阿里雲 VyOS IPSec一把梭，打通公有云和私有云

好,現在我來一把說一個VPN 我們來看一下 現在我說一下我的目標 我的目標很簡單 就是說我們公司有一個1921 然後公司這邊起了一個K8s的集羣 然後VOS這邊是阿里雲那邊 那麼準備也起一個K8s的集羣 然後我的目標是通過阿里雲的ACK1 然後能把私有的K8s集羣 和他的公有云的K8s集羣 做一個混合雲 這應該是一直在做的事 當然了前段時間有些事 其他事忙了 然後這幾天又回來 繼續忙完這個事 我的主要任務 就是要把私有云和公有云的網絡 給打通 那麼是這個實驗的目標 好吧 就是私有云和公有云的K8s的 網絡之間要互通 這就是我的目標 那麼互通的話就需要建立一個VPN 那麼當然了 這是企業級VPN 跟非法的VPN是完全沒有關係的 是純企業級VPN 我先說一下 好吧 那麼1921是我們公司的杭州的 這麼一個網關 這邊K8s和它的BGP已經建立了 都是好的 好吧 那麼我準備在阿里雲這邊 和他建一個VPN 當然了要建VPN的話 可以走阿里雲的官方的VPN 但是我看了一下 它比較貴 好吧 而且也比較慢 我不知道的 所以說我們看一下 如果說你要在阿里雲弄一個VPN 也不是說不行 但是它就比較貴 好吧 你看就是最便宜的 這麼一個月也得375 就做個實驗 我真的不知道的 給你來一個這個東西 好吧 這太貴了 對我而言 好吧 OK 那麼所以說我覺得搞一臺路由器 來跟我們的路由器來建VPN 會比較好一些 但是這事很奇怪 那麼因爲我是玩AWS的 AWS上路由器就不要太多 你隨便挑這個事業上所有的路由器 所有廠商的路由器 應該全部都可以用 好吧 但是在阿里雲上面幾乎就沒有 真的沒有 是真沒有 把我都尷尬到了 好吧 因爲AWS的話 你真的是你想用哪家路由器 想用哪家防火牆 你想用啥是啥 好吧 但是到阿里雲這邊是真的是個沙漠 是啥也沒有 所以我們我自己做了一個VOIOS的鏡像 還給它重新做了一些封裝 我這自己做了一個鏡像 這個相當的尷尬 這個事就花了很多時間 然後我自己做了一個鏡像 我這個是共享鏡像 親吧 我是有自己的鏡像的 我剛纔不知道爲什麼 可能是我建議VPN的時候選到青島了 我就是說杭州 我自己做了一個自己的鏡像 封裝了一個自己的鏡像 封裝鏡像花了很多時間 能夠讓特別是能夠讓我自動化 能夠正常好使的鏡像 花了我很多時間 好吧 好 那麼這個鏡像是準備好的 好吧 然後其他的也就沒什麼東西 什麼東西也沒有 好 這個時候我們來一個 來個一把說 好吧 OK K8s先不要起 一會再說這個東西拿起來就比較費錢 好吧 然後VOS這塊 我們準備創建一個放棄所有的安全組 放棄所有 放棄所有什麼都沒有了 弄了一個EIP 然後通過我的自己的私有鏡像 然後創建了一個VOS的實例 然後身後搞了一個ECS的實例 OK 然後做了一個路由表 把這些交換機都放進去 然後做了一個路由 做了一個路由 去往這幾個網絡 那麼嚇一跳 就指到我們的VYOS實例 做了一條路由 就沒有什麼了 好吧 這樣的話 我一致性的就能把 就能把VYOS和ECS拉起來 然後我主要是要測一下網絡是通的 然後VYOS和1921之間是BGP 這邊也是BGP 1921和它之間也是BGP 那麼當然現在裏邊是靜態路由 那麼未來我也是想K8S這塊也是BGP 這是我的一個目標 然後這樣的話 私有云和公有云就通了 然後再統一的K8S調度 這是我的一個目標 好吧 好 那就沒啥了 我們先測一下這個部分 一把縮VPN 當然這個VPN還是沒有辦法一把縮的 它一直還是要刷一下的 因爲每次我的EIC 因爲EIC每次都是變化的 OK 所以說不是太好弄 所以說每次IP地址還是要自己走一下 好吧 OK 那麼我推上去之後 雲端的Telephone 應該就開始幹活 它幫我創建這些資源 包含彈線IP VPC VPC都是重新創的 然後包含這些什麼交換機 安全組 然後就是兩個實例 一個ECS的實例 一個是VOS的實例 那麼可能要再忙會 好吧 OK 這個時候我們先等會 暫停一下 已經開始創業完了 好吧 OK 這個其實也沒有多久 差不多是十來秒左右 好吧 我們來看一下 這樣的話 我應該ECS就有了 我的實例 兩個就有了 OK 然後VOS給了一個彈線IP 然後這個是沒給的 我們來看一下 VOS是起來了 我們可以通過VNC連接 彈起來了 好吧 那麼我這個鏡像就是默認密碼 VYOS 當然了 我直接可以通過我的 