Ang mga BGP address ng Cloud VPN ay nasa loob ng tunnel, hindi sa network card

Buksan ang Cloud Router page para sa VPN at isang BGP session na may address sa 169.254.0.0/16 ang tumitingin sa iyo. Ang natural na reaksyon ay ilagay ang address na iyon sa isang lugar sa VM at hintayin na umangat ang session. Mali ang reaksyong iyon sa isang partikular na paraan: ang pares ay kabilang sa lohikal na link na nililikha ng tunnel ng IPsec, hindi sa ordinaryong network interface ng makina. Wala sa idadagdag mo sa NIC ang gagawa sa tunnel na magdala ng BGP.

Sundan ang pares pababa sa stack sa halip na idagdag ito sa host.

Magsimula kung saan ipinapakita ng console ang pares

Inililista ng page ng session ang isang BGP address ng Cloud Router at isang peer address, parehong link-local para sa IPv4 HA VPN. Sa tabi nila ay ang mga panlabas na gateway address na nagtatapos sa mga tunnel. Magkaibang bagay ang mga ito: ang link-local pair ay nakatira sa loob, at ang mga gateway address ay nakatira sa labas at dapat na maruruta bago gumana ang anumang iba.

Isulat ang tatlo bago magbukas ng configuration file, dahil ang paghahalo sa kanila ang buong failure mode.

Bumaba sa tunnel na nagdadala nito

May kahulugan lamang ang link-local pair kapag may IPsec security association sa pagitan ng dalawang gateway. Sa panig ng Google, nililikha ito ng mga HA VPN tunnel sa dalawang interface; sa panig mo, ito ang napagkasunduan ng peer. Suriin muna ang data association gamit ang swanctl --list-sas at itala kung aling tunnel ang nakaangat sa aling interface, dahil imposible ang malusog na BGP session sa ibabaw ng patay na tunnel at karaniwan ang patay na tunnel na may puspos na pag-asang configuration.

Ang BGP packet ay panloob na IP traffic. Hindi ito nakikita kailanman ng panlabas na network, kaya walang switch na nangangailangan ng dalawang address sa isang VLAN.

Ngayon i-configure ang Linux peer upang tumugma

Piliin ang sinusuportahang disenyo ng tunnel at hayaan itong magpasya sa mga panloob na address. Sa interface na nakabatay sa routing, dapat magkasundo ang routing entry at ang napagkasunduang traffic selector, dahil walang pinapayagan ang pangalan ng interface lamang. Ituro ang BIRD sa panloob na lokal na address at sa panloob na address ng Cloud Router, itakda ang mga AS number mula sa page ng session, at payagan ang TCP 179 sa loob ng protektadong landas. Panatilihin ang ruta patungo sa malayong panlabas na address sa pisikal na uplink upang hindi mahuli ng tunnel ang sarili nitong transport.

Ang tunnel na nagruruta sa sarili nito ay isang loop na may pakikipagkamay, at magmumukhang problema sa firewall ito sa loob ng isang oras.

Suriin ang bawat yugto nang sunud-sunod, hindi lahat nang sabay

Daanan ang mga yugto: nakaangat ang security association, naaabot ang panloob na peer mula sa address ng tunnel, naitatag ang BGP session, tinanggap ang mga prefix, pagkatapos ay talagang ginamit ang prefix ng workload. Sinasagot ng birdc show protocols ang ikatlong tanong at wala nang iba, kaya maagang nagpapahayag ng tagumpay ang mga tao.

Hindi ginagarantiyahan ng naitatag na kapitbahay na inihayag ng magkabilang panig ang mga prefix na kailangan mo, o na ang mga rutang iyon ay na-install bilang ginusto.

Kung naitatag ang session at mali pa rin ang dinadaanan ng traffic, ihambing ang mga inihayag na prefix sa ginagawa ng routing table sa mga ito. Ang isang mas tiyak na ruta sa ibang lugar, o isang kagustuhan para sa ibang landas, ay nagbibigay sa iyo ng gumaganang BGP session at walang kapaki-pakinabang na pagpapasa.

Huminto bago mo ito ilapat sa Router Appliance

Ang Network Connectivity Center Router Appliance ay ibang modelo ng attachment. Ginagamit ng mga Cloud Router peer nito ang mga panloob na address mula sa kaayusan ng VPC at subnet sa halip na ang link-local pair ng HA VPN. Kung ang tunay na layunin ay BGP sa isang routing VM, sundin ang mga kinakailangan sa interface ng produktong iyon sa halip na kopyahin ang link-local session.

Ang saklaw ng link-local ay nangangahulugan pa rin ng sinasabi nito. Ibinebigay ng lohikal na tunnel ang pagkakapitbahay na ito, at hindi nito nililisensiyahan ang pagruruta ng mga arbitraryong link-local destinasyon sa buong VPC.