Adresat BGP të Cloud VPN përkasin brendësisë së tunelit, jo kartës së rrjetit

Hapni faqen Cloud Router për VPN dhe një sesion BGP me adresë në 169.254.0.0/16 ju shikon. Reagimi i natyrshëm është të vendosni atë adresë diku në VM dhe të prisni që sesioni të ngrihet. Ky reagim është i gabuar në një mënyrë specifike: çifti i përket lidhjes logjike që krijon tuneli IPsec, jo ndërfaqes së zakonshme të rrjetit të makinës. Asgjë që shtoni në NIC nuk e bën tunelin të mbajë BGP.

Ndiqeni çiftin poshtë në stivë në vend që ta shtoni në host.

Filloni aty ku konsola tregon çiftin

Faqja e sesionit liston një adresë BGP të Cloud Router dhe një adresë partneri, të dyja link-local për një HA VPN IPv4. Pranë tyre janë adresat e portës së jashtme që përfundojnë tunelet. Këto janë objekte të ndryshme: çifti link-local jeton brenda, ndërsa adresat e portës jetojnë jashtë dhe duhet të jenë të rrugëtueshme përpara se çdo gjë tjetër të funksionojë.

Shkruajini të treja para se të hapni një skedar konfigurimi, sepse ngatërrimi i tyre është i gjithë mënyra e dështimit.

Zbritni te tuneli që e mbart

Çifti link-local ka kuptim vetëm kur ekziston një asociacion sigurie IPsec midis dy portave. Nga ana e Google tunelet HA VPN e krijojnë atë në dy ndërfaqet; nga ana juaj është ajo që ka negociuar partneri. Së pari kontrolloni asociacionin e të dhënave me swanctl --list-sas dhe shënoni cili tunel është lart në cilën ndërfaqe, sepse një sesion BGP i shëndetshëm mbi një tunel të vdekur është i pamundur dhe një tunel i vdekur me konfigurim plot shpresë është i zakonshëm.

Paketa BGP është trafik IP i brendshëm. Rrjeti i jashtëm nuk e sheh kurrë, kështu që asnjë komutator nuk ka nevojë për të dyja adresat në një VLAN.

Tani konfiguroni partnerin Linux që të përputhet

Zgjidhni modelin e tunelit të mbështetur dhe lëreni atë të vendosë adresat e brendshme. Me një ndërfaqe të bazuar në rrugëtim, zëri i rrugëtimit dhe përzgjedhësit e trafikut të negociuar duhet të pajtohen, sepse vetëm emri i ndërfaqes nuk lejon asgjë. Drejtojeni BIRD te adresa lokale e brendshme dhe adresa e brendshme e Cloud Router, vendosni numrat AS nga faqja e sesionit dhe lejoni TCP 179 brenda shtegut të mbrojtur. Mbani rrugën drejt adresës së jashtme të largët në uplink-un fizik, që tuneli të mos kapë transportin e vet.

Një tunel që rrugëton vetveten është një lak me një shtrëngim duarsh dhe për një orë do të duket si problem i murit të zjarrit.

Kontrolloni çdo fazë me radhë, jo gjithçka përnjëherë

Kaloni nëpër fazat: asociacioni i sigurisë lart, partneri i brendshëm i arritshëm nga adresa e tunelit, sesioni BGP i vendosur, prefikset e pranuara, pastaj një prefiks i ngarkesës së punës i përdorur vërtet. birdc show protocols përgjigjet vetëm pyetjes së tretë, prandaj njerëzit shpallin fitore herët.

Një fqinj i vendosur nuk garanton që të dy palët kanë shpallur prefikset që ju nevojiten, ose që ato rrugë janë instaluar si të preferuara.

Nëse sesioni është i vendosur dhe trafiku ende merr rrugën e gabuar, krahasoni prefikset e shpallura me atë që bën tabela e rrugëtimit me to. Një rrugë më specifike diku tjetër, ose një preferencë për një rrugë tjetër, ju jep një sesion BGP që funksionon dhe asnjë përcjellje të dobishme.

Ndaloni përpara se ta zbatoni këtë në Router Appliance

Network Connectivity Center Router Appliance është një model tjetër lidhjeje. Partnerët e tij Cloud Router përdorin adresa të brendshme nga rregullimi i VPC dhe nënrrjetit në vend të çiftit link-local të HA VPN. Nëse qëllimi i vërtetë është BGP me një VM rrugëtimi, ndiqni kërkesat e ndërfaqes së atij produkti në vend që të kopjoni një sesion link-local.

Shtrirja link-local ende do të thotë atë që thotë. Tuneli logjik siguron këtë fqinjësi dhe nuk jep licencë për të rrugëtuar destinacione arbitrare link-local në të gjithë VPC.