Google HA VPN do usmerjevalnika Cisco: najprej načrtujte vir partnerja
Poimenujte oba vmesnika Google, vir partnerja, pogodbo IKEv2 in vsako sejo BGP, preden konfigurirate usmerjevalnik Cisco, nato izberite enega partnerja ali dva.
Prva odločitev pri HA VPN med Cisco in Google ni, kateri kriptoprofil uporabiti, ampak ali bodo tunske povezave zaključile ena lokalna naprava ali dve. Prehod HA VPN pri Google ima dva vmesnika in vsak pričakuje ustrezen partnerski tunel. To vam da dva tunela ne glede na to, ali imate dva usmerjevalnika, razlika pa je, ali lahko en napajalnik ali programska posodobitev podre celotno zasnovo.
Odločitev je ena partnerska naprava ali dve
Izberite postavitev glede na tri pogoje: ali lahko sprejmete lokalno točko odpovedi, ali je treba uporabiti oba oblaka vmesnikov in koliko ponovne konvergence prenesejo vaše delovne obremenitve. Če je kateri od treh trdna zahteva, sta dve partnerski napravi pošten odgovor.
Odločite se o tem, preden odprete konzolo, ker odgovor spreminja, koliko tunelov in sej BGP mora opisati delovni list.
Napišite delovni list pred katerim koli ukazom
Delovni list ima pet vrstic in vsaka potrebuje lastnika:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Zunanji partnerski vir opisuje vaše vmesnike znotraj Google Cloud in njegovo ustvarjanje ne konfigurira usmerjevalnika Cisco. Ta asimetrija preseneča ljudi, ki pričakujejo, da bo oblačna konzola vir resnice za oba konca. To je izjava o tem, kaj naj Google pričakuje, usmerjevalnik pa se ji mora še vedno ujemati. Googlov vodnik za partnerski prehod to izjavo preslika v delo s tunelom, BGP, požarnim zidom in IKE, ki vam ga še dolguje.
Če vrstica nima lastnika, jo bo izpolnil tisti, ki je med preklopom v izmeni.
Tri vloge naslovov držite ločeno
Javni partnerski naslovi nosijo zunanjo izmenjavo IPsec. Notranji par BGP pripada zaščiteni logični povezavi, ki teče prek njega. Oglaševane predpone LAN in VPC opisujejo delovne obremenitve za to povezavo. Kopiranje notranjega naslova navideznega stroja v polje zunanjega partnerja zmeša prvi dve vlogi in odpoved je videti kot težava s pogajanjem, ne kot napaka pri vnosu podatkov.
Načrtujte dva ustrezna partnerska tunela, po enega za vsak vmesnik HA VPN. Uporaba obeh oblačnih vmesnikov sama po sebi ne odpravi lokalne točke odpovedi, ker lahko oba tunela še vedno pristaneta na istem ohišju.
Vlogo naslova zapišite ob vsako vrednost v delovnem listu. Ta ena navada prepreči večino mešanja.
Prenesite delovni list v izdajo Cisco
Začnite s podprto partnersko dokumentacijo ali z ustrezno predlogo konfiguracije Google za vašo platformo, nato uskladite vsak nadomestni znak z delovnim listom. Preverite preverjanje pristnosti IKEv2, predloge ESP, PFS ter model tunela in usmerjanja skupaj, ker se neskladje v enem običajno pokaže kot neskladje v drugem. Uporabite dejansko platformo in izdajo programske opreme za izbiro podprtega, saj je recept Classic VPN druga izhodiščna točka.
Skupno skrivnost hranite zunaj posnetkov zaslona, prilog kartic in opomb za podporo. Vnaprej deljeni ključ, prilepljen v komentar primera, je razkritje poverilnic, ne pripomoček za odpravljanje težav.
Če se predloga in delovni list ne ujemata, se ustavite in to rešite na papirju. Naprava ne bo razsodila namesto vas.
Vsak tunel sprejmite na podlagi njegovih lastnih dokazov
HA VPN potrebuje seje BGP in uspešno pogajanje IKE vzpostavi le prvo stopnjo. Notranja seja se mora dvigniti, predvidene predpone morajo biti oglaševane in sprejete, uporabne poti in dovoljenja požarnega zidu pa morajo obstajati, preden se promet delovnih obremenitev premakne. Če vse to zabeležite kot eno zeleno luč, skrijete, katera stopnja je dejansko odpovedala.
Za vsak tunel zabeležite dokaze o sprejemu: izpogajane varnostne povezave, stanje soseda BGP, pričakovane naučene predpone in predvideno pot delovne obremenitve. Nato izvedite nadzorovani preizkus odpovedi in obnovitve, ker je tunel, ki ni nikoli odpovedal, tunel z nepreizkušeno potjo obnovitve.
Ta zapis je mogoče znova uporabiti ob naslednji spremembi zasnove in to je razlika med medsebojnim delovanjem in delčkom ukaza, katerega predpostavke so se izgubile.