en to uk translation catalogue (562 entries)

en: ''It is important to note, that you do not want to add logging to the established state rule as you will be logging both the inbound and outbound packets for each session instead of just the initiation of the session. Your logs will be massive in a very short period of time.''
uk: &#39;&#39;Важливо зауважити, що ви не хочете додавати журналювання до встановленого правила стану, оскільки ви реєструватимете як вхідні, так і вихідні пакети для кожного сеансу, а не лише початок сеансу. Ваші журнали стануть масивними за дуже короткий проміжок часу.

en: **Important**: Add an interface route to reach Azure's BGP listener
uk: **Важливо**: додайте маршрут інтерфейсу для доступу до прослухувача BGP Azure

en: **Important**: Add an interface route to reach both Azure's BGP listeners
uk: **Важливо**: додайте маршрут інтерфейсу, щоб отримати доступ до обох слухачів BGP Azure

en: **Important**: Disable connected check \
uk: **Важливо**: Вимкніть перевірку підключення \

en: **Important**: Disable connected check, otherwise the routes learned from Azure will not be imported into the routing table.
uk: **Важливо**: вимкніть перевірку підключення, інакше маршрути, отримані з Azure, не будуть імпортовані в таблицю маршрутизації.

en: **NOTE:** VyOS Router (tested with VyOS 1.4-rolling-202110310317) –  The configurations below are specifically for VyOS 1.4.x.
uk: **ПРИМІТКА.** Маршрутизатор VyOS (перевірено з VyOS 1.4-rolling-202110310317) – наведені нижче конфігурації спеціально для VyOS 1.4.x.

en: **Note:** At the moment, trace mpls doesn’t show labels/paths. So we’ll see * * *  for the transit routers of the mpls backbone.
uk: **Примітка.** На даний момент trace mpls не показує мітки/шляхи. Отже, ми побачимо * * * для транзитних маршрутизаторів магістралі mpls.

en: **This specific example is for a router on a stick, but is very easily adapted for however many NICs you have**:
uk: **Цей конкретний приклад стосується маршрутизатора на накопичувачі, але його дуже легко адаптувати для будь-якої кількості мережевих карток, які у вас є**:

en: **Virtual Routing and Forwarding** is a technology that allow multiple instance of a routing table to exist within a single device. One of the key aspect of **VRFs** is that do not share the same routes or interfaces, therefore packets are forwarded between interfaces that belong to the same VRF only.
uk: **Віртуальна маршрутизація та переадресація** — це технологія, яка дозволяє існувати кільком примірникам таблиці маршрутизації на одному пристрої. Одним із ключових аспектів **VRF** є те, що вони не використовують однакові маршрути чи інтерфейси, тому пакети пересилаються між інтерфейсами, які належать лише одній VRF.

en: **offsite1**
uk: **поза сайтом1**

en: **router1**
uk: **роутер1**

en: **router2**
uk: **роутер2**

en: 100: 'Public' network, using our 203.0.113.0/24 network.
uk: 100: «Загальнодоступна» мережа, яка використовує нашу мережу 203.0.113.0/24.

en: 172.17.1.2 CS0 -> CS4
uk: 172.17.1.2 CS0 -&gt; CS4

en: 172.17.1.2/24 CS0 - > CS4
uk: 172.17.1.2/24 CS0 - &gt; CS4

en: 172.17.1.2/24 CS4 - > CS5
uk: 172.17.1.2/24 CS4 - &gt; CS5

en: 172.17.1.3 CS0 -> CS5
uk: 172.17.1.3 CS0 -&gt; CS5

en: 172.17.1.4 CS0 -> CS6
uk: 172.17.1.4 CS0 -&gt; CS6

en: 172.17.1.40 CS0 by default
uk: 172.17.1.40 CS0 за замовчуванням

en: 192.168.100.10/2001:0DB8:0:AAAA::10 is the administrator's console. It can SSH to VyOS.
uk: 192.168.100.10/2001:0DB8:0:AAAA::10 — це консоль адміністратора. Він може SSH до VyOS.

en: 192.168.200.200/2001:0DB8:0:BBBB::200 is an internal/external DNS, web and mail (SMTP/IMAP) server.
uk: 192.168.200.200/2001:0DB8:0:BBBB::200 — внутрішній/зовнішній DNS, веб-сервер і поштовий (SMTP/IMAP) сервер.

en: 2 x Route reflectors (VyOS-RRx)
uk: 2 x Маршрутні відбивачі (VyOS-RRx)

en: 201: 'Internal' network, using 10.200.201.0/24
uk: 201: «Внутрішня» мережа, використовуючи 10.200.201.0/24

en: 4 x Provider routers (VyOS-Px)
uk: 4 маршрутизатори провайдера (VyOS-Px)

en: 50: Upstream, using the 192.0.2.0/24 network allocated by them.
uk: 50: Вгору, використовуючи виділену ними мережу 192.0.2.0/24.

