BGP naslovi Cloud VPN sodijo v notranjost tunela, ne na omrežno kartico

Odprite stran Cloud Routerja za VPN in v vas strmi seja BGP z naslovom v 169.254.0.0/16. Naravna reakcija je, da ta naslov postavite nekam na VM in čakate, da se seja dvigne. Ta reakcija je napačna na poseben način: par pripada logični povezavi, ki jo ustvari tunel IPsec, ne običajnemu omrežnemu vmesniku stroja. Nič, kar dodate na NIC, ne naredi, da bi tunel prenašal BGP.

Sledite paru po skladu navzdol, namesto da bi ga dodali gostitelju.

Začnite tam, kjer konzola prikaže par

Stran seje navaja naslov BGP Cloud Routerja in naslov partnerja, oba link-local za HA VPN IPv4. Ob njih so zunanji naslovi prehodov, ki zaključujejo tunele. To so različni objekti: par link-local živi znotraj, naslovi prehodov pa živijo zunaj in morajo biti usmerljivi, preden kar koli drugega deluje.

Zapišite vse tri, preden odprete konfiguracijsko datoteko, ker je njihova zamenjava celoten način odpovedi.

Spustite se do tunela, ki ga nosi

Par link-local dobi pomen šele, ko med obema prehodoma obstaja varnostna asociacija IPsec. Na strani Google jo tuneli HA VPN ustvarijo na dveh vmesnikih; na vaši strani je to, kar se je dogovoril partner. Najprej preverite podatkovno asociacijo z swanctl --list-sas in zabeležite, kateri tunel je dvignjen na katerem vmesniku, ker je zdrava seja BGP čez mrtev tunel nemogoča, mrtev tunel z upanja polno konfiguracijo pa je običajen.

Paket BGP je notranji promet IP. Zunanje omrežje ga nikoli ne vidi, zato nobeno stikalo ne potrebuje obeh naslovov na enem VLAN-u.

Zdaj konfigurirajte partnerja Linux, da se ujema

Izberite podprto zasnovo tunela in pustite, da ta določi notranje naslove. Pri usmerjanem vmesniku se morata vnos usmerjanja in dogovorjeni izbirniki prometa ujemati, ker samo ime vmesnika ničesar ne dovoljuje. Usmerite BIRD na notranji lokalni naslov in notranji naslov Cloud Routerja, nastavite številke AS s strani seje in dovolite TCP 179 znotraj zaščitene poti. Držite pot do oddaljenega zunanjega naslova na fizični povezavi, da tunel ne ujame lastnega prevoza.

Tunel, ki usmerja samega sebe, je zanka z rokovanjem in eno uro bo videti kot težava z požarnim zidom.

Preverite vsako stopnjo po vrsti, ne vsega hkrati

Pojdite skozi stopnje: varnostna asociacija dvignjena, notranji partner dosegljiv z naslova tunela, seja BGP vzpostavljena, predpone sprejete, nato predpona delovne obremenitve dejansko uporabljena. birdc show protocols odgovori na tretje vprašanje in na nič drugega, zato ljudje zmago razglasijo prezgodaj.

Vzpostavljen sosed ne obljublja, da sta obe strani objavili predpone, ki jih potrebujete, ali da so bile te poti nameščene kot prednostne.

Če je seja vzpostavljena in promet še vedno gre po napačni poti, primerjajte objavljene predpone s tem, kaj z njimi naredi usmerjevalna tabela. Bolj specifična pot drugje ali prednost drugačni poti vam da delujočo sejo BGP in nobenega koristnega posredovanja.

Ustavite se, preden to uporabite na Router Appliance

Network Connectivity Center Router Appliance je drugačen model priklopa. Njegovi partnerji Cloud Router uporabljajo notranje naslove iz razporeditve VPC in podomrežja namesto para link-local HA VPN. Če je pravi cilj BGP z usmerjevalnim VM, sledite zahtevam vmesnika tega izdelka, namesto da kopirate sejo link-local.

Obseg link-local še vedno pomeni to, kar pravi. Logični tunel zagotavlja to sosedstvo in ne daje licence za usmerjanje poljubnih ciljev link-local po VPC.