Google HA VPN สู่เราเตอร์ Cisco: วางแผนทรัพยากรเพียร์ก่อน
ตั้งชื่ออินเทอร์เฟซทั้งสองของ Google ทรัพยากรเพียร์ ข้อตกลง IKEv2 และเซสชัน BGP ทุกเซสชันก่อนกำหนดค่าเราเตอร์ Cisco จากนั้นเลือกเพียร์หนึ่งหรือสอง
การตัดสินใจแรกใน HA VPN จาก Cisco ไปยัง Google ไม่ใช่ว่าจะใช้โปรไฟล์การเข้ารหัสใด แต่เป็นว่าจะให้อุปกรณ์ภายในองค์กรหนึ่งเครื่องหรือสองเครื่องเป็นตัวปิดอุโมงค์ เกตเวย์ HA VPN ของ Google มีสองอินเทอร์เฟซ และแต่ละอินเทอร์เฟซคาดหวังอุโมงค์เพียร์ที่สอดคล้องกัน นั่นทำให้คุณมีสองอุโมงค์ไม่ว่าคุณจะมีเราเตอร์สองเครื่องหรือไม่ และความแตกต่างอยู่ที่ว่าแหล่งจ่ายไฟเพียงแหล่งเดียวหรือการอัปเกรดซอฟต์แวร์สามารถทำให้ทั้งการออกแบบล่มได้หรือไม่
การตัดสินใจคืออุปกรณ์เพียร์หนึ่งเครื่องหรือสองเครื่อง
เลือกโครงร่างจากเงื่อนไขสามข้อ: คุณยอมรับจุดล้มเหลวภายในได้หรือไม่ ต้องใช้อินเทอร์เฟซคลาวด์ทั้งสองหรือไม่ และเวิร์กโหลดของคุณทนต่อการรวมเส้นทางใหม่ได้มากเพียงใด หากข้อใดข้อหนึ่งเป็นข้อกำหนดที่เข้มงวด คำตอบที่ตรงไปตรงมาคืออุปกรณ์เพียร์สองเครื่อง
ตัดสินใจเรื่องนี้ก่อนเปิดคอนโซล เพราะคำตอบเปลี่ยนจำนวนอุโมงค์และเซสชัน BGP ที่เวิร์กชีตต้องอธิบาย
เขียนเวิร์กชีตก่อนคำสั่งใด ๆ
เวิร์กชีตมีห้าแถว และแต่ละแถวต้องมีเจ้าของ:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
ทรัพยากรเพียร์ภายนอกอธิบายอินเทอร์เฟซของคุณภายใน Google Cloud และการสร้างมันไม่ได้กำหนดค่าเราเตอร์ Cisco ความไม่สมมาตรนี้ทำให้คนที่คาดว่าคอนโซลคลาวด์จะเป็นแหล่งความจริงสำหรับทั้งสองฝั่งประหลาดใจ มันเป็นการประกาศว่า Google ควรคาดหวังอะไร และเราเตอร์ยังต้องทำให้สอดคล้อง คู่มือเกตเวย์เพียร์ของ Google เชื่อมการประกาศนั้นเข้ากับงานอุโมงค์ BGP ไฟร์วอลล์ และ IKE ที่คุณยังค้างอยู่
หากแถวใดไม่มีเจ้าของ คนที่อยู่เวรระหว่างการสลับจะเติมให้
แยกบทบาทของที่อยู่ทั้งสามออกจากกัน
ที่อยู่เพียร์สาธารณะรับการแลกเปลี่ยน IPsec ภายนอก คู่ BGP ภายในเป็นของการเชื่อมต่อเชิงตรรกะที่ได้รับการป้องกันซึ่งวิ่งอยู่เหนือมัน คำนำหน้า LAN และ VPC ที่ประกาศอธิบายเวิร์กโหลดที่อยู่เบื้องหลังการเชื่อมต่อนั้น การคัดลอกที่อยู่ภายในของ VM ไปยังช่องเพียร์ภายนอกจะผสมบทบาทสองอย่างแรก และความล้มเหลวจะดูเหมือนปัญหาการเจรจามากกว่าข้อผิดพลาดในการป้อนข้อมูล
