Google HA VPN drejt routerit Cisco: planifikoni së pari burimin e partnerit
Emërtoni të dy ndërfaqet e Google, burimin e partnerit, kontratën IKEv2 dhe çdo sesion BGP përpara se të konfiguroni routerin Cisco, më pas zgjidhni një partner ose dy.
Vendimi i parë në një HA VPN Cisco-Google nuk është cili profil kriptografik të përdoret, por nëse një pajisje lokale apo dy do t'i përfundojnë tunelet. Porta HA VPN e Google ka dy ndërfaqe dhe secila pret një tunel partneri përkatës. Kjo ju jep dy tunele pavarësisht nëse keni dy routerë apo jo, dhe ndryshimi është nëse një furnizim i vetëm me energji ose një përditësim softuerik mund të rrëzojë të gjithë projektin.
Vendimi është një pajisje partneri ose dy
Zgjidhni planin sipas tre kushteve: nëse mund të pranoni një pikë lokale dështimi, nëse duhet të përdoren të dy ndërfaqet e resë dhe sa rikonvergjencë tolerojnë ngarkesat tuaja. Nëse ndonjë nga të tre është kërkesë e rreptë, dy pajisje partneri është përgjigjja e sinqertë.
Vendoseni këtë përpara se të hapni një konsolë, sepse përgjigjja ndryshon sa tunele dhe sesione BGP duhet të përshkruajë fleta e punës.
Shkruani fletën e punës përpara çdo komande
Fleta e punës ka pesë rreshta dhe secili ka nevojë për një pronar:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Burimi i jashtëm i partnerit përshkruan ndërfaqet tuaja brenda Google Cloud dhe krijimi i tij nuk e konfiguron routerin Cisco. Kjo asimetri i befason ata që presin që konsola e resë të jetë burimi i së vërtetës për të dy skajet. Është një deklaratë se çfarë duhet të presë Google, dhe routeri ende duhet t'i përshtatet asaj. Udhëzuesi i portës së partnerit i Google e pasqyron këtë deklaratë në punën me tunelin, BGP, firewall-in dhe IKE që ju ende i keni borxh.
Nëse një rresht nuk ka pronar, do ta plotësojë kushdo që është në turn gjatë kalimit.
Mbani tre rolet e adresave të ndara
Adresat publike të partnerit mbajnë shkëmbimin e jashtëm IPsec. Çifti i brendshëm BGP i përket lidhjes logjike të mbrojtur që kalon mbi të. Prefiksat e shpallur LAN dhe VPC përshkruajnë ngarkesat prapa asaj lidhjeje. Kopjimi i adresës së brendshme të një VM-je në fushën e partnerit të jashtëm përzien dy rolet e para dhe dështimi duket si problem negociimi, jo si gabim futjeje të dhënash.
Planifikoni dy tunele partneri përkatës, një për çdo ndërfaqe HA VPN. Përdorimi i të dy ndërfaqeve të resë nuk e heq vetvetiu pikën lokale të dështimit, sepse të dy tunelet mund të ulen ende në të njëjtin shasi.
Shkruani rolin e adresës pranë çdo vlere në fletën e punës. Ky zakon i vetëm parandalon shumicën e përzierjes.
Përktheni fletën e punës në versionin Cisco
Filloni nga dokumentacioni i mbështetur i partnerit ose nga një shabllon konfigurimi Google që përputhet me platformën tuaj, më pas rakordoni çdo vendmbajtës me fletën e punës. Kontrolloni njëkohësisht vërtetimin IKEv2, propozimet ESP, PFS dhe modelin e tunelit dhe të rrugëzimit, sepse një mospërputhje në njërën zakonisht shfaqet si mospërputhje në tjetrën. Përdorni platformën dhe versionin aktual të softuerit për të zgjedhur çfarë mbështetet, pasi receta Classic VPN është një pikënisje tjetër.
Mbani sekretin e përbashkët jashtë pamjeve të ekranit, bashkëngjitjeve të tiketave dhe shënimeve të mbështetjes. Një çelës i para-ndarë i ngjitur në një koment rasti është zbulim kredencialesh, jo një artefakt zgjidhjeje problemesh.
Nëse shablloni dhe fleta e punës nuk pajtohen, ndaloni dhe zgjidheni në letër. Pajisja nuk do të gjykojë në vendin tuaj.
Pranoni çdo tunel mbi provat e tij
HA VPN kërkon sesione BGP, dhe një negocim IKE i suksesshëm vendos vetëm fazën e parë. Sesioni i brendshëm duhet të ngrihet, prefiksat e synuar duhet të shpallen dhe të pranohen, dhe rrugë të dobishme plus leje të firewall-it duhet të ekzistojnë përpara se të lëvizë trafiku i ngarkesave. Regjistrimi i të gjithave si një dritë e vetme e gjelbër fsheh se cila fazë dështoi në të vërtetë.
Regjistroni provat e pranimit për çdo tunel: shoqatat e sigurisë të negociuara, gjendjen e fqinjit BGP, prefiksat e pritur të mësuar dhe shtegun e synuar të ngarkesës. Më pas kryeni një provë të kontrolluar dështimi dhe rikuperimi, sepse një tunel që nuk ka dështuar kurrë është një tunel shtegu i rikuperimit të të cilit nuk është provuar.
Ai regjistrim është i ripërdorshëm herën tjetër kur dizajni ndryshon dhe është ndryshimi midis një interoperabiliteti dhe një fragmenti komande, supozimet e të cilit u humbën.