Google HA VPN prema Cisco ruteru: prvo isplanirajte resurs suseda
Imenujte oba Google interfejsa, resurs suseda, IKEv2 ugovor i svaku BGP sesiju pre konfigurisanja Cisco rutera, pa izaberite jednog suseda ili dva.
Prva odluka u HA VPN-u između Cisco-a i Google-a nije koji kripto profil koristiti, već da li će tunele završavati jedan lokalni uređaj ili dva. Google HA VPN prolaz ima dva interfejsa i svaki očekuje odgovarajući susedski tunel. To vam daje dva tunela bez obzira na to imate li dva rutera, a razlika je u tome može li jedno napajanje ili softverska nadogradnja srušiti ceo dizajn.
Odluka je jedan susedski uređaj ili dva
Izaberite raspored prema tri uslova: da li možete prihvatiti lokalnu tačku otkaza, da li oba oblaka interfejsa moraju biti iskorišćena i koliko rekonvergencije vaša radna opterećenja tolerišu. Ako je bilo koji od tri tvrd zahtev, dva susedska uređaja su iskren odgovor.
Odlučite to pre nego što otvorite konzolu, jer odgovor menja koliko tunela i BGP sesija radni list mora da opiše.
Napišite radni list pre bilo koje komande
Radni list ima pet redova i svakom je potreban vlasnik:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Spoljni susedski resurs opisuje vaše interfejse unutar Google Cloud-a, a njegovo kreiranje ne konfiguriše Cisco ruter. Ta asimetrija iznenađuje ljude koji očekuju da konzola oblaka bude izvor istine za oba kraja. To je izjava o tome šta Google treba da očekuje, a ruter i dalje mora da joj odgovara. Google-ov vodič za susedski prolaz preslikava tu izjavu na rad na tunelu, BGP-u, zaštitnom zidu i IKE-u koji vam još duguje.
Ako red nema vlasnika, popuniće ga onaj ko je na smeni tokom prebacivanja.
Držite tri uloge adresa odvojeno
Javne susedske adrese nose spoljnu IPsec razmenu. Unutrašnji BGP par pripada zaštićenoj logičkoj vezi koja ide preko njega. Oglašeni LAN i VPC prefiksi opisuju radna opterećenja iza te veze. Kopiranje interne adrese virtuelne mašine u polje spoljnog suseda meša prve dve uloge, a otkaz izgleda kao problem pregovaranja, ne kao greška pri unosu.
Isplanirajte dva odgovarajuća susedska tunela, po jedan za svaki HA VPN interfejs. Korišćenje oba oblaka interfejsa samo po sebi ne uklanja lokalnu tačku otkaza, jer oba tunela i dalje mogu da slete na isto šasije.
Upišite ulogu adrese pored svake vrednosti u radnom listu. Ta jedna navika sprečava većinu mešanja.
Prevedite radni list u Cisco izdanje
Pođite od podržane susedske dokumentacije ili odgovarajućeg Google šablona konfiguracije za vašu platformu, pa uskladite svaki rezervisani element sa radnim listom. Proverite IKEv2 autentifikaciju, ESP predloge, PFS i model tunela i rutiranja zajedno, jer nesklad u jednom od njih obično izgleda kao nesklad u drugom. Koristite stvarnu platformu i izdanje softvera da izaberete šta je podržano, pošto je Classic VPN recept druga polazna tačka.
Držite deljenu tajnu van snimaka ekrana, priloga tiketa i beleški podrške. Unapred deljeni ključ nalepljen u komentar slučaja je otkrivanje akreditiva, a ne artefakt za otklanjanje problema.
Ako se šablon i radni list ne slažu, zaustavite se i rešite to na papiru. Uređaj neće presuditi umesto vas.
Prihvatite svaki tunel na osnovu sopstvenih dokaza
HA VPN zahteva BGP sesije, a uspešno IKE pregovaranje uspostavlja samo prvu fazu. Unutrašnja sesija mora da se podigne, predviđeni prefiksi moraju da budu oglašeni i prihvaćeni, a korisne rute i dozvole zaštitnog zida moraju da postoje pre nego što krene saobraćaj radnih opterećenja. Beleženje svega toga kao jednog zelenog svetla krije koja je faza zapravo pala.
Beležite dokaze prihvatanja po tunelu: pregovarane bezbednosne asocijacije, stanje BGP suseda, očekivane naučene prefikse i predviđenu putanju radnog opterećenja. Zatim izvedite kontrolisanu proveru otkaza i oporavka, jer tunel koji nikada nije pao je tunel čija putanja oporavka nije isprobana.
Taj zapis se može ponovo upotrebiti sledeći put kada se dizajn promeni, i to je razlika između interoperabilnosti i fragmenta komande čije su pretpostavke izgubljene.