BGP adrese Cloud VPN-a pripadaju unutrašnjosti tunela, a ne mrežnoj kartici

Otvorite stranicu Cloud Routera za VPN i u vas gleda BGP sesija sa adresom u 169.254.0.0/16. Prirodna reakcija je da tu adresu smestite negde na VM i čekate da se sesija digne. Ta reakcija je pogrešna na poseban način: par pripada logičkoj vezi koju stvara IPsec tunel, a ne običnom mrežnom interfejsu mašine. Ništa što dodate na NIC ne tera tunel da nosi BGP.

Pratite par niz stek umesto da ga dodate na host.

Pođite od mesta gde konzola prikazuje par

Stranica sesije navodi BGP adresu Cloud Routera i adresu partnera, obe link-local za IPv4 HA VPN. Pored njih su spoljne adrese gejta koje terminiraju tunele. To su različiti objekti: link-local par živi unutra, a adrese gejta žive spolja i moraju biti rutabilne pre nego što bilo šta drugo proradi.

Zapišite sve tri pre otvaranja konfiguracione datoteke, jer je njihovo mešanje ceo način kvara.

Siđite do tunela koji ga nosi

Link-local par ima smisla tek kada između dva gejta postoji IPsec bezbednosna asocijacija. Na Google strani HA VPN tuneli je stvaraju na dva interfejsa; na vašoj strani to je ono što je partner dogovorio. Prvo proverite asocijaciju podataka sa swanctl --list-sas i zabeležite koji je tunel podignut na kom interfejsu, jer je zdrava BGP sesija preko mrtvog tunela nemoguća, a mrtav tunel sa konfiguracijom punom nade uobičajen.

BGP paket je unutrašnji IP saobraćaj. Spoljna mreža ga nikada ne vidi, pa nijednom sviču ne trebaju obe adrese na jednom VLAN-u.

Sada konfigurišite Linux partnera da odgovara

Izaberite podržani dizajn tunela i pustite ga da odredi unutrašnje adrese. Kod rutiranog interfejsa zapis rutiranja i dogovoreni selektori saobraćaja moraju da se slažu, jer samo ime interfejsa ništa ne dozvoljava. Usmerite BIRD na unutrašnju lokalnu adresu i unutrašnju adresu Cloud Routera, postavite AS brojeve sa stranice sesije i dozvolite TCP 179 unutar zaštićene staze. Držite rutu ka udaljenoj spoljnoj adresi na fizičkom uplinku kako tunel ne bi zahvatio sopstveni transport.

Tunel koji sam sebe rutira je petlja sa rukovanjem i sat vremena će izgledati kao problem sa zaštitnim zidom.

Proveravajte svaku fazu redom, a ne sve odjednom

Prođite faze: bezbednosna asocijacija podignuta, unutrašnji partner dostupan sa adrese tunela, BGP sesija uspostavljena, prefiksi prihvaćeni, zatim prefiks radnog opterećenja zaista korišćen. birdc show protocols odgovara na treće pitanje i ni na šta drugo, zato ljudi rano proglašavaju pobedu.

Uspostavljen sused ne obećava da su obe strane objavile prefikse koji su vam potrebni niti da su te rute instalirane kao poželjne.

Ako je sesija uspostavljena a saobraćaj i dalje ide pogrešnim putem, uporedite objavljene prefikse sa onim što tabela rutiranja čini sa njima. Specifičnija ruta negde drugde ili prednost drugom putu daje vam ispravnu BGP sesiju i nikakvo korisno prosleđivanje.

Zaustavite se pre nego što to primenite na Router Appliance

Network Connectivity Center Router Appliance je drugačiji model priključka. Njegovi Cloud Router partneri koriste unutrašnje adrese iz rasporeda VPC-a i podmreže umesto link-local para HA VPN-a. Ako je pravi cilj BGP sa VM-om za rutiranje, sledite zahteve interfejsa tog proizvoda umesto da kopirate link-local sesiju.

Link-local opseg i dalje znači ono što kaže. Logički tunel obezbeđuje ovo susedstvo i ne dozvoljava rutiranje proizvoljnih link-local odredišta preko VPC-a.