GCP HA VPN: sesioni BGP ngec në Waiting for peer, këmbimi i çiftit të adresave

Një sesion BGP që nuk arrin kurrë Established në një tunel Cloud VPN zakonisht nuk është problem rrugëtimi. Është problem instalimeve: dy adresa që duhet të pasqyrojnë njëra-tjetrën u futën në rendin e gabuar, ose çifti i tunelit të parë u ripërdor në të dytin. Vetë tuneli mund të jetë plotësisht i shëndetshëm ndërsa sesioni qëndron në Waiting for peer, sepse IPsec dhe BGP janë negociata të veçanta midis të njëjtave dy pika fundore. Vendosni cili nga të dy është prishur përpara se të rindërtoni çdo gjë.

Një pyetje zgjidh shumicën e rasteve: a e sheh pajisja e partnerit adresën e Cloud Router fare?

Gjendja e tunelit dhe gjendja e sesionit janë kontrolle të ndryshme

Së pari vijnë IKE dhe ESP. Nëse tuneli nuk është vendosur, asgjë brenda tij nuk ka rëndësi dhe diskutimi për adresën BGP është i parakohshëm. Lexoni statusin dhe statusin e detajuar të tunelit, pastaj statusin e partnerit BGP të ruterit për të njëjtin tunel.

Një tunel që është lart ndërsa partneri i tij BGP është poshtë e ngushton defektin te sesioni: adresa e partnerit, ASN ose TCP 179 që mbërrin në adresën e brendshme. Tunel lart, sesion lart dhe ende pa rrugë në VPC është rasti i tretë. Ndryshimi i adresave nuk ndihmon atje, sepse sesioni tashmë funksionon dhe prefiksi thjesht nuk shpallet ose nuk preferohet. Ndarja e këtyre tre rasteve është pjesa më e madhe e punës.

Çdo tunel ka nevojë për /30 e vet, me të dy skajet të plotësuara

Çdo tunel HA VPN merr një /30 link-local nga 169.254.0.0/16, me një adresë në ndërfaqen e Cloud Router dhe tjetrën te partneri juaj. Fusha e partnerit duhet të emërtojë skajin e largët, kurrë adresën e vetë ruterit.

Dy tunele nënkuptojnë dy ndërfaqe në Cloud Router, secila me një /30 të ndryshme. Ripërdorimi i çiftit të tunelit 0 në tunelin 1 është gabimi që duket i rregullt në një tabelë përmbledhëse dhe vdes në paketën OPEN.

Lexoni çiftin nga burimi i ruterit dhe jo nga përmbledhja e konsolës. Përmbledhja rendit adresën e partnerit në një kolonë që lexohet lehtë gabimisht, dhe ipRange i ndërfaqes plus peerIpAddress i partnerit duhet të përshkruajnë skajet e kundërta të një /30.

Këmbimi zakonisht ndodh gjatë një rindërtimi

Është pikërisht gjatë rindërtimit të një tuneli që çiftet kryqëzohen. Adresa e partnerit të tunelit të vjetër kopjohet në fushën e ndërfaqes të atij të ri, ose sesioni i ri drejtohet te partneri i sesionit të mëparshëm. Në çdo rast Cloud Router dërgon paketa OPEN drejt një adrese që tani është vetë ai ose drejt një adrese pa tunel pas saj.

Shkruani çiftet përpara se të hapni konsolën: emri i tunelit, ndërfaqja, adresa e ruterit, adresa e partnerit, ASN i partnerit. Më pas krijoni të dy tunelet në një hap, që i dyti të mos mbushet me mbetjet e të parit.

Tre arsye të tjera pse një sesion pret

ASN i partnerit është i pari: secila anë duhet të konfigurohet me ASN e anës tjetër, dhe mospërputhja arrin te partneri por nuk vendoset kurrë. E dyta është muri i zjarrit i vetë partnerit, i cili duhet të lejojë TCP 179 në ndërfaqen e tunelit; një rregull IKE ose ESP nuk e mbulon atë. E treta është një partner që përgjigjet nga një adresë burimore tjetër nga ajo e konfiguruar si fqinji i tij.

Regjistri i vetë partnerit është dalluesi. Nëse përmbledhja e tij BGP nuk liston asnjë fqinj për atë adresë, paketat nuk mbërrijnë dhe çifti ose rruga janë të gabuara. Nëse fqinji qëndron në Active ose Connect, paketat mbërrijnë dhe parametrat e sesionit nuk përputhen.

Verifikoni sipas rendit që udhëtojnë paketat

Punoni nga jashtë: gjendja e tunelit, pastaj gjendja e partnerit BGP të ruterit, pastaj përmbledhja BGP e partnerit, pastaj rrugët. Nëse dy të parat janë të shëndetshme, ndaloni së redaktuari anën Cloud VPN dhe punoni në pajisjen e partnerit. Nëse ruteri raporton partnerin si poshtë dhe pajisja juaj nuk ka asnjë fqinj, çifti është i gabuar ose porta BGP është filtruar. Një kapje paketash në ndërfaqen e tunelit të partnerit e zgjidh me një shikim, sepse paketat OPEN ose mbërrijnë atje ose nuk mbërrijnë kurrë.

gcloud compute routers get-status ROUTER --region=REGION shtyp gjendjen e partnerit pranë adresës që përdor, dhe ky është pikërisht çifti që duhet të krahasoni.

Pasi sesioni të vendoset, konfirmoni që prefiksi i mësuar shfaqet në tabelën e rrugëve të VPC dhe që një host nga secila anë përgjigjet. Më pas regjistroni çiftet përfundimtare pranë emrave të tuneleve, që rindërtimi i ardhshëm të nisë nga një tabelë e verifikuar dhe jo nga përmbledhja e konsolës.