Google HA VPN ते Cisco राउटर: आधी पीअर संसाधनाची योजना करा
Cisco राउटर कॉन्फिगर करण्यापूर्वी दोन्ही Google इंटरफेस, पीअर संसाधन, IKEv2 करार आणि प्रत्येक BGP सत्राचे नाव द्या, नंतर एक पीअर किंवा दोन निवडा.
Cisco ते Google HA VPN मधील पहिला निर्णय कोणते क्रिप्टो प्रोफाइल वापरायचे हा नाही, तर एक स्थानिक उपकरण किंवा दोन टनेल संपवतील हा आहे. Google च्या HA VPN गेटवेला दोन इंटरफेस आहेत, आणि प्रत्येक संबंधित पीअर टनेलची अपेक्षा करतो. त्यामुळे तुमच्याकडे दोन राउटर असोत वा नसोत, तुम्हाला दोन टनेल मिळतात, आणि फरक असा आहे की एकच वीज पुरवठा किंवा सॉफ्टवेअर अपग्रेड संपूर्ण रचना खाली आणू शकतो का.
निर्णय एक पीअर उपकरण किंवा दोन हा आहे
तीन अटींवरून मांडणी निवडा: तुम्ही स्थानिक बिघाड बिंदू स्वीकारू शकता का, दोन्ही क्लाउड इंटरफेस वापरणे आवश्यक आहे का, आणि तुमचे वर्कलोड किती पुनर्संमिलन सहन करतात. तिन्हींपैकी कोणतीही कठोर आवश्यकता असल्यास, दोन पीअर उपकरणे हे प्रामाणिक उत्तर आहे.
कन्सोल उघडण्यापूर्वी ते ठरवा, कारण उत्तर वर्कशीटला किती टनेल आणि BGP सत्रांचे वर्णन करायचे आहे ते बदलते.
कोणत्याही आदेशापूर्वी वर्कशीट लिहा
वर्कशीटमध्ये पाच ओळी आहेत, आणि प्रत्येकाला मालक हवा आहे:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
बाह्य पीअर संसाधन Google Cloud मधील तुमच्या इंटरफेसचे वर्णन करते, आणि ते तयार केल्याने Cisco राउटर कॉन्फिगर होत नाही. ही विषमता अशा लोकांना आश्चर्यचकित करते जे क्लाउड कन्सोल दोन्ही टोकांसाठी सत्याचा स्रोत असेल अशी अपेक्षा करतात. हे Google ने काय अपेक्षित असावे याचे घोषणापत्र आहे, आणि राउटरला अजूनही त्याच्याशी जुळवून घ्यायचे आहे. Google ची पीअर गेटवे मार्गदर्शिका त्या घोषणेचे तुम्ही अजून देणे बाकी असलेल्या टनेल, BGP, फायरवॉल आणि IKE कामाशी मॅपिंग करते.
ओळीला मालक नसल्यास, संक्रमणादरम्यान ड्युटीवर असलेली व्यक्ती ती भरेल.
तीन पत्ता भूमिका वेगळ्या ठेवा
सार्वजनिक पीअर पत्ते बाह्य IPsec देवाणघेवाण वाहतात. अंतर्गत BGP जोडी त्यावरून चालणाऱ्या संरक्षित तार्किक कनेक्शनची आहे. जाहीर केलेले LAN आणि VPC उपसर्ग त्या कनेक्शनमागील वर्कलोडचे वर्णन करतात. VM चा अंतर्गत पत्ता बाह्य पीअर फील्डमध्ये कॉपी केल्याने पहिल्या दोन भूमिका मिसळतात, आणि बिघाड डेटा एंट्री त्रुटीऐवजी वाटाघाटीची समस्या वाटतो.
प्रत्येक HA VPN इंटरफेसासाठी एक, अशा दोन संबंधित पीअर टनेलची योजना करा. दोन्ही क्लाउड इंटरफेस वापरणे स्थानिक बिघाड बिंदू स्वतःहून काढून टाकत नाही, कारण दोन्ही टनेल अजूनही एकाच चेसिसवर उतरू शकतात.
वर्कशीटमधील प्रत्येक मूल्याजवळ पत्त्याची भूमिका लिहा. हीच एक सवय बहुतेक मिसळण्यास प्रतिबंध करते.
वर्कशीटचे Cisco आवृत्तीत भाषांतर करा
समर्थित पीअर दस्तऐवजीकरण किंवा तुमच्या प्लॅटफॉर्मसाठी योग्य Google कॉन्फिगरेशन टेम्पलेटपासून सुरुवात करा, नंतर प्रत्येक प्लेसहोल्डर वर्कशीटशी जुळवा. IKEv2 प्रमाणीकरण, ESP प्रस्ताव, PFS आणि टनेल व राउटिंग मॉडेल एकत्र तपासा, कारण त्यापैकी एकातील विसंगती सहसा दुसऱ्यातील विसंगती म्हणून दिसते. काय समर्थित आहे ते निवडण्यासाठी प्रत्यक्ष प्लॅटफॉर्म आणि सॉफ्टवेअर आवृत्ती वापरा, कारण Classic VPN रेसिपी वेगळी प्रारंभ बिंदू आहे.
सामायिक रहस्य स्क्रीनशॉट, तिकीट जोडपत्रे आणि सपोर्ट नोट्सपासून दूर ठेवा. केस टिप्पणीत चिकटवलेली पूर्व-सामायिक की ही क्रेडेन्शियल्सची उघडकीस आणणे आहे, समस्या-निवारण कलाकृती नाही.
टेम्पलेट आणि वर्कशीट जुळत नसल्यास, थांबा आणि ते कागदावर सोडवा. उपकरण तुमच्या वतीने निर्णय घेणार नाही.
प्रत्येक टनेल त्याच्या स्वतःच्या पुराव्यावर स्वीकारा
HA VPN ला BGP सत्रे आवश्यक आहेत, आणि यशस्वी IKE वाटाघाटी फक्त पहिला टप्पा स्थापित करते. अंतर्गत सत्र वर यायला हवे, इच्छित उपसर्ग जाहीर आणि स्वीकारले जायला हवेत, आणि वर्कलोड रहदारी हलण्यापूर्वी उपयुक्त मार्ग तसेच फायरवॉल परवानग्या अस्तित्वात असायला हव्यात. त्यांना एकच हिरवा दिवा म्हणून नोंदवल्यास कोणता टप्पा प्रत्यक्षात अयशस्वी झाला हे लपते.
प्रत्येक टनेलसाठी स्वीकृती पुरावे नोंदवा: वाटाघाटी केलेले सुरक्षा संघटन, BGP शेजारी स्थिती, अपेक्षित शिकलेले उपसर्ग आणि इच्छित वर्कलोड मार्ग. नंतर नियंत्रित बिघाड आणि पुनर्प्राप्ती तपासणी चालवा, कारण कधीही अयशस्वी न झालेली टनेल ही अशी टनेल आहे जिचा पुनर्प्राप्ती मार्ग तपासला गेलेला नाही.
ती नोंद पुढच्या वेळी रचना बदलल्यावर पुन्हा वापरता येते, आणि तो आंतर-संचालन आणि गृहीतके गमावलेल्या आदेश तुकड्यातील फरक आहे.