Google HA VPN ка Cisco рутеру: прво испланирајте ресурс суседа
Именујте оба Google интерфејса, ресурс суседа, IKEv2 уговор и сваку BGP сесију пре конфигурисања Cisco рутера, па изаберите једног суседа или два.
Прва одлука у HA VPN-у између Cisco-а и Google-а није који крипто профил користити, већ да ли ће тунеле завршавати један локални уређај или два. Google HA VPN пролаз има два интерфејса и сваки очекује одговарајући суседски тунел. То вам даје два тунела без обзира на то имате ли два рутера, а разлика је у томе може ли једно напајање или софтверска надоградња срушити цео дизајн.
Одлука је један суседски уређај или два
Изаберите распоред према три услова: да ли можете прихватити локалну тачку отказа, да ли оба облака интерфејса морају бити искоришћена и колико реконвергенције ваша радна оптерећења толеришу. Ако је било који од три тврд захтев, два суседска уређаја су искрен одговор.
Одлучите то пре него што отворите конзолу, јер одговор мења колико тунела и BGP сесија радни лист мора да опише.
Напишите радни лист пре било које команде
Радни лист има пет редова и сваком је потребан власник:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Спољни суседски ресурс описује ваше интерфејсе унутар Google Cloud-а, а његово креирање не конфигурише Cisco рутер. Та асиметрија изненађује људе који очекују да конзола облака буде извор истине за оба краја. То је изјава о томе шта Google треба да очекује, а рутер и даље мора да јој одговара. Google-ов водич за суседски пролаз пресликава ту изјаву на рад на тунелу, BGP-у, заштитном зиду и IKE-у који вам још дугује.
Ако ред нема власника, попуниће га онај ко је на смени током пребацивања.
Држите три улоге адреса одвојено
Јавне суседске адресе носе спољну IPsec размену. Унутрашњи BGP пар припада заштићеној логичкој вези која иде преко њега. Оглашени LAN и VPC префикси описују радна оптерећења иза те везе. Копирање интерне адресе виртуелне машине у поље спољног суседа меша прве две улоге, а отказ изгледа као проблем преговарања, не као грешка при уносу.
Испланирајте два одговарајућа суседска тунела, по један за сваки HA VPN интерфејс. Коришћење оба облака интерфејса само по себи не уклања локалну тачку отказа, јер оба тунела и даље могу да слете на исто шасије.
Упишите улогу адресе поред сваке вредности у радном листу. Та једна навика спречава већину мешања.
Преведите радни лист у Cisco издање
Почните од подржане суседске документације или одговарајућег Google шаблона конфигурације за вашу платформу, па ускладите сваки резервисани елемент са радним листом. Проверите IKEv2 аутентификацију, ESP предлоге, PFS и модел тунела и рутирања заједно, јер несклад у једном од њих обично изгледа као несклад у другом. Користите стварну платформу и издање софтвера да изаберете шта је подржано, пошто је Classic VPN рецепт друга полазна тачка.
Држите дељену тајну ван снимака екрана, прилога тикета и белешки подршке. Унапред дељени кључ налепљен у коментар случаја је откривање акредитива, а не артефакт за отклањање проблема.
Ако се шаблон и радни лист не слажу, зауставите се и решите то на папиру. Уређај неће пресудити уместо вас.
Прихватите сваки тунел на основу сопствених доказа
HA VPN захтева BGP сесије, а успешно IKE преговарање успоставља само прву фазу. Унутрашња сесија мора да се подигне, предвиђени префикси морају да буду оглашени и прихваћени, а корисне руте и дозволе заштитног зида морају да постоје пре него што крене саобраћај радних оптерећења. Бележење свега тога као једног зеленог светла крије која је фаза заправо пала.
Бележите доказе прихватања по тунелу: преговаране безбедносне асоцијације, стање BGP суседа, очекиване научене префиксе и предвиђену путању радног оптерећења. Затим изведите контролисану проверу отказа и опоравка, јер тунел који никада није пао је тунел чија путања опоравка није испробана.
Тај запис се може поново употребити следећи пут када се дизајн промени, и то је разлика између интероперабилности и фрагмента команде чије су претпоставке изгубљене.