Crie uma sessão de BGP de VPN

Esta página descreve as especificações que uma sessão do Protocolo de Gateway de Fronteira (BGP) de VPN tem de cumprir e como criar uma sessão do BGP de VPN.

A VPN com isolamento de ar do Google Distributed Cloud (GDC) suporta o encaminhamento dinâmico através de uma sessão BGP IPv4 para cada túnel VPN. A sessão de BGP permite que os pares de BGP na rede remota e na organização do GDC anunciem rotas entre si.

Antes de começar

Para criar uma sessão BGP de VPN, tem de ter as funções de identidade e acesso necessárias:

  • Administrador de VPN: tem autorizações de leitura e escrita em todos os recursos relacionados com a VPN. Peça ao administrador de IAM da organização para lhe conceder a função de administrador de VPN (vpn-admin).
  • Visualizador de VPN: tem autorizações de leitura em todos os recursos relacionados com VPN. Peça ao administrador de IAM da organização para lhe conceder a função de leitor de VPN (vpn-viewer).
  • Para mais informações, consulte o artigo Definições de funções.

Especificações da sessão de BGP da VPN

O par de BGP na organização suporta um intervalo de keepalive de BGP de 30 segundos, com um temporizador de espera de 90 segundos.Para cada sessão de BGP, os endereços IPv4 têm de cumprir os seguintes requisitos:

  • Cada endereço IPv4 BGP tem de pertencer à mesma sub-rede /30 que se enquadra no intervalo 169.254.0.0/16.
  • Cada endereço IPv4 BGP é o primeiro ou o segundo anfitrião da sub-rede /30. O primeiro e o último endereço IP da sub-rede estão reservados para endereços de rede e de transmissão.
  • Cada intervalo de endereços BGP para cada sessão BGP tem de ser exclusivo entre todas as sessões BGP de VPN da organização.

A autenticação MD5 não é suportada. Este é um método de validação da integridade e autenticidade dos dados através do algoritmo de hash MD5.

Crie uma sessão de BGP de VPN

Para criar uma sessão BGP para o túnel de VPN, siga estes passos:

  1. Crie um objeto VPNBGPPeer no cluster de administrador da organização no espaço de nomes da plataforma:

    kubectl --kubeconfig MANAGEMENT_API_SERVER create -n platform -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: VPNBGPPeer
metadata:
  name: VPN_BGP_PEER_NAME
spec:
  remote:
    name: REMOTE_PEER_NAME
    ip: REMOTE_PEER_IP
    asn: REMOTE_PEER_ASN
  local:
    name: LOCAL_PEER_NAME
    ip: LOCAL_PEER_IP
    asn: LOCAL_PEER_ASN
EOF

    Substitua o seguinte:

    • MANAGEMENT_API_SERVER: o caminho kubeconfig do servidor da API zonal. Se ainda não gerou um ficheiro kubeconfig para o servidor da API na sua zona segmentada, consulte Iniciar sessão para ver detalhes.
    • VPN_BGP_PEER_NAME: o nome do par BGP da VPN.
    • REMOTE_PEER_NAME: o nome do ponto de troca de tráfego BGP na rede remota.
    • REMOTE_PEER_IP: o endereço IPv4 BGP da sub-rede /30 do par BGP na rede remota.
    • REMOTE_PEER_ASN: o número do sistema autónomo (ASN) configurado para a rede remota.
    • LOCAL_PEER_NAME: um nome para o par BGP na organização do GDC.
    • LOCAL_PEER_IP: o endereço IPv4 BGP da sub-rede /30 do par BGP na organização GDC.
    • LOCAL_PEER_ASN: o ASN configurado para a organização do GDC.

  2. Verifique se o objeto VPN_BGP_PEER_NAME foi reconciliado corretamente examinando o campo Status. Obtenha os detalhes do objeto VPNBGPPeer:

    kubectl --kubeconfig MANAGEMENT_API_SERVER describe -n platform vpnbgppeer VPN_BGP_PEER_NAME

    Examine o resultado. Tem de ser semelhante ao seguinte exemplo:

      Status:
    Conditions:
      Last Transition Time:  2024-05-10T00:26:13Z
      Message:               Ready
      Observed Generation:   1
      Reason:                Ready
      Status:                True
      Type:                  ValidIPs
      Last Transition Time:  2024-05-10T00:26:00Z
      Message:               Used by 0 VPNTunnels, must be used by a single VPNTunnel
      Observed Generation:   1
      Reason:                GetResourceFailed
      Status:                False
      Type:                  TunnelsAttached
      Last Transition Time:  2024-05-10T00:26:00Z
      Message:               TunnelsAttached or ValidIPs Condition not Ready.
      Observed Generation:   1
      Reason:                Unknown
      Status:                False
      Type:                  Reconciled
      Last Transition Time:  2024-05-10T00:26:01Z
      Message:               ValidIPs or Reconciled Condition not Ready.
      Observed Generation:   1
      Reason:                Unknown
      Status:                False
      Type:                  AdvertisedRoutesReady
      Last Transition Time:  2024-05-10T00:26:13Z
      Message:               Ready
      Observed Generation:   1
      Reason:                Ready
      Status:                True
      Type:                  ReceivedRoutesValid
      Last Transition Time:  2024-05-10T00:26:01Z
      Message:               TunnelsAttached Condition not Ready.
      Observed Generation:   1
      Reason:                Unknown
      Status:                False
      Type:                  ReceivedRoutesReady
      Last Transition Time:  2024-05-10T00:26:01Z
      Message:               Condition "TunnelsAttached" is not ready.
      Observed Generation:   1
      Reason:                NotReady
      Status:                False
      Type:                  Ready
  ```

O VPNBGPPeer tem de estar anexado a um VPNTunnel. Tratamos deste passo em Crie um túnel de VPN.

O que se segue?