直接可以通過我這裏連接 當然了彈線IP每次都不一樣 所以說我要去複製一下彈線IP 彈線IP 複製一下 好 然後我的就連接過去 不是192.11 我搞錯了 不是192.11 是VYOS VYOS 我讓它跑一遍 應該是這個 我看看 我們連上去 沒問題 網關是有的 自動就會DHCP 我們可以看一下 Config Show 它應該會自動的DHCP 我再看看 有時候它獲取路由 有時候會出問題 這個時候就要重啓一下 它有時候它路由 有時候它不一定會獲取得了 稍等會 我再看看 好 路由有了 重啓一下 有時候這玩意不是很穩定 好 OK 然後這個時候我來連VYOS 好 就好了 然後我們再把它的彈線IP拿出來 彈線IP 每次都會變化 彈線IP拿出來 我貼一下彈線IP OK 這個時候我就需要稍微改一改 看一下怎麼改 我這有配置 彈線IP VYOS 其實就要把彈線IP改一改 其實應該就只改一個地方 彈線IP 彈線IP就這個地方 就把彈線IP稍微改一改 其他應該都是一樣的 OK 就是把雲端這邊的路由通告過去 起了一個SVTI的接口 然後有個BGP把生活網絡通告過去 那麼這是我杭州的IP地址 這是固定的 杭州的IP地址是固定的 密碼也是固定的 只是用來做實驗的 純粹做實驗的 好 那就沒有什麼了 這樣的話 你就把它刷上去就可以了 好 可以了 OK 好 然後我再登錄我們的杭州的1921 這是我們生產的一個設備 當然了 還是一句話 我們公司生產的東西 基本上不是 我來做實驗 經常被我搞崩 我們的杭州的1921 好 我其實只是需要改幾樣東西 Crypto Keyring 這個是要改的 然後還需要改一個 三個 Crypto Scamp GoFar 這個是要改的 地址就要改 還有就是 Surround Interface Tunnel Tunnel100 好 也就這幾個要改 首先第一個 我們應該是要把 我把它貼一下 這樣的話便於 我都給它改好 其實主要是要把那個地址 給改到新的地址上面來 改到新的地址上面來 OK 好 第一個我們要改這個Keyring 好吧 我們要把以前的 給弄掉 換成新的 好 把以前的弄掉 換成新的 OK 還有一個就是一個Scamp GoFar Match的Identity 要把老的給幹掉 然後要洗費新的 這個地址每次都變 當然如果說我定死一個地址 也是可以的 那能花錢 好 Match Identity 也變成新的 好 然後Tunnel的目的 我們也改成新的 Tunnel的目的 我們也改成新的 好 然後Tunnel我們 Shutdown一下 然後我們No Shutdown一下 然後我們看一下 ShowCryptoIPsecSA 建立了 好吧 OK 這個還是非常快的 馬上就把它給建立了 馬上就建立了 好吧 然後呢 ShowCryptoSession 就建立了 OK 然後呢 ShowIPBGP BGP 它已經建立了 ShowIP RootBGP 然後呢 這是我本地的K8S的 然後呢 這是雲端的 雲端的就搞定了 OK 雲端的就搞定了 好 那這個時候呢 我可以到我的 我們看啊 我們的ECS這邊的地址是172.16.0.101 這是它的地址 然後呢 我找一個我的K8S過來測一測 K8S 我想一下啊 K8S OK 我們去Pin一下 KubeControl.getPod 我隨便進到一個 這是我的網絡 OK 這些網絡呢 已經被髮到了 VOS 我們看VOS有沒有學到 也應該學到了 ShowIP ShowIPRoot 你看10.168 這是我們杭州的私有云的 這些Pod K8S的Pod的網絡 好吧 就這些 好吧 我進到隨便進到一個 KubeControl.esc.it 我進到一個連續 我Curl一下172.16.0.101 OK 沒問題吧 那這樣的話 我杭州私有云這些Pod 已經能夠訪問 位於阿里雲裏面的ECS了 好吧 OK 基本上就是這些 算是一把說 好吧 然後我們至少用Terraform 一把的把這些基礎架構 那麼全部都拉起來了 好吧 當然每次IP地址都有變化 所以說每次要把這個地址 稍微替換成爲 新的EIP的地址 彈性IP的地址 好吧 入屋器這邊 這些配置我都記下來了 好吧 也是把這個IP地址 需要稍微替換一下 其實就好了 好吧 OK 一把說就講到這兒 那麼下一次可能我就要準備 用ACK1 然後把私有云公有云的K8S 再連起來 然後看看這種混合雲的效果 怎麼樣 我也想體驗一下 好吧