Google HA VPN-аас Cisco чиглүүлэгч рүү: эхлээд хамтрагч нөөцийг төлөвлө
Cisco чиглүүлэгчийг тохируулахаас өмнө Google-ийн хоёр интерфейс, хамтрагч нөөц, IKEv2 гэрээ, BGP сесс бүрийг нэрлэж, дараа нь нэг эсвэл хоёр хамтрагч сонгоно уу.
Cisco-оос Google руу чиглэсэн HA VPN-ийн эхний шийдвэр нь аль крипто профайл ашиглах биш, харин нэг орон нутгийн төхөөрөмж эсвэл хоёр нь туннелийг дуусгах эсэх юм. Google-ийн HA VPN гарц нь хоёр интерфейстэй бөгөөд тус бүр нь харгалзах хамтрагчийн туннелийг хүлээж байна. Энэ нь танд хоёр чиглүүлэгчтэй эсэхээс үл хамааран хоёр туннель өгдөг бөгөөд ялгаа нь нэг тэжээлийн эх үүсвэр эсвэл програм хангамжийн шинэчлэл бүх загварыг унагаж чадах эсэхэд оршино.
Шийдвэр нь нэг хамтрагч төхөөрөмж эсвэл хоёр
Байршлыг гурван нөхцлөөр сонгоно уу: орон нутгийн алдааны цэгийг хүлээн зөвшөөрч чадах эсэх, хоёр үүлэн интерфейсийг ашиглах шаардлагатай эсэх, ажлын ачаалал хэр их дахин нэгдэлтийг тэсвэрлэх вэ. Гурвын аль нэг нь хатуу шаардлага бол хоёр хамтрагч төхөөрөмж бол шударга хариулт.
Үүнийг консол нээхээс өмнө шийдээрэй, учир нь хариулт нь ажлын хуудас хэдэн туннель, BGP сесс тайлбарлах ёстойг өөрчилнө.
Ямар ч командын өмнө ажлын хуудсыг бичээрэй
Ажлын хуудас таван мөртэй бөгөөд тус бүрд эзэн хэрэгтэй:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Гадаад хамтрагч нөөц нь Google Cloud доторх интерфейсүүдийг тайлбарлах бөгөөд үүнийг үүсгэх нь Cisco чиглүүлэгчийг тохируулахгүй. Энэхүү тэгш бус байдал нь үүлэн консол хоёр төгсгөлийн хувьд үнэний эх сурвалж байна гэж хүлээгдэгчдийг гайхшруулдаг. Энэ нь Google юу хүлээх ёстой тухай мэдэгдэл бөгөөд чиглүүлэгч үүнтэй тохирох ёстой хэвээр байна. Google-ийн хамтрагчийн гарцын гарын авлага тэр мэдэгдлийг таны өмнө төлөх туннель, BGP, галт хана, IKE ажилд буулгана.
Хэрэв мөрөнд эзэн байхгүй бол шилжилтийн үеэр жижүүрт байгаа хүн бөглөнө.
Гурван хаягийн үүргийг тус тусад нь бариарай
Нийтийн хамтрагчийн хаягууд нь гадаад IPsec солилцоог зөөдөг. Дотоод BGP хос нь түүн дээгүүр урсах хамгаалагдсан логик холболтод хамаарна. Зарлагдсан LAN болон VPC префиксүүд нь тэр холболтын ард байгаа ажлын ачааллыг тайлбарладаг. VM-ийн дотоод хаягийг гадаад хамтрагчийн талбарт хуулах нь эхний хоёр үүргийг хольж, алдаа нь өгөгдөл оруулах алдаа биш харин хэлэлцээрийн асуудал мэт харагдана.
HA VPN интерфейс бүрд нэг, нийт хоёр харгалзах хамтрагчийн туннель төлөвлө. Хоёр үүлэн интерфейсийг ашиглах нь орон нутгийн алдааны цэгийг өөрөө арилгахгүй, учир нь хоёр туннель ижил их бие дээр бууж болно.
Ажлын хуудсын утга бүрийн дэргэд хаягийн үүргийг бичээрэй. Тэр нэг зуршил ихэнх холилдлыг сэргийлдэг.
Ажлын хуудсыг Cisco хувилбар руу хөрвүүл
Дэмжигдсэн хамтрагчийн баримт бичиг эсвэл платформд тань тохирох Google тохиргооны загвараас эхэлж, дараа нь орлуулагч бүрийг ажлын хуудастай уялдуулаарай. IKEv2 баталгаажуулалт, ESP саналууд, PFS болон туннель, чиглүүлэлтийн загварыг хамт шалгаарай, учир нь тэдгээрийн аль нэг дэх зөрчил ихэвчлэн нөгөөд зөрчил хэлбэрээр илэрдэг. Юу дэмжигдэж байгааг сонгохдоо бодит платформ болон програм хангамжийн хувилбарыг ашиглаарай, учир нь Classic VPN жор нь өөр эхлэх цэг юм.
Хуваалцсан нууцыг дэлгэцийн зураг, тасалбарын хавсралт, дэмжлэгийн тэмдэглэлээс хол байлгаарай. Хэргийн тайлбарт наасан урьдчилан хуваалцсан түлхүүр нь итгэмжлэлийн мэдээллийг ил болгох явдал бөгөөд алдаа олж засварын артефакт биш юм.
Хэрэв загвар болон ажлын хуудас зөрвөл зогсоож, цаасан дээр шийдээрэй. Төхөөрөмж таны өмнөөс шийдвэрлэхгүй.
Туннель бүрийг өөрийн нотолгоогоор хүлээн ав
HA VPN-д BGP сесс хэрэгтэй бөгөөд амжилттай IKE хэлэлцээр зөвхөн эхний үе шатыг тогтоодог. Дотоод сесс өсөх ёстой, төлөвлөсөн префиксүүдийг зарлаж хүлээн авах ёстой, ажлын ачааллын урсгал хөдлөхөөс өмнө ашигтай чиглэл, галт хананы зөвшөөрөл байх ёстой. Тэдгээрийг нэг ногоон гэрэл гэж бүртгэх нь аль үе шат үнэхээр бүтэлгүйтсэнийг нуудаг.
Туннель бүрийн хүлээн авалтын нотолгоог бүртгэ: хэлэлцсэн аюулгүй байдлын нэгдэл, BGP хөршийн төлөв, хүлээгдэж буй сурсан префиксүүд, төлөвлөсөн ажлын ачааллын зам. Дараа нь хяналттай алдаа болон сэргээлтийн шалгалт хий, учир нь хэзээ ч бүтэлгүйтээгүй туннель бол сэргээлтийн зам нь туршигдаагүй туннель юм.
Тэр бичлэг нь дараагийн удаа загвар өөрчлөгдөхөд дахин ашиглах боломжтой бөгөөд энэ нь харилцан ажиллагаа болон таамаглал нь алдагдсан командын хэсгээс ялгаатай.