Cloud VPN BGP manzillari NIC da emas, tunnel ichida joylashgan

VPN uchun Cloud Router sahifasini oching va 169.254.0.0/16 ichida manzilga ega BGP sessiyasi sizga qaraydi. Tabiiy javob — bu manzilni VM ning biror joyiga qo‘yib, sessiya ko‘tarilishini kutish. Bu javob ma’lum ma’noda xato: juftlik IPsec tunneli yaratadigan mantiqiy aloqaga tegishli, mashinaning oddiy tarmoq interfeysiga emas. NIC ga qo‘shgan hech narsa tunnelni BGP tashishga majburlamaydi.

Juftlikni xostga qo‘shish o‘rniga stek bo‘ylab pastga kuzatib boring.

Konsol juftlikni ko‘rsatadigan joydan boshlang

Sessiya sahifasi Cloud Router BGP manzilini va hamkor manzilini sanab beradi, IPv4 HA VPN uchun ikkisi ham link-local. Ularning yonida tunnellarni tugatuvchi tashqi shlyuz manzillari bor. Bular boshqa obyektlar: link-local juftlik ichkarida yashaydi, shlyuz manzillari esa tashqarida yashaydi va boshqa narsa ishlashidan oldin marshrutlanadigan bo‘lishi kerak.

Konfiguratsiya faylini ochishdan oldin uchalasini yozib qo‘ying, chunki ularni aralashtirish — bu butun nosozlik shakli.

Uni tashuvchi tunnelgacha pastga tushing

link-local juftlik faqat ikki shlyuz o‘rtasida IPsec xavfsizlik assotsiatsiyasi mavjud bo‘lganda ma’noga ega. Google tomonida HA VPN tunnellari uni ikki interfeysda yaratadi; sizning tomoningizda bu hamkor kelishgan narsadir. Avval swanctl --list-sas bilan ma’lumotlar assotsiatsiyasini tekshiring va qaysi tunnel qaysi interfeysda ko‘tarilganini yozib qo‘ying, chunki o‘lik tunnel ustidagi sog‘lom BGP sessiyasi mumkin emas, umidli konfiguratsiyali o‘lik tunnel esa odatiy holdir.

BGP paketi ichki IP trafigidir. Tashqi tarmoq uni hech qachon ko‘rmaydi, shuning uchun hech bir switch ikkala manzilni bitta VLAN da saqlashi shart emas.

Endi Linux hamkorini mos qilib sozlang

Qo‘llab-quvvatlanadigan tunnel dizaynini tanlang va ichki manzillarni u belgilasin. Marshrutga asoslangan interfeysda marshrut yozuvi va kelishilgan trafik selektorlari mos kelishi kerak, chunki faqat interfeys nomi hech narsaga ruxsat bermaydi. BIRD ni ichki lokal manzilga va Cloud Router ning ichki manziliga yo‘naltiring, AS raqamlarini sessiya sahifasidan o‘rnating va himoyalangan yo‘l ichida TCP 179 ga ruxsat bering. Uzoq tashqi manzilga marshrutni jismoniy uplinkda saqlang, tunnel o‘z transportini ushlab qolmasligi uchun.

O‘zini marshrutlaydigan tunnel qo‘l siqish bilan bir halqadir va bir soat davomida xavfsizlik devori muammosiga o‘xshab ko‘rinadi.

Har bir bosqichni tartib bilan tekshiring, hammasini bir vaqtda emas

Bosqichlardan o‘ting: xavfsizlik assotsiatsiyasi ko‘tarilgan, ichki hamkor tunnel manzilidan yetib boriladi, BGP sessiyasi o‘rnatilgan, prefikslar qabul qilingan, so‘ng ish yuklamasi prefiksi haqiqatan ishlatilgan. birdc show protocols faqat uchinchi savolga javob beradi, shuning uchun odamlar g‘alabani erta e’lon qiladi.

O‘rnatilgan qo‘shni ikkala tomon sizga kerakli prefikslarni e’lon qilganiga yoki bu marshrutlar afzal sifatida o‘rnatilganiga kafolat bermaydi.

Agar sessiya o‘rnatilgan bo‘lsa-yu, trafik hali ham noto‘g‘ri yo‘l tutsa, e’lon qilingan prefikslarni marshrutlash jadvali ular bilan nima qilishi bilan solishtiring. Boshqa joydagi aniqroq marshrut yoki boshqa yo‘lga ustunlik sizga ishlaydigan BGP sessiyasini beradi va foydali yo‘naltirish bermaydi.

Buni Router Appliance ga qo‘llashdan oldin to‘xtang

Network Connectivity Center Router Appliance boshqa ulanish modelidir. Uning Cloud Router hamkorlari HA VPN ning link-local juftligi o‘rniga VPC va quyi tarmoq tartibidan olingan ichki manzillardan foydalanadi. Agar haqiqiy maqsad marshrutlovchi VM bilan BGP bo‘lsa, link-local sessiyani nusxalash o‘rniga o‘sha mahsulotning interfeys talablariga amal qiling.

link-local doirasi hali ham aytganini anglatadi. Mantiqiy tunnel bu qo‘shnichilikni ta’minlaydi va VPC bo‘ylab ixtiyoriy link-local manzillarni marshrutlashga litsenziya bermaydi.