Google HA VPN बाट Cisco राउटरमा: पहिले पियर स्रोतको योजना बनाउनुहोस्
Cisco राउटर कन्फिगर गर्नु अघि दुवै Google इन्टरफेस, पियर स्रोत, IKEv2 सम्झौता र प्रत्येक BGP सत्रको नाम दिनुहोस्, त्यसपछि एक वा दुई पियर छान्नुहोस्।
Cisco बाट Google सम्मको HA VPN मा पहिलो निर्णय कुन क्रिप्टो प्रोफाइल प्रयोग गर्ने होइन, तर एउटा स्थानीय उपकरण वा दुईले सुरुङहरू अन्त्य गर्ने हो। Google को HA VPN गेटवेमा दुई इन्टरफेस छन्, र प्रत्येकले सम्बन्धित पियर सुरुङ अपेक्षा गर्छ। यसले तपाईंलाई दुई राउटर भए पनि नभए पनि दुई सुरुङ दिन्छ, र भिन्नता यो हो कि एउटै विद्युत आपूर्ति वा सफ्टवेयर अपग्रेडले सम्पूर्ण डिजाइन ढल्न सक्छ।
निर्णय एक पियर उपकरण वा दुई हो
तीन सर्तको आधारमा लेआउट छान्नुहोस्: तपाईं स्थानीय विफलता बिन्दु स्वीकार गर्न सक्नुहुन्छ कि, दुवै क्लाउड इन्टरफेस प्रयोग गर्नुपर्छ कि, र तपाईंको कार्यभारले कति पुनःसंगम सहन गर्छ। तीनमध्ये कुनै पनि कडा आवश्यकता भएमा, दुई पियर उपकरण नै इमानदार उत्तर हो।
कन्सोल खोल्नु अघि त्यो निर्णय गर्नुहोस्, किनकि उत्तरले कार्यपत्रले कति सुरुङ र BGP सत्र वर्णन गर्नुपर्ने हो भन्ने परिवर्तन गर्छ।
कुनै पनि आदेश अघि कार्यपत्र लेख्नुहोस्
कार्यपत्रमा पाँच पङ्क्ति छन्, र प्रत्येकलाई मालिक चाहिन्छ:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
बाह्य पियर स्रोतले Google Cloud भित्रका तपाईंका इन्टरफेस वर्णन गर्छ, र यसलाई सिर्जना गर्दा Cisco राउटर कन्फिगर हुँदैन। यो असमानताले क्लाउड कन्सोल दुवै छेउका लागि सत्यको स्रोत हुने अपेक्षा गर्नेहरूलाई अचम्मित बनाउँछ। यो Google ले के अपेक्षा गर्नुपर्ने हो भन्ने घोषणा हो, र राउटरले अझै त्यससँग मिल्नुपर्छ। Google को पियर गेटवे मार्गदर्शिका ले त्यो घोषणालाई तपाईंले अझै तिर्न बाँकी रहेको सुरुङ, BGP, फायरवाल र IKE कामसँग म्याप गर्छ।
यदि पङ्क्तिमा मालिक छैन भने, संक्रमणको समयमा ड्युटीमा रहेको व्यक्तिले त्यो भर्नेछ।
तीन ठेगाना भूमिकाहरू अलग राख्नुहोस्
सार्वजनिक पियर ठेगानाले बाह्य IPsec आदानप्रदान बोक्छ। आन्तरिक BGP जोडी त्यसमाथि चल्ने संरक्षित तार्किक जडानको हो। विज्ञापित LAN र VPC प्रिफिक्सले त्यो जडान पछाडिका कार्यभारहरू वर्णन गर्छ। VM को आन्तरिक ठेगाना बाह्य पियर फिल्डमा प्रतिलिपि गर्दा पहिलो दुई भूमिका मिसिन्छन्, र विफलता डेटा प्रविष्टि त्रुटिजस्तो नभई वार्तालाप समस्याजस्तो देखिन्छ।
