Cloud VPN'in BGP adresleri NIC'te değil, tünelin içinde yaşar

VPN'in Cloud Router sayfasını açın ve 169.254.0.0/16 içinde adresi olan bir BGP oturumu size bakıyor. Doğal tepki o adresi VM üzerinde bir yere koyup oturumun kalkmasını beklemektir. Bu tepki belirli bir şekilde yanlıştır: çift, IPsec tünelinin oluşturduğu mantıksal bağlantıya aittir, makinenin sıradan ağ arayüzüne değil. NIC'e eklediğiniz hiçbir şey tünelin BGP taşımasını sağlamaz.

Çifti ana makineye eklemek yerine yığında aşağı doğru izleyin.

Konsolun çifti gösterdiği yerden başlayın

Oturum sayfası bir Cloud Router BGP adresi ve bir eş adresi listeler; IPv4 HA VPN için ikisi de link-local'dır. Yanlarında tünelleri sonlandıran dış ağ geçidi adresleri vardır. Bunlar farklı nesnelerdir: link-local çifti içeride yaşar, ağ geçidi adresleri ise dışarıda yaşar ve başka bir şey çalışmadan önce yönlendirilebilir olmalıdır.

Bir yapılandırma dosyası açmadan önce üçünü de yazın, çünkü onları karıştırmak tüm hata kipidir.

Onu taşıyan tünele kadar inin

Link-local çifti ancak iki ağ geçidi arasında bir IPsec güvenlik ilişkisi olduğunda anlam kazanır. Google tarafında HA VPN tünelleri bunu iki arayüzde oluşturur; sizin tarafınızda eşin müzakere ettiği şey geçerlidir. Önce swanctl --list-sas ile veri ilişkisini denetleyin ve hangi tünelin hangi arayüzde ayakta olduğunu not edin, çünkü ölü bir tünel üzerinde sağlıklı bir BGP oturumu imkânsızdır ve umut dolu bir yapılandırmayla ölü tünel olağandır.

BGP paketi iç IP trafiğidir. Dış ağ onu hiç görmez, bu yüzden hiçbir anahtarın iki adresi tek bir VLAN'da tutması gerekmez.

Şimdi Linux eşini uyacak biçimde yapılandırın

Desteklenen tünel tasarımını seçin ve iç adreslere o karar versin. Yönlendirme tabanlı bir arayüzde yönlendirme kaydı ile müzakere edilen trafik seçicileri uyuşmalıdır, çünkü yalnızca arayüz adı hiçbir şeye izin vermez. BIRD'i iç yerel adrese ve Cloud Router'ın iç adresine yönlendirin, AS numaralarını oturum sayfasından ayarlayın ve korunan yolun içinde TCP 179'a izin verin. Uzak dış adrese giden rotayı fiziksel uplink üzerinde tutun ki tünel kendi taşımasını yakalamasın.

Kendini yönlendiren bir tünel el sıkışmalı bir döngüdür ve bir saat boyunca güvenlik duvarı sorunu gibi görünecektir.

Her aşamayı sırayla denetleyin, hepsini birden değil

Aşamaları geçin: güvenlik ilişkisi ayakta, iç eş tünel adresinden erişilebilir, BGP oturumu kurulmuş, önekler kabul edilmiş, ardından iş yükü öneki gerçekten kullanılmış. birdc show protocols yalnızca üçüncü soruyu yanıtlar, bu yüzden insanlar zaferi erken ilan eder.

Kurulmuş bir komşu, her iki tarafın ihtiyaç duyduğunuz önekleri duyurduğunu ya da bu rotaların tercih edilen olarak kurulduğunu garanti etmez.

Oturum kuruluysa ve trafik hâlâ yanlış yolu izliyorsa, duyurulan önekleri yönlendirme tablosunun onlarla ne yaptığıyla karşılaştırın. Başka bir yerde daha belirgin bir rota ya da başka bir yola tercih, size çalışan bir BGP oturumu ve yararlı hiçbir iletim vermez.

Bunu Router Appliance'a uygulamadan önce durun

Network Connectivity Center Router Appliance farklı bir bağlantı modelidir. Cloud Router eşleri, HA VPN'in link-local çifti yerine VPC ve alt ağ düzeninden gelen iç adresleri kullanır. Gerçek amaç yönlendirme VM'i ile BGP ise, link-local oturumu kopyalamak yerine o ürünün arayüz gereksinimlerini izleyin.

link-local kapsamı hâlâ söylediği anlamı taşır. Mantıksal tünel bu komşuluğu sağlar ve VPC genelinde keyfî link-local hedefleri yönlendirme lisansı vermez.