ќе додадете на NIC не го тера тунелот да носи BGP.

Следете го парот надолу по стекот наместо да го додавате на домаќинот.

Започнете таму каде конзолата го прикажува парот

Страницата на сесијата наведува BGP адреса на Cloud Router и адреса на партнер, двете link-local за IPv4 HA VPN. До нив се надворешните адреси на портата што ги завршуваат тунелите. Тоа се различни објекти: link-local парот живее внатре, а адресите на портата живеат надвор и мора да бидат рутирачки пред да работи нешто друго.

Запишете ги сите три пред да отворите конфигурациска датотека, зашто нивното мешање е целиот режим на откажување.

Слезете до тунелот што го носи

Link-local парот има значење само кога постои IPsec безбедносна асоцијација меѓу двете порти. На страната на Google тунелите на HA VPN ја создаваат на двата интерфејса; на вашата страна тоа е она што партнерот го договорил. Прво проверете ја асоцијацијата на податоци со swanctl --list-sas и забележете кој тунел е подигнат на кој интерфејс, зашто здрава BGP сесија преку мртов тунел е невозможна, а мртов тунел со надежна конфигурација е вообичаена работа.

BGP пакетот е внатрешен IP сообраќај. Надворешната мрежа никогаш не го гледа, па ниту еден комутатор не ги бара двете адреси на еден VLAN.

Сега конфигурирајте го Linux партнерот да одговара

Изберете го поддржаниот дизајн на тунел и оставете го да ги определи внатрешните адреси. Со рутиран интерфејс, записот за рутирање и договорените селектори на сообраќај мора да се согласуваат, зашто само име на интерфејс не дозволува ништо. Насочете го BIRD кон внатрешната локална адреса и внатрешната адреса на Cloud Router, поставете ги AS броевите од страницата на сесијата и дозволете TCP 179 во заштитената патека. Држете ја рутата кон далечната надворешна адреса на физичкиот uplink за да не го фати тунелот сопствениот транспорт.

Тунел што сам себеси се рутира е јамка со ракување и еден час ќе изгледа како проблем со огнената бариера.

Проверете ја секоја фаза по ред, не сето одеднаш

Поминете низ фазите: безбедносна асоцијација подигната, внатрешен партнер достапен од адресата на тунелот, BGP сесија воспоставена, префикси прифатени, потоа префикс на работно оптоварување навистина употребен. birdc show protocols одговара на третото прашање и ни на што друго, затоа луѓето рано прогласуваат победа.

Воспоставен сосед не ветува дека двете страни ги објавиле префиксите што ви требаат или дека тие рути биле инсталирани како претпочитани.

Ако сесијата е воспоставена, а сообраќајот сепак оди по погрешен пат, споредете ги објавените префикси со она што рутирачката табела го прави со нив. Постојана рута на друго место или предност за друг пат ви даваат работа BGP сесија и никакво корисно препраќање.

Запрете пред да го примените ова на Router Appliance

Network Connectivity Center Router Appliance е поинаков модел на поврзување. Неговите Cloud Router партнери користат внатрешни адреси од распоредот на VPC и подмрежата наместо link-local парот на HA VPN. Ако вистинската цел е BGP со рутирачка VM, следете ги барањата за интерфејс на тој производ наместо да копирате link-local сесија.

Опсегот link-local сè уште значи она што го кажува. Логичкиот тунел го обезбедува ова соседство и не дозволува рутирање на произволни link-local одредишта низ VPC.