Địa chỉ BGP của Cloud VPN nằm bên trong đường hầm, không phải trên card mạng

Mở trang Cloud Router cho VPN và một phiên BGP với địa chỉ trong 169.254.0.0/16 đang nhìn thẳng vào bạn. Phản ứng tự nhiên là đặt địa chỉ đó ở đâu đó trên VM và chờ phiên khởi lên. Phản ứng đó sai theo một cách cụ thể: cặp địa chỉ thuộc về liên kết logic do đường hầm IPsec tạo ra, không thuộc về giao diện mạng thông thường của máy. Không gì bạn thêm vào NIC khiến đường hầm mang BGP.

Theo cặp địa chỉ xuống dưới trong ngăn xếp thay vì thêm nó vào máy chủ.

Bắt đầu từ chỗ bảng điều khiển hiển thị cặp địa chỉ

Trang phiên liệt kê một địa chỉ BGP của Cloud Router và một địa chỉ đối tác, cả hai đều là link-local với HA VPN IPv4. Bên cạnh chúng là các địa chỉ cổng ngoài kết thúc đường hầm. Đó là những đối tượng khác nhau: cặp link-local sống bên trong, còn địa chỉ cổng sống bên ngoài và phải định tuyến được trước khi bất cứ thứ gì khác hoạt động.

Ghi lại cả ba trước khi mở tệp cấu hình, vì lẫn lộn chúng chính là toàn bộ kiểu hỏng.

Đi xuống đường hầm mang nó

Cặp link-local chỉ có ý nghĩa khi tồn tại một liên kết bảo mật IPsec giữa hai cổng. Ở phía Google, các đường hầm HA VPN tạo nó trên hai giao diện; ở phía bạn, đó là điều đối tác đã thương lượng. Trước tiên hãy kiểm tra liên kết dữ liệu bằng swanctl --list-sas và ghi lại đường hầm nào đang hoạt động trên giao diện nào, vì một phiên BGP khỏe mạnh trên một đường hầm chết là không thể, còn đường hầm chết với cấu hình đầy hy vọng là chuyện thường.

Gói BGP là lưu lượng IP bên trong. Mạng bên ngoài không bao giờ thấy nó, nên không switch nào cần cả hai địa chỉ trên một VLAN.

Bây giờ cấu hình đối tác Linux cho khớp

Chọn thiết kế đường hầm được hỗ trợ và để nó quyết định địa chỉ bên trong. Với giao diện dựa trên định tuyến, mục định tuyến và các bộ chọn lưu lượng đã thương lượng phải khớp nhau, vì chỉ tên giao diện không cho phép gì. Hướng BIRD tới địa chỉ cục bộ bên trong và địa chỉ bên trong của Cloud Router, đặt số AS từ trang phiên, và cho phép TCP 179 trong đường dẫn được bảo vệ. Giữ tuyến tới địa chỉ ngoài xa trên uplink vật lý để đường hầm không bắt lấy chính vận chuyển của nó.

Một đường hầm tự định tuyến chính nó là một vòng lặp có bắt tay, và trong một giờ nó sẽ trông như sự cố tường lửa.

Kiểm tra từng giai đoạn theo thứ tự, không phải tất cả cùng lúc

Đi qua các giai đoạn: liên kết bảo mật đã lên, đối tác bên trong tiếp cận được từ địa chỉ đường hầm, phiên BGP đã thiết lập, các tiền tố đã được chấp nhận, rồi một tiền tố khối lượng công việc thực sự được dùng. birdc show protocols chỉ trả lời câu hỏi thứ ba, đó là lý do người ta tuyên bố thắng lợi quá sớm.

Một láng giềng đã thiết lập không bảo đảm rằng cả hai bên đã quảng bá các tiền tố bạn cần, hay rằng những tuyến đó đã được cài đặt như tuyến ưu tiên.

Nếu phiên đã thiết lập mà lưu lượng vẫn đi sai đường, hãy so sánh các tiền tố được quảng bá với việc bảng định tuyến làm gì với chúng. Một tuyến cụ thể hơn ở nơi khác, hoặc ưu tiên cho một đường khác, cho bạn một phiên BGP hoạt động và không có chuyển tiếp hữu ích nào.

Dừng lại trước khi áp dụng điều này cho Router Appliance

Network Connectivity Center Router Appliance là một mô hình gắn kết khác. Các đối tác Cloud Router của nó dùng địa chỉ bên trong từ cách bố trí VPC và mạng con thay vì cặp link-local của HA VPN. Nếu mục tiêu thực sự là BGP với một VM định tuyến, hãy theo yêu cầu giao diện của sản phẩm đó thay vì sao chép một phiên link-local.

Phạm vi link-local vẫn có nghĩa như nó nói. Đường hầm logic cung cấp sự lân cận này, và nó không cấp phép định tuyến các đích link-local tùy ý khắp VPC.