Google HA VPN'den Cisco yönlendiriciye: önce eş kaynağını planlayın
Cisco yönlendiriciyi yapılandırmadan önce Google'ın iki arayüzünü, eş kaynağını, IKEv2 sözleşmesini ve her BGP oturumunu adlandırın, ardından bir eş mi iki eş mi seçin.
Cisco'dan Google'a bir HA VPN'de ilk karar hangi kripto profilinin kullanılacağı değil, tünelleri bir yerel cihazın mı yoksa ikisinin mi sonlandıracağıdır. Google'ın HA VPN ağ geçidinin iki arayüzü vardır ve her biri karşılık gelen bir eş tüneli bekler. Bu, iki yönlendiriciniz olsun ya da olmasın size iki tünel verir ve fark, tek bir güç kaynağının veya yazılım yükseltmesinin tüm tasarımı devirebilmesidir.
Karar bir eş cihaz mı yoksa iki mi
Yerleşimi üç koşula göre seçin: yerel bir arıza noktasını kabul edip edemeyeceğiniz, her iki bulut arayüzünün kullanılması gerekip gerekmediği ve iş yüklerinizin ne kadar yeniden yakınsama kaldırabildiği. Üçünden herhangi biri katı bir gereksinimse, iki eş cihaz dürüst cevaptır.
Bir konsol açmadan önce buna karar verin, çünkü cevap çalışma sayfasının kaç tünel ve BGP oturumu tanımlaması gerektiğini değiştirir.
Herhangi bir komuttan önce çalışma sayfasını yazın
Çalışma sayfasında beş satır vardır ve her birinin bir sahibi olmalıdır:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Dış eş kaynağı, arayüzlerinizi Google Cloud içinde tanımlar ve oluşturulması Cisco yönlendiriciyi yapılandırmaz. Bu asimetri, bulut konsolunun her iki uç için doğruluk kaynağı olacağını bekleyenleri şaşırtır. Bu, Google'ın neyi beklemesi gerektiğine dair bir bildirimdir ve yönlendirici hâlâ buna uymak zorundadır. Google'ın eş ağ geçidi kılavuzu bu bildirimi hâlâ borçlu olduğunuz tünel, BGP, güvenlik duvarı ve IKE işine eşler.
Bir satırın sahibi yoksa, geçiş sırasında vardiyada olan kişi onu doldurur.
Üç adres rolünü ayrı tutun
Genel eş adresleri dış IPsec alışverişini taşır. İç BGP çifti, üzerinden geçen korumalı mantıksal bağlantıya aittir. Duyurulan LAN ve VPC önekleri o bağlantının arkasındaki iş yüklerini tanımlar. Bir VM'nin iç adresini dış eş alanına kopyalamak ilk iki rolü karıştırır ve arıza, veri girişi hatası değil, bir müzakere sorunu gibi görünür.
Her HA VPN arayüzü için bir tane olmak üzere iki karşılık gelen eş tüneli planlayın. Her iki bulut arayüzünü kullanmak yerel arıza noktasını tek başına ortadan kaldırmaz, çünkü iki tünel yine de aynı kasaya inebilir.
Çalışma sayfasındaki her değerin yanına adres rolünü yazın. Bu tek alışkanlık karışmanın çoğunu önler.
Çalışma sayfasını Cisco sürümüne çevirin
Platformunuz için desteklenen eş belgelerinden veya eşleşen bir Google yapılandırma şablonundan başlayın, ardından her yer tutucuyu çalışma sayfasıyla uzlaştırın. IKEv2 kimlik doğrulamasını, ESP tekliflerini, PFS'yi ve tünel ile yönlendirme modelini birlikte kontrol edin, çünkü birindeki uyumsuzluk genellikle diğerindeki uyumsuzluk olarak görünür. Neyin desteklendiğini seçmek için gerçek platformu ve yazılım sürümünü kullanın, çünkü Classic VPN tarifi farklı bir başlangıç noktasıdır.
Paylaşılan sırrı ekran görüntülerinden, bilet eklerinden ve destek notlarından uzak tutun. Bir vaka yorumuna yapıştırılan önceden paylaşılan anahtar, bir kimlik bilgisi ifşasıdır, sorun giderme artefaktı değildir.
Şablon ile çalışma sayfası uyuşmuyorsa durun ve bunu kâğıt üzerinde çözün. Cihaz sizin yerinize karar vermez.
Her tüneli kendi kanıtıyla kabul edin
HA VPN, BGP oturumları gerektirir ve başarılı bir IKE müzakere yalnızca ilk aşamayı kurar. İç oturum ayağa kalkmalı, amaçlanan önekler duyurulmalı ve kabul edilmeli, iş yükü trafiği hareket etmeden önce kullanışlı rotalar ve güvenlik duvarı izinleri bulunmalıdır. Tüm bunları tek bir yeşil ışık olarak kaydetmek hangi aşamanın gerçekten başarısız olduğunu gizler.
Her tünel için kabul kanıtı kaydedin: müzakere edilen güvenlik ilişkileri, BGP komşu durumu, beklenen öğrenilen önekler ve amaçlanan iş yükü yolu. Ardından kontrollü bir arıza ve kurtarma kontrolü çalıştırın, çünkü hiç arızalanmamış bir tünel, kurtarma yolu test edilmemiş bir tüneldir.
Bu kayıt tasarım bir dahaki sefere değiştiğinde yeniden kullanılabilir ve birlikte çalışma ile varsayımları kaybolmuş bir komut parçası arasındaki fark budur.