Criar uma sessão do BGP de VPN

Nesta página, descrevemos as especificações que uma sessão do Border Gateway Protocol (BGP) de VPN precisa seguir e como criar uma sessão do BGP de VPN.

A VPN isolada do Google Distributed Cloud (GDC) oferece suporte ao roteamento dinâmico usando uma sessão BGP IPv4 para cada túnel de VPN. A sessão do BGP permite que os peers do BGP na rede remota e na organização do GDC anunciem rotas entre si.

Antes de começar

Para criar uma sessão do BGP de VPN, você precisa ter os papéis de identidade e acesso necessários:

  • Administrador da VPN: tem permissões de leitura e gravação em todos os recursos relacionados à VPN. Peça ao administrador do IAM da organização para conceder a você o papel de administrador de VPN (vpn-admin).
  • Leitor de VPN: tem permissões de leitura em todos os recursos relacionados à VPN. Peça ao administrador do IAM da organização para conceder a você o papel de leitor de VPN (vpn-viewer).
  • Para mais informações, consulte Definições de papéis.

Especificações da sessão do BGP da VPN

O peering do BGP na organização aceita um intervalo de keepalive do BGP de 30 segundos, com um timer de espera de 90 segundos.Para cada sessão do BGP, os endereços IPv4 precisam atender aos seguintes requisitos:

  • Cada endereço IPv4 do BGP precisa pertencer à mesma sub-rede /30 que se encaixa no intervalo 169.254.0.0/16.
  • Cada endereço IPv4 do BGP é o primeiro ou o segundo host da sub-rede /30. O primeiro e o último endereços IP da sub-rede são reservados para endereços de rede e de transmissão.
  • Cada intervalo de endereços do BGP para cada sessão do BGP precisa ser exclusivo entre todas as sessões do BGP da VPN da organização.

A autenticação MD5 não é compatível. É um método de verificação da integridade e autenticidade dos dados usando o algoritmo de hash MD5.

Criar uma sessão do BGP de VPN

Para criar uma sessão do BGP para o túnel de VPN, siga estas etapas:

  1. Crie um objeto VPNBGPPeer no cluster de administrador da organização no namespace da plataforma:

    kubectl --kubeconfig MANAGEMENT_API_SERVER create -n platform -f - <<EOF
apiVersion: networking.gdc.goog/v1
kind: VPNBGPPeer
metadata:
  name: VPN_BGP_PEER_NAME
spec:
  remote:
    name: REMOTE_PEER_NAME
    ip: REMOTE_PEER_IP
    asn: REMOTE_PEER_ASN
  local:
    name: LOCAL_PEER_NAME
    ip: LOCAL_PEER_IP
    asn: LOCAL_PEER_ASN
EOF

    Substitua:

    • MANAGEMENT_API_SERVER: o caminho do kubeconfig do servidor de API zonal. Se você ainda não gerou um arquivo kubeconfig para o servidor da API na zona de destino, consulte Fazer login para mais detalhes.
    • VPN_BGP_PEER_NAME: o nome do peering do BGP da VPN.
    • REMOTE_PEER_NAME: o nome do peer do BGP na rede remota.
    • REMOTE_PEER_IP: o endereço IPv4 do BGP da sub-rede /30 do peering do BGP na rede remota.
    • REMOTE_PEER_ASN: o número do sistema autônomo (ASN, na sigla em inglês) configurado para a rede remota.
    • LOCAL_PEER_NAME: um nome para o peer do BGP na organização do GDC.
    • LOCAL_PEER_IP: o endereço IPv4 do BGP da sub-rede /30 do par BGP na organização do GDC.
    • LOCAL_PEER_ASN: o ASN configurado para a organização do GDC.

  2. Verifique se o objeto VPN_BGP_PEER_NAME foi reconciliado corretamente examinando o campo Status. Confira os detalhes do objeto VPNBGPPeer:

    kubectl --kubeconfig MANAGEMENT_API_SERVER describe -n platform vpnbgppeer VPN_BGP_PEER_NAME

    Examine a saída. Ela precisa ser semelhante ao exemplo a seguir:

      Status:
    Conditions:
      Last Transition Time:  2024-05-10T00:26:13Z
      Message:               Ready
      Observed Generation:   1
      Reason:                Ready
      Status:                True
      Type:                  ValidIPs
      Last Transition Time:  2024-05-10T00:26:00Z
      Message:               Used by 0 VPNTunnels, must be used by a single VPNTunnel
      Observed Generation:   1
      Reason:                GetResourceFailed
      Status:                False
      Type:                  TunnelsAttached
      Last Transition Time:  2024-05-10T00:26:00Z
      Message:               TunnelsAttached or ValidIPs Condition not Ready.
      Observed Generation:   1
      Reason:                Unknown
      Status:                False
      Type:                  Reconciled
      Last Transition Time:  2024-05-10T00:26:01Z
      Message:               ValidIPs or Reconciled Condition not Ready.
      Observed Generation:   1
      Reason:                Unknown
      Status:                False
      Type:                  AdvertisedRoutesReady
      Last Transition Time:  2024-05-10T00:26:13Z
      Message:               Ready
      Observed Generation:   1
      Reason:                Ready
      Status:                True
      Type:                  ReceivedRoutesValid
      Last Transition Time:  2024-05-10T00:26:01Z
      Message:               TunnelsAttached Condition not Ready.
      Observed Generation:   1
      Reason:                Unknown
      Status:                False
      Type:                  ReceivedRoutesReady
      Last Transition Time:  2024-05-10T00:26:01Z
      Message:               Condition "TunnelsAttached" is not ready.
      Observed Generation:   1
      Reason:                NotReady
      Status:                False
      Type:                  Ready
  ```

A VPNBGPPeer precisa ser anexada a um VPNTunnel. Vamos abordar essa etapa em Criar um túnel de VPN.

A seguir