Cloud VPN-ийн BGP хаягууд сүлжээний карт дээр биш, туннелийн дотор байдаг

VPN-ийн Cloud Router хуудсыг нээхэд 169.254.0.0/16 дотор хаягтай BGP сесс таныг ширтэж байна. Байгалийн хариу үйлдэл нь тэр хаягийг VM дээр хаа нэгтээ тавиад сесс өсөхийг хүлээх юм. Тэр хариу үйлдэл тодорхой утгаар буруу: хос нь IPsec туннелийн үүсгэдэг логик холбоост хамаарах бөгөөд машины энгийн сүлжээний интерфэйст хамаарахгүй. NIC дээр нэмсэн юу ч туннелийг BGP зөөхийг албадахгүй.

Хосыг хост дээр нэмэхийн оронд стекийн дагуу доош дагаарай.

Консол хосыг харуулж буй газраас эхэл

Сессийн хуудас Cloud Router-ийн BGP хаяг болон хамтрагчийн хаягыг жагсаасан бөгөөд IPv4 HA VPN-ийн хувьд хоёулаа link-local. Тэдний дэргэд туннелийг төгсгөдөг гадаад гарцын хаягууд байна. Эдгээр нь өөр өөр объект юм: link-local хос дотроо амьдардаг, гарцын хаягууд гадна амьдардаг бөгөөд өөр юу ч ажиллахаас өмнө тэдгээр нь чиглүүлэгдэх боломжтой байх ёстой.

Тохиргооны файлыг нээхээс өмнө гурвыг бичиж аваарай, учир нь тэдгээрийг хольж хутгах нь бүхэл бүтэн алдааны хэлбэр юм.

Үүнийг зөөж буй туннель хүртэл доош буу

link-local хос нь хоёр гарцын хооронд IPsec аюулгүй байдлын холбоо байгаа үед л утгатай. Google талд HA VPN туннелүүд үүнийг хоёр интерфэйс дээр үүсгэдэг; таны талд энэ нь хамтрагчийн тохиролцсон зүйл юм. Эхлээд swanctl --list-sas-оор өгөгдлийн холбоог шалгаад аль туннель аль интерфэйс дээр өссөнийг бичиж аваарай, учир нь үхсэн туннель дээр эрүүл BGP сесс боломжгүй, харин итгэл тээсэн тохиргоотой үхсэн туннель бол энгийн зүйл.

BGP пакет бол дотоод IP трафик. Гадаад сүлжээ үүнийг хэзээ ч хардаггүй, тиймээс ямар ч свитч хоёр хаягийг нэг VLAN дээр байлгах шаардлагагүй.

Одоо Linux хамтрагчийг тааруулж тохируул

Дэмжигдсэн туннелийн дизайныг сонгоод дотоод хаягийг түүнээс шийдүүлээрэй. Чиглүүлэлтэд суурилсан интерфэйсийн хувьд чиглүүлэлтийн бичлэг болон тохиролцсон трафикийн сонгогчид нийцсэн байх ёстой, учир нь зөвхөн интерфэйсийн нэр юунд ч зөвшөөрөл өгдөггүй. BIRD-ийг дотоод локал хаяг болон Cloud Router-ийн дотоод хаяг руу чиглүүлж, AS дугааруудыг сессийн хуудаснаас тохируулж, хамгаалагдсан зам дотор TCP 179-ийг зөвшөөр. Алслагдсан гадаад хаяг руу чиглэх замыг физик uplink дээр байлгаж, туннель өөрийн тээврийг барьж авахгүй байх болтугай.

Өөрийгөө чиглүүлдэг туннель бол гар барилттай гогцоо бөгөөд нэг цагийн турш галт ханын асуудал мэт харагдана.

Алхам бүрийг дарааллаар нь шалга, бүгдийг нэгэн зэрэг биш

Алхмуудыг туул: аюулгүй байдлын холбоо өссөн, туннелийн хаягаас дотоод хамтрагч хүрч болно, BGP сесс тогтсон, префиксүүд хүлээн авсан, дараа нь ажлын ачааллын префикс үнэхээр ашиглагдсан. birdc show protocols гурав дахь асуултад хариулдаг ба өөр юунд ч биш, тиймээс хүмүүс ялалтыг эрт зарладаг.

Тогтсон хөрш хоёр тал шаардлагатай префиксүүдийг зарласан эсвэл тэдгээр замыг давуу гэж суулгасан гэдгийг амлахгүй.

Хэрэв сесс тогтсон боловч трафик буруу замаар явсаар байвал, зарласан префиксүүдийг чиглүүлэлтийн хүснэгт тэдгээртэй юу хийдэгтай харьцуул. Өөр газар илүү тодорхой зам эсвэл өөр замд давуу эрх нь танд ажилладаг BGP сесс болон ямар ч ашигтай дамжуулалт өгөхгүй.

Үүнийг Router Appliance дээр хэрэглэхээс өмнө зогс

Network Connectivity Center Router Appliance бол өөр холболтын загвар. Түүний Cloud Router хамтрагчид HA VPN-ийн link-local хосын оронд VPC болон дэд сүлжээний зохицуулалтаас дотоод хаяг ашигладаг. Хэрэв жинхэнэ зорилго нь чиглүүлэгч VM-тэй BGP бол link-local сессийг хуулахын оронд тэр бүтээгдэхүүний интерфэйсийн шаардлагыг дага.

link-local-ийн хүрээ өнөөг хүртэл хэлсэнчлэн утгатай. Логик туннель энэ хөршийн харилцааг хангадаг бөгөөд VPC даяар дур мэдэн link-local очих газрыг чиглүүлэх зөвшөөрөл өгдөггүй.