วางแผนอุโมงค์เพียร์ที่สอดคล้องกันสองอุโมงค์ หนึ่งอุโมงค์ต่ออินเทอร์เฟซ HA VPN หนึ่งอัน การใช้อินเทอร์เฟซคลาวด์ทั้งสองไม่ได้ขจัดจุดล้มเหลวภายในโดยตัวมันเอง เพราะทั้งสองอุโมงค์ยังลงเอยบนแชสซีเดียวกันได้
เขียนบทบาทของที่อยู่ข้างค่าทุกค่าในเวิร์กชีต นิสัยเดียวนี้ป้องกันการผสมได้เกือบทั้งหมด
แปลเวิร์กชีตเป็นรีลีสของ Cisco
เริ่มจากเอกสารเพียร์ที่รองรับหรือเทมเพลตการกำหนดค่า Google ที่ตรงกับแพลตฟอร์มของคุณ จากนั้นกระทบยอดตัวยึดตำแหน่งทุกตัวกับเวิร์กชีต ตรวจสอบการรับรองความถูกต้อง IKEv2 ข้อเสนอ ESP PFS และโมเดลอุโมงค์และการกำหนดเส้นทางพร้อมกัน เพราะความไม่ตรงกันในอย่างหนึ่งมักปรากฏเป็นความไม่ตรงกันในอีกอย่างหนึ่ง ใช้แพลตฟอร์มและรีลีสซอฟต์แวร์จริงเพื่อเลือกสิ่งที่รองรับ เนื่องจากสูตร Classic VPN เป็นจุดเริ่มต้นที่แตกต่าง
เก็บความลับที่ใช้ร่วมกันออกจากภาพหน้าจอ ไฟล์แนบตั๋ว และบันทึกช่วยเหลือ คีย์ที่ใช้ร่วมกันล่วงหน้าที่วางในความคิดเห็นเคสคือการเปิดเผยข้อมูลรับรอง ไม่ใช่สิ่งประดิษฐ์สำหรับการแก้ไขปัญหา
หากเทมเพลตกับเวิร์กชีตไม่ตรงกัน ให้หยุดและแก้บนกระดาษ อุปกรณ์จะไม่ตัดสินแทนคุณ
ยอมรับแต่ละอุโมงค์ด้วยหลักฐานของมันเอง
HA VPN ต้องมีเซสชัน BGP และการเจรจา IKE ที่สำเร็จ กำหนดเพียงขั้นแรกเท่านั้น เซสชันภายในต้องขึ้นมา คำนำหน้าที่ตั้งใจไว้ต้องถูกประกาศและยอมรับ และเส้นทางที่มีประโยชน์กับการอนุญาตไฟร์วอลล์ต้องมีอยู่ก่อนที่ทราฟฟิกเวิร์กโหลดจะเคลื่อนที่ การบันทึกทั้งหมดนั้นเป็นไฟเขียวเดียวจะซ่อนว่าขั้นตอนใดล้มเหลวจริง
บันทึกหลักฐานการยอมรับต่ออุโมงค์: ความสัมพันธ์ความปลอดภัยที่เจรจาแล้ว สถานะเพื่อนบ้าน BGP คำนำหน้าที่เรียนรู้ที่คาดไว้ และเส้นทางเวิร์กโหลดที่ตั้งใจ จากนั้นทำการทดสอบความล้มเหลวและการกู้คืนแบบควบคุม เพราะอุโมงค์ที่ไม่เคยล้มเหลวคืออุโมงค์ที่เส้นทางการกู้คืนยังไม่ถูกทดสอบ
บันทึกนั้นนำกลับมาใช้ได้เมื่อการออกแบบเปลี่ยนในครั้งถัดไป และนั่นคือความแตกต่างระหว่างการทำงานร่วมกันกับชิ้นส่วนคำสั่งที่สมมติฐานสูญหาย