Google HA VPN ke Router Cisco: Rancang Sumber Rakan Kongsi Dahulu
Namakan kedua-dua antara muka Google, sumber rakan kongsi, kontrak IKEv2 dan setiap sesi BGP sebelum mengkonfigurasi router Cisco, kemudian pilih satu rakan kongsi atau dua.
Keputusan pertama dalam HA VPN dari Cisco ke Google bukanlah profil kripto mana yang digunakan, tetapi sama ada satu peranti tempatan atau dua akan menamatkan terowong. Gerbang HA VPN Google mempunyai dua antara muka, dan setiap satu menjangka terowong rakan kongsi yang sepadan. Itu memberi anda dua terowong sama ada anda mempunyai dua router atau tidak, dan perbezaannya ialah sama ada satu bekalan kuasa atau peningkatan perisian boleh meruntuhkan seluruh reka bentuk.
Keputusannya ialah satu peranti rakan kongsi atau dua
Pilih susun atur berdasarkan tiga syarat: sama ada anda boleh menerima titik kegagalan setempat, sama ada kedua-dua antara muka awan mesti digunakan, dan berapa banyak penumpuan semula yang ditanggung oleh beban kerja anda. Jika mana-mana daripada tiga itu keperluan keras, dua peranti rakan kongsi ialah jawapan yang jujur.
Putuskannya sebelum membuka konsol, kerana jawapannya mengubah berapa banyak terowong dan sesi BGP yang perlu diterangkan oleh lembaran kerja.
Tulis lembaran kerja sebelum sebarang arahan
Lembaran kerja mempunyai lima baris, dan setiap satu memerlukan pemilik:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Sumber rakan kongsi luaran menerangkan antara muka anda di dalam Google Cloud, dan menciptanya tidak mengkonfigurasi router Cisco. Asimetri itu mengejutkan orang yang menjangka konsol awan menjadi sumber kebenaran untuk kedua-dua hujung. Ia adalah pengisytiharan tentang apa yang sepatutnya dijangka oleh Google, dan router masih perlu memadankannya. panduan gerbang rakan kongsi Google memetakan pengisytiharan itu kepada kerja terowong, BGP, tembok api dan IKE yang masih anda hutang.
Jika sesuatu baris tiada pemilik, ia akan diisi oleh sesiapa yang bertugas semasa peralihan.
Asingkan tiga peranan alamat
Alamat rakan kongsi awam membawa pertukaran IPsec luar. Pasangan BGP dalaman tergolong dalam sambungan logik terlindung yang berjalan di atasnya. Prefiks LAN dan VPC yang diiklankan menerangkan beban kerja di sebalik sambungan itu. Menyalin alamat dalaman VM ke medan rakan kongsi luaran mencampurkan dua peranan pertama, dan kegagalan itu kelihatan seperti masalah rundingan dan bukan kesilapan kemasukan data.
Rancang dua terowong rakan kongsi yang sepadan, satu untuk setiap antara muka HA VPN. Menggunakan kedua-dua antara muka awan tidak menghapuskan titik kegagalan setempat dengan sendirinya, kerana kedua-dua terowong masih boleh mendarat pada casis yang sama.
Tulis peranan alamat di sebelah setiap nilai dalam lembaran kerja. Satu tabiat itu menghalang sebahagian besar percampuran.
Terjemah lembaran kerja ke keluaran Cisco
Mulakan dengan dokumentasi rakan kongsi yang disokong atau templat konfigurasi Google yang sesuai untuk platform anda, kemudian selaraskan setiap pemegang tempat dengan lembaran kerja. Semak pengesahan IKEv2, cadangan ESP, PFS serta model terowong dan penghalaan bersama-sama, kerana ketidakpadanan dalam salah satu daripadanya biasanya muncul sebagai ketidakpadanan dalam yang lain. Gunakan platform dan keluaran perisian sebenar untuk memilih apa yang disokong, kerana resipi Classic VPN ialah titik permulaan yang berbeza.
Jauhkan rahsia kongsi daripada tangkapan skrin, lampiran tiket dan nota sokongan. Kunci yang dikongsi terdahulu dan ditampal dalam komen kes ialah pendedahan kelayakan, bukan artifak penyelesaian masalah.
Jika templat dan lembaran kerja tidak sepadan, berhenti dan selesaikannya di atas kertas. Peranti tidak akan menimbang tara untuk anda.
Terima setiap terowong berdasarkan buktinya sendiri
HA VPN memerlukan sesi BGP, dan rundingan IKE yang berjaya hanya menetapkan peringkat pertama. Sesi dalaman mesti naik, prefiks yang dimaksudkan mesti diiklankan dan diterima, dan laluan berguna serta kebenaran tembok api mesti wujud sebelum trafik beban kerja bergerak. Merekodkannya sebagai satu lampu hijau menyembunyikan peringkat mana yang sebenarnya gagal.
Rekod bukti penerimaan bagi setiap terowong: persatuan keselamatan yang dirundingkan, keadaan jiran BGP, prefiks yang dipelajari dijangka dan laluan beban kerja yang dimaksudkan. Kemudian jalankan pemeriksaan kegagalan dan pemulihan terkawal, kerana terowong yang tidak pernah gagal ialah terowong yang laluan pemulihannya belum diuji.
Rekod itu boleh digunakan semula apabila reka bentuk berubah pada masa hadapan, dan itulah perbezaan antara interoperasi dan serpihan arahan yang andaiannya hilang.