Google HA VPN tới router Cisco: hãy quy hoạch tài nguyên peer trước

Quyết định đầu tiên trong HA VPN từ Cisco đến Google không phải là dùng cấu hình mã hóa nào, mà là một thiết bị tại chỗ hay hai thiết bị sẽ kết thúc các đường hầm. Cổng HA VPN của Google có hai giao diện và mỗi giao diện mong đợi một đường hầm peer tương ứng. Điều đó cho bạn hai đường hầm dù bạn có hai router hay không, và khác biệt nằm ở việc một nguồn điện hay một bản nâng cấp phần mềm có thể làm sập toàn bộ thiết kế hay không.

Quyết định là một thiết bị peer hay hai

Chọn bố cục theo ba điều kiện: bạn có chấp nhận được một điểm lỗi cục bộ không, cả hai giao diện đám mây có bắt buộc phải dùng không, và khối lượng công việc của bạn chịu được bao nhiêu lần tái hội tụ. Nếu bất kỳ điều nào trong ba là yêu cầu cứng, hai thiết bị peer là câu trả lời trung thực.

Hãy quyết định điều đó trước khi mở bảng điều khiển, vì câu trả lời thay đổi số đường hầm và phiên BGP mà bảng tính phải mô tả.

Viết bảng tính trước mọi lệnh

Bảng tính có năm hàng và mỗi hàng cần một người phụ trách:

Tài nguyên peer bên ngoài mô tả các giao diện của bạn bên trong Google Cloud, và việc tạo nó không cấu hình router Cisco. Sự bất đối xứng này khiến những người mong bảng điều khiển đám mây là nguồn sự thật cho cả hai đầu phải ngạc nhiên. Đó là một tuyên bố về những gì Google nên mong đợi, và router vẫn phải khớp với nó. Hướng dẫn cổng peer của Google ánh xạ tuyên bố đó vào công việc đường hầm, BGP, tường lửa và IKE mà bạn vẫn còn nợ.

Nếu một hàng không có người phụ trách, người trực trong lúc chuyển đổi sẽ điền vào.

Giữ ba vai trò địa chỉ tách biệt

Các địa chỉ peer công khai mang trao đổi IPsec bên ngoài. Cặp BGP bên trong thuộc về kết nối logic được bảo vệ chạy bên trên nó. Các tiền tố LAN và VPC được quảng bá mô tả khối lượng công việc phía sau kết nối đó. Sao chép địa chỉ nội bộ của VM vào trường peer bên ngoài sẽ trộn hai vai trò đầu tiên, và lỗi trông giống vấn đề đàm phán hơn là lỗi nhập dữ liệu.

Quy hoạch hai đường hầm peer tương ứng, một cho mỗi giao diện HA VPN. Việc dùng cả hai giao diện đám mây không tự nó loại bỏ điểm lỗi cục bộ, vì cả hai đường hầm vẫn có thể hạ cánh trên cùng một khung máy.

Viết vai trò địa chỉ bên cạnh mỗi giá trị trong bảng tính. Thói quen duy nhất đó ngăn phần lớn việc trộn lẫn.

Chuyển bảng tính sang bản phát hành Cisco

Bắt đầu từ tài liệu peer được hỗ trợ hoặc mẫu cấu hình Google phù hợp với nền tảng của bạn, sau đó đối chiếu từng chỗ giữ chỗ với bảng tính. Kiểm tra xác thực IKEv2, đề xuất ESP, PFS và mô hình đường hầm cùng định tuyến cùng lúc, vì sự không khớp ở một mục thường xuất hiện như sự không khớp ở mục khác. Dùng nền tảng và bản phát hành phần mềm thực tế để chọn những gì được hỗ trợ, vì công thức Classic VPN là một điểm khởi đầu khác.

Giữ bí mật chia sẻ ngoài ảnh chụp màn hình, tệp đính kèm phiếu hỗ trợ và ghi chú hỗ trợ. Khóa chia sẻ trước được dán vào bình luận vụ việc là sự lộ thông tin xác thực, không phải vật phẩm khắc phục sự cố.

Nếu mẫu và bảng tính không khớp nhau, hãy dừng lại và giải quyết trên giấy. Thiết bị sẽ không phân xử thay bạn.

Chấp nhận từng đường hầm dựa trên bằng chứng của chính nó

HA VPN cần các phiên BGP, và một cuộc đàm phán IKE thành công chỉ thiết lập giai đoạn đầu tiên. Phiên bên trong phải khởi lên, các tiền tố dự kiến phải được quảng bá và chấp nhận, và các tuyến hữu ích cùng quyền tường lửa phải tồn tại trước khi lưu lượng khối lượng công việc di chuyển. Ghi lại tất cả như một đèn xanh duy nhất sẽ che giấu giai đoạn nào thực sự thất bại.

Ghi bằng chứng chấp nhận cho từng đường hầm: các hiệp hội bảo mật đã đàm phán, trạng thái hàng xóm BGP, các tiền tố học được kỳ vọng và đường đi khối lượng công việc dự kiến. Sau đó chạy kiểm tra lỗi và phục hồi có kiểm soát, vì một đường hầm chưa từng lỗi là đường hầm chưa được kiểm chứng đường phục hồi.

Bản ghi đó có thể tái sử dụng khi thiết kế thay đổi lần sau, và đó là khác biệt giữa một sự tương tác vận hành và một mảnh lệnh đã mất các giả định.