BGP adresy Cloud VPN patria dovnútra tunela, nie na sieťovú kartu

Otvorte stránku Cloud Routera pre VPN a hľadí na vás relácia BGP s adresou v 169.254.0.0/16. Prirodzenou reakciou je umiestniť túto adresu niekam na VM a čakať, kým sa relácia zdvihne. Táto reakcia je chybná konkrétnym spôsobom: dvojica patrí logickému spoju, ktorý vytvára tunel IPsec, nie bežnému sieťovému rozhraniu stroja. Nič, čo pridáte na NIC, neprinúti tunel prenášať BGP.

Sledujte dvojicu dole po zásobníku, namiesto pridávania na hostiteľa.

Začnite tam, kde konzola zobrazuje dvojicu

Stránka relácie uvádza BGP adresu Cloud Routera a adresu partnera, obe link-local pri IPv4 HA VPN. Vedľa nich sú vonkajšie adresy brán, ktoré tunely ukončujú. Sú to rôzne objekty: dvojica link-local žije vnútri a adresy brán žijú vonku a musia byť smerovateľné, kým čokoľvek iné začne fungovať.

Zapíšte všetky tri pred otvorením konfiguračného súboru, pretože ich zámena je celý spôsob zlyhania.

Zíďte dole k tunelu, ktorý ju nesie

Dvojica link-local má význam až vtedy, keď medzi oboma bránami existuje bezpečnostná asociácia IPsec. Na strane Google ju tunely HA VPN vytvárajú na dvoch rozhraniach; na vašej strane je to to, čo partner vyjednal. Najprv skontrolujte dátovú asociáciu pomocou swanctl --list-sas a poznamenajte si, ktorý tunel je zdvihnutý na ktorom rozhraní, pretože zdravá relácia BGP cez mŕtvy tunel je nemožná a mŕtvy tunel s nádejnou konfiguráciou je bežná vec.

Paket BGP je vnútorná IP prevádzka. Vonkajšia sieť ho nikdy nevidí, takže žiadny prepínač nepotrebuje obe adresy na jednom VLAN.

Teraz nakonfigurujte linuxového partnera, aby zodpovedal

Vyberte podporovaný návrh tunela a nechajte ho určiť vnútorné adresy. Pri smerovanom rozhraní sa záznam smerovania a vyjednané selektory prevádzky musia zhodovať, pretože samotné meno rozhrania nič nepovoľuje. Nasmerujte BIRD na vnútornú lokálnu adresu a vnútornú adresu Cloud Routera, nastavte čísla AS zo stránky relácie a povoľte TCP 179 vnútri chránenej cesty. Držte trasu k vzdialenej vonkajšej adrese na fyzickom uplinku, aby tunel nezachytil vlastný transport.

Tunel, ktorý smeruje sám seba, je slučka s podaním ruky a hodinu bude vyzerať ako problém s firewallom.

Kontrolujte každú fázu poporiadku, nie všetko naraz

Prejdite fázy: bezpečnostná asociácia zdvihnutá, vnútorný partner dostupný z adresy tunela, relácia BGP nadviazaná, prefixy prijaté, potom prefix pracovnej záťaže skutočne použitý. birdc show protocols odpovedá na tretiu otázku a na nič iné, a preto ľudia vyhlasujú víťazstvo skoro.

Nadviazaný sused nesľubuje, že obe strany inzerovali prefixy, ktoré potrebujete, ani že tie trasy boli nainštalované ako preferované.

Ak je relácia nadviazaná a prevádzka stále ide nesprávnou cestou, porovnajte inzerované prefixy s tým, čo s nimi robí smerovacia tabuľka. Konkrétnejšia trasa inde alebo preferencia inej cesty vám dá fungujúcu reláciu BGP a žiadne užitočné preposielanie.

Zastavte sa, kým to použijete na Router Appliance

Network Connectivity Center Router Appliance je iný model pripojenia. Jeho partneri Cloud Routera používajú vnútorné adresy z usporiadania VPC a podsiete namiesto dvojice link-local HA VPN. Ak je skutočným cieľom BGP s virtuálnym strojom na smerovanie, riaďte sa požiadavkami na rozhranie tohto produktu, namiesto kopírovania link-local relácie.

Rozsah link-local stále znamená to, čo hovorí. Logický tunel zabezpečuje toto susedstvo a neoprávňuje smerovať ľubovoľné link-local ciele cez VPC.