Alamat BGP Cloud VPN terletak di dalam terowong, bukan pada kad rangkaian

Buka halaman Cloud Router untuk VPN dan sesi BGP dengan alamat dalam 169.254.0.0/16 merenung anda. Reaksi semula jadi ialah meletakkan alamat itu di suatu tempat pada VM dan menunggu sesi naik. Reaksi itu salah dengan cara yang khusus: pasangan itu milik pautan logik yang dicipta oleh terowong IPsec, bukan milik antara muka rangkaian biasa mesin. Tiada apa yang anda tambah pada NIC menyebabkan terowong membawa BGP.

Ikuti pasangan itu ke bawah timbunan dan bukan menambahnya pada hos.

Mulakan di tempat konsol menunjukkan pasangan itu

Halaman sesi menyenaraikan alamat BGP Cloud Router dan alamat rakan, kedua-duanya link-local untuk HA VPN IPv4. Di sebelahnya ialah alamat get laluan luar yang menamatkan terowong. Itu objek yang berbeza: pasangan link-local hidup di dalam, dan alamat get laluan hidup di luar serta mesti boleh dihalakan sebelum apa-apa lain berfungsi.

Tulis ketiga-tiganya sebelum membuka fail konfigurasi, kerana mencampur adukkannya ialah keseluruhan mod kegagalan.

Turun ke terowong yang membawanya

Pasangan link-local hanya bermakna apabila ada persatuan keselamatan IPsec antara kedua get laluan. Di sebelah Google terowong HA VPN menciptanya pada kedua antara muka; di sebelah anda ia adalah apa yang dirundingkan oleh rakan. Periksa dahulu persatuan data dengan swanctl --list-sas dan catat terowong mana yang naik pada antara muka mana, kerana sesi BGP yang sihat di atas terowong mati adalah mustahil dan terowong mati dengan konfigurasi penuh harapan adalah perkara biasa.

Paket BGP ialah trafik IP dalam. Rangkaian luar tidak pernah melihatnya, jadi tiada suis memerlukan kedua-dua alamat pada satu VLAN.

Kini konfigurasikan rakan Linux supaya sepadan

Pilih reka bentuk terowong yang disokong dan biarkan ia menentukan alamat dalam. Dengan antara muka berasaskan halakan, entri penghalakan dan pemilih trafik yang dirundingkan mesti bersetuju, kerana nama antara muka sahaja tidak membenarkan apa-apa. Halakan BIRD ke alamat tempatan dalam dan alamat dalam Cloud Router, tetapkan nombor AS daripada halaman sesi, dan benarkan TCP 179 dalam laluan yang dilindungi. Kekalkan laluan ke alamat luar jauh pada pautan fizikal supaya terowong tidak menangkap pengangkutannya sendiri.

Terowong yang menghalakan dirinya sendiri ialah gelung dengan jabat tangan, dan selama satu jam ia akan kelihatan seperti masalah tembok api.

Periksa setiap peringkat mengikut urutan, bukan semuanya sekali gus

Lalui peringkatnya: persatuan keselamatan naik, rakan dalam boleh dicapai daripada alamat terowong, sesi BGP terbentuk, prefiks diterima, kemudian prefiks beban kerja benar-benar digunakan. birdc show protocols menjawab soalan ketiga dan bukan yang lain, itulah sebabnya orang mengisytiharkan kemenangan awal.

Jiran yang terbentuk tidak menjanjikan kedua-dua pihak mengumumkan prefiks yang anda perlukan, atau laluan itu dipasang sebagai pilihan.

Jika sesi terbentuk dan trafik masih mengambil laluan yang salah, bandingkan prefiks yang diumumkan dengan apa yang jadual penghalakan lakukan terhadapnya. Laluan yang lebih khusus di tempat lain, atau keutamaan kepada laluan lain, memberi anda sesi BGP yang berfungsi dan tiada pemajuan yang berguna.

Berhenti sebelum menggunakan ini pada Router Appliance

Network Connectivity Center Router Appliance ialah model lampiran yang berbeza. Rakan Cloud Router-nya menggunakan alamat dalaman daripada susunan VPC dan subnet dan bukan pasangan link-local HA VPN. Jika matlamat sebenar ialah BGP dengan VM penghalakan, ikuti keperluan antara muka produk itu dan bukan menyalin sesi link-local.

Skop link-local masih bermaksud apa yang dikatakannya. Terowong logik menyediakan kejiranan ini, dan ia tidak memberi lesen untuk menghalakan destinasi link-local sewenang-wenangnya merentasi VPC.