BGP адресе Cloud VPN припадају унутрашњости тунела, а не мрежној картици

Отворите страницу Cloud Router-а за VPN и у вас гледа BGP сесија са адресом у 169.254.0.0/16. Природна реакција је да ту адресу сместите негде на VM и чекате да се сесија подигне. Та реакција је погрешна на посебан начин: пар припада логичкој вези коју ствара IPsec тунел, а не обичном мрежном интерфејсу машине. Ништа што додате на NIC не тера тунел да носи BGP.

Пратите пар низ стек уместо да га додате на хост.

Почните од места где конзола приказује пар

Страница сесије наводи BGP адресу Cloud Router-а и адресу партнера, обе link-local за IPv4 HA VPN. Поред њих су спољне адресе гејта које терминирају тунеле. То су различити објекти: link-local пар живи унутра, а адресе гејта живе споља и морају бити рутабилне пре него што било шта друго проради.

Запишите све три пре отварања конфигурационе датотеке, јер је њихово мешање цео начин квара.

Сиђите до тунела који га носи

Link-local пар има смисла тек када између два гејта постоји IPsec безбедносна асоцијација. На Google страни HA VPN тунели је стварају на два интерфејса; на вашој страни то је оно што је партнер договорио. Прво проверите асоцијацију података са swanctl --list-sas и забележите који је тунел подигнут на ком интерфејсу, јер је здрава BGP сесија преко мртвог тунела немогућа, а мртав тунел са конфигурацијом пуном наде уобичајен.

BGP пакет је унутрашњи IP саобраћај. Спољна мрежа га никада не види, па ниједном свичу не требају обе адресе на једном VLAN-у.

Сада конфигуришите Linux партнера да одговара

Изаберите подржани дизајн тунела и пустите га да одреди унутрашње адресе. Код рутираног интерфејса запис рутирања и договорени селектори саобраћаја морају да се слажу, јер само име интерфејса ништа не дозвољава. Усмерите BIRD на унутрашњу локалну адресу и унутрашњу адресу Cloud Router-а, поставите AS бројеве са странице сесије и дозволите TCP 179 унутар заштићене стазе. Држите руту ка удаљеној спољној адреси на физичком uplink-у како тунел не би захватио сопствени транспорт.

Тунел који сам себе рутира је петља са руковањем и сат времена ће изгледати као проблем са заштитним зидом.

Проверавајте сваку фазу редом, а не све одједном

Прођите фазе: безбедносна асоцијација подигнута, унутрашњи партнер доступан са адресе тунела, BGP сесија успостављена, префикси прихваћени, затим префикс радног оптерећења заиста коришћен. birdc show protocols одговара на треће питање и ни на шта друго, зато људи рано проглашавају победу.

Успостављени сусед не обећава да су обе стране објавиле префиксе који су вам потребни ни да су те руте инсталиране као пожељне.

Ако је сесија успостављена а саобраћај и даље иде погрешним путем, упоредите објављене префиксе са оним што таблица рутирања чини са њима. Специфичнија рута негде другде или предност другом путу даје вам исправну BGP сесију и никакво корисно прослеђивање.

Зауставите се пре него што то примените на Router Appliance

Network Connectivity Center Router Appliance је другачији модел прикључка. Његови Cloud Router партнери користе унутрашње адресе из распореда VPC-а и подмреже уместо link-local пара HA VPN-а. Ако је прави циљ BGP са VM-ом за рутирање, следите захтеве интерфејса тог производа уместо да копирате link-local сесију.

Link-local опсег и даље значи оно што каже. Логички тунел обезбеђује ово суседство и не дозвољава рутирање произвољних link-local одредишта преко VPC-а.