Google HA VPN سے Cisco راؤٹر تک: پہلے ہم منصب وسیلہ کی منصوبہ بندی کریں
Cisco راؤٹر کنفیگر کرنے سے پہلے Google کے دونوں انٹرفیس، ہم منصب وسیلہ، IKEv2 معاہدہ اور ہر BGP سیشن کا نام رکھیں، پھر ایک ہم منصب یا دو منتخب کریں۔
Cisco سے Google تک HA VPN میں پہلا فیصلہ یہ نہیں کہ کون سا کرپٹو پروفائل استعمال کرنا ہے، بلکہ یہ ہے کہ سرنگیں ایک مقامی ڈیوائس ختم کرے گی یا دو۔ Google کے HA VPN گیٹ وے کے دو انٹرفیس ہیں اور ہر ایک متعلقہ ہم منصب سرنگ کی توقع رکھتا ہے۔ یہ آپ کو دو سرنگیں دیتا ہے چاہے آپ کے دو راؤٹر ہوں یا نہ ہوں، اور فرق یہ ہے کہ کیا ایک بجلی کی سپلائی یا سافٹ ویئر اپ گریڈ پورا ڈیزائن گرا سکتا ہے۔
فیصلہ ایک ہم منصب ڈیوائس یا دو
تین شرطوں کی بنیاد پر ترتیب منتخب کریں: کیا آپ مقامی ناکامی کا نقطہ قبول کر سکتے ہیں، کیا دونوں کلاؤڈ انٹرفیس استعمال کرنا ضروری ہیں، اور آپ کے ورک لوڈز کتنی دوبارہ ہم آہنگی برداشت کرتے ہیں۔ اگر تینوں میں سے کوئی سخت تقاضا ہو تو دو ہم منصب ڈیوائسز ہی ایماندار جواب ہیں۔
کنسول کھولنے سے پہلے یہ طے کریں، کیونکہ جواب بدلتا ہے کہ ورک شیٹ کو کتنی سرنگوں اور BGP سیشنز کی وضاحت کرنی ہے۔
کسی بھی کمانڈ سے پہلے ورک شیٹ لکھیں
ورک شیٹ میں پانچ قطاریں ہیں اور ہر ایک کو مالک درکار ہے:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
بیرونی ہم منصب وسیلہ Google Cloud کے اندر آپ کے انٹرفیس بیان کرتا ہے اور اسے بنانا Cisco راؤٹر کنفیگر نہیں کرتا۔ یہ عدم توازن ان لوگوں کو حیران کرتا ہے جو توقع رکھتے ہیں کہ کلاؤڈ کنسول دونوں سروں کے لیے سچائی کا ذریعہ ہوگا۔ یہ ایک اعلان ہے کہ Google کو کیا توقع رکھنی چاہیے، اور راؤٹر کو اب بھی اس سے مطابقت رکھنی ہے۔ Google کی ہم منصب گیٹ وے گائیڈ اس اعلان کو اس کام سے جوڑتی ہے جو آپ پر اب بھی باقی ہے: سرنگ، BGP، فائر وال اور IKE۔
اگر کسی قطار کا مالک نہ ہو تو سوئچ کے دوران ڈیوٹی پر موجود شخص اسے بھر دے گا۔
پتوں کے تین کردار الگ رکھیں
عوامی ہم منصب پتے بیرونی IPsec تبادلہ اٹھاتے ہیں۔ اندرونی BGP جوڑا اس محفوظ منطقی کنکشن کا ہے جو اس کے اوپر چلتا ہے۔ اعلان کردہ LAN اور VPC سابقے اس کنکشن کے پیچھے ورک لوڈز بیان کرتے ہیں۔ کسی VM کا اندرونی پتہ بیرونی ہم منصب کے خانے میں نقل کرنا پہلے دو کرداروں کو ملا دیتا ہے، اور ناکامی ڈیٹا اندراج کی غلطی کے بجائے مذاکراتی مسئلہ لگتی ہے۔
ہر HA VPN انٹرفیس کے لیے ایک کے حساب سے دو متعلقہ ہم منصب سرنگیں منصوبہ بندی کریں۔ دونوں کلاؤڈ انٹرفیس استعمال کرنا بذات خود مقامی ناکامی کا نقطہ ختم نہیں کرتا، کیونکہ دونوں سرنگیں پھر بھی ایک ہی چیسی پر اتر سکتی ہیں۔
ورک شیٹ میں ہر قدر کے ساتھ پتے کا کردار لکھیں۔ یہی ایک عادت زیادہ تر ملاوٹ روکتی ہے۔
ورک شیٹ کو Cisco ریلیز میں منتقل کریں
اپنے پلیٹ فارم کے لیے معاون ہم منصب دستاویزات یا مماثل Google کنفیگریشن ٹیمپلیٹ سے شروع کریں، پھر ہر پلیس ہولڈر کو ورک شیٹ سے ہم آہنگ کریں۔ IKEv2 توثیق، ESP تجاویز، PFS اور سرنگ و روٹنگ ماڈل کو ایک ساتھ جانچیں، کیونکہ ان میں سے کسی ایک میں عدم مطابقت عام طور پر دوسرے میں عدم مطابقت بن کر ظاہر ہوتی ہے۔ یہ منتخب کرنے کے لیے کہ کیا معاون ہے، حقیقی پلیٹ فارم اور سافٹ ویئر ریلیز استعمال کریں، کیونکہ Classic VPN کی ترکیب مختلف نقطہ آغاز ہے۔
مشترکہ راز اسکرین شاٹس، ٹکٹ منسلکات اور سپورٹ نوٹس سے دور رکھیں۔ کیس کے تبصرے میں چسپاں پہلے سے مشترکہ کلید اسناد کا افشا ہے، خرابیوں کا سراغ لگانے کا نمونہ نہیں۔
اگر ٹیمپلیٹ اور ورک شیٹ میں اختلاف ہو تو رکیں اور کاغذ پر حل کریں۔ ڈیوائس آپ کی طرف سے فیصلہ نہیں کرے گی۔
ہر سرنگ کو اس کے اپنے ثبوت پر قبول کریں
HA VPN کو BGP سیشنز درکار ہیں، اور کامیاب IKE مذاکرات صرف پہلا مرحلہ قائم کرتے ہیں۔ اندرونی سیشن اوپر آنا چاہیے، مطلوبہ سابقے اعلان اور قبول کیے جانے چاہئیں، اور ورک لوڈ ٹریفک حرکت کرنے سے پہلے مفید روٹس اور فائر وال اجازتیں موجود ہونی چاہئیں۔ ان سب کو ایک ہی سبز روشنی کے طور پر درج کرنا یہ چھپا دیتا ہے کہ کون سا مرحلہ واقعی ناکام ہوا۔
ہر سرنگ کے لیے قبولیت کے ثبوت درج کریں: طے شدہ سیکیورٹی ایسوسی ایشنز، BGP ہمسایہ کی حالت، متوقع سیکھے گئے سابقے اور مطلوبہ ورک لوڈ راستہ۔ پھر ایک کنٹرول شدہ ناکامی اور بحالی جانچ چلائیں، کیونکہ وہ سرنگ جو کبھی ناکام نہیں ہوئی اس کی بحالی کا راستہ غیر آزمودہ ہے۔
وہ ریکارڈ اگلی بار ڈیزائن بدلنے پر دوبارہ استعمال ہو سکتا ہے، اور یہی فرق ہے ایک باہمی تعامل اور ایسے کمانڈ ٹکڑے کے درمیان جس کے مفروضے کھو گئے۔