प्रत्येक HA VPN इन्टरफेसका लागि एक, दुई सम्बन्धित पियर सुरुङ योजना बनाउनुहोस्। दुवै क्लाउड इन्टरफेस प्रयोग गर्दा स्थानीय विफलता बिन्दु आफैँ हट्दैन, किनकि दुवै सुरुङ अझै एउटै चेसिसमा अवतरण गर्न सक्छन्।
कार्यपत्रको प्रत्येक मानको छेउमा ठेगाना भूमिका लेख्नुहोस्। त्यो एक बानीले अधिकांश मिसावट रोक्छ।
कार्यपत्रलाई Cisco संस्करणमा अनुवाद गर्नुहोस्
समर्थित पियर कागजात वा तपाईंको प्लेटफर्मका लागि उपयुक्त Google कन्फिगरेसन टेम्प्लेटबाट सुरु गर्नुहोस्, त्यसपछि प्रत्येक प्लेसहोल्डरलाई कार्यपत्रसँग मिलाउनुहोस्। IKEv2 प्रमाणीकरण, ESP प्रस्ताव, PFS र सुरुङ तथा राउटिङ मोडेल सँगै जाँच्नुहोस्, किनकि तीमध्ये एकमा अमेल भएको कुरा सामान्यतया अर्कोमा अमेलको रूपमा देखिन्छ। के समर्थित छ भन्ने छान्न वास्तविक प्लेटफर्म र सफ्टवेयर संस्करण प्रयोग गर्नुहोस्, किनकि Classic VPN रेसिपी फरक सुरुवात बिन्दु हो।
साझा गोप्यलाई स्क्रिनसट, टिकट संलग्न र समर्थन नोटबाट टाढा राख्नुहोस्। मुद्दाको टिप्पणीमा टाँसिएको पूर्व-साझा कुञ्जी प्रमाणपत्रको खुलासा हो, समस्या समाधानको कलाकृति होइन।
यदि टेम्प्लेट र कार्यपत्र मिलेन भने, रोक्नुहोस् र कागजमा समाधान गर्नुहोस्। उपकरणले तपाईंको तर्फबाट निर्णय गर्ने छैन।
प्रत्येक सुरुङलाई यसको आफ्नै प्रमाणमा स्वीकार गर्नुहोस्
HA VPN लाई BGP सत्र चाहिन्छ, र सफल IKE वार्तालापले पहिलो चरण मात्र स्थापना गर्छ। आन्तरिक सत्र माथि आउनुपर्छ, इच्छित प्रिफिक्स विज्ञापन र स्वीकार गर्नुपर्छ, र कार्यभार ट्राफिक सर्नु अघि उपयोगी मार्ग र फायरवाल अनुमतिहरू अवस्थित हुनुपर्छ। तिनीहरूलाई एउटै हरियो बत्तीका रूपमा अभिलेख गर्दा कुन चरण वास्तवमै असफल भयो भन्ने लुकाउँछ।
प्रत्येक सुरुङका लागि स्वीकृति प्रमाण अभिलेख गर्नुहोस्: वार्तालाप गरिएका सुरक्षा संघ, BGP छिमेकी स्थिति, अपेक्षित सिकिएका प्रिफिक्स र इच्छित कार्यभार मार्ग। त्यसपछि नियन्त्रित विफलता र पुनर्प्राप्ति जाँच चलाउनुहोस्, किनकि कहिल्यै असफल नभएको सुरुङ त्यस्तो सुरुङ हो जसको पुनर्प्राप्ति मार्ग परीक्षण गरिएको छैन।
त्यो अभिलेख अर्को पटक डिजाइन परिवर्तन हुँदा पुनः प्रयोग गर्न सकिन्छ, र त्यो अन्तर-सञ्चालन र मान्यताहरू हराएको आदेश अंशबीचको भिन्नता हो।