en: A brief excursion into VRFs: This has been one of the longest-standing feature requests of VyOS (dating back to 2016) which can be described as "a VLAN for layer 2 is what a VRF is for layer 3". With VRFs, a router/system can hold multiple, isolated routing tables on the same system. If you wonder what's the difference between multiple tables that people used for policy-based routing since forever, it's that a VRF also isolates connected routes rather than just static and dynamically learned routes, so it allows NICs in different VRFs to use conflicting network ranges without issues.
uk: Короткий екскурс у VRF. Це був один із найдавніших запитів щодо функцій VyOS (починаючи з 2016 року), який можна описати так: «VLAN для рівня 2 — це те, що VRF для рівня 3». За допомогою VRF маршрутизатор/система може зберігати кілька ізольованих таблиць маршрутизації в одній системі. Якщо вам цікаво, яка різниця між декількома таблицями, які люди використовували для маршрутизації на основі політики з давніх-давен, це те, що VRF також ізолює підключені маршрути, а не просто статичні та динамічно вивчаються маршрути, тому він дозволяє мережевим картам у різних VRF використовувати конфліктні мережеві діапазони без питань.

en: A connection resource deployed in Azure linking the Azure VNet gateway and the local network gateway representing the Vyos device.
uk: Ресурс з’єднання, розгорнутий в Azure, зв’язує шлюз Azure VNet і шлюз локальної мережі, що представляє пристрій Vyos.

en: A host ``vyos-oobm`` will use as a ssh proxy. This host is just necessary for the Lab test.
uk: Хост ``vyos-oobm`` використовуватиметься як проксі-сервер ssh. Цей хост просто необхідний для лабораторного тесту.

en: A key point to understand is that if we need two VRFs to communicate between each other EXPORT rt from VRF1 has to be in the IMPORT rt list from VRF2. But this is only in ONE direction, to complete the communication the EXPORT rt from VRF2 has to be in the IMPORT rt list from VRF1.
uk: Ключовим моментом, який слід зрозуміти, є те, що якщо нам потрібні два VRF для зв’язку між собою, EXPORT rt з VRF1 має бути в списку IMPORT rt з VRF2. Але це тільки в ОДНОМУ напрямку, для завершення зв’язку EXPORT rt з VRF2 має бути в списку IMPORT rt з VRF1.

en: A local network gateway deployed in Azure representing the Vyos device, matching the below Vyos settings except for address space, which only requires the Vyos private IP, in this example 10.10.0.5/32
uk: Шлюз локальної мережі, розгорнутий в Azure, представляє пристрій Vyos, що відповідає наведеним нижче налаштуванням Vyos, за винятком адресного простору, для якого потрібна лише приватна IP-адреса Vyos, у цьому прикладі 10.10.0.5/32

en: A pair of Azure VNet Gateways deployed in active-active configuration with BGP enabled.
uk: Пара шлюзів Azure VNet, розгорнутих у конфігурації активний-активний із увімкненим BGP.

en: A pair of Azure VNet Gateways deployed in active-passive configuration with BGP enabled.
uk: Пара шлюзів Azure VNet, розгорнутих у активній-пасивній конфігурації з увімкненим BGP.

en: A public, routable IPv4 address. This does not necessarily need to be static, but you will need to update the tunnel endpoint when/if your IP address changes, which can be done with a script and a scheduled task.
uk: Загальнодоступна адреса IPv4, яку можна маршрутизувати. Це не обов’язково має бути статичним, але вам потрібно буде оновити кінцеву точку тунелю, коли/якщо ваша IP-адреса змінюється, що можна зробити за допомогою сценарію та запланованого завдання.

en: A rule order for prioritizing traffic is useful in scenarios where the secondary link has a lower speed and should only carry high priority traffic. It is assumed for this example that eth1 is connected to a slower connection than eth0 and should prioritize VoIP traffic.
uk: Порядок правил для визначення пріоритетів трафіку корисний у сценаріях, коли вторинне з’єднання має нижчу швидкість і має передавати лише високопріоритетний трафік. У цьому прикладі припускається, що eth1 підключено до повільнішого з’єднання, ніж eth0, і має надавати пріоритет VoIP-трафіку.

en: A simple solution could be using different routing tables, or VRFs for all the networks so we can keep the routing restrictions. But for us to route between the different VRFs we would need a cable or a logical connection between each other:
uk: Простим рішенням може бути використання різних таблиць маршрутизації або VRF для всіх мереж, щоб ми могли зберегти обмеження маршрутизації. Але для маршрутизації між різними VRF нам знадобиться кабель або логічне з’єднання між собою:

en: ADDRESS10 change CS0 -> CS4 source 172.17.1.2/32
uk: ADDRESS10 змінити CS0 -&gt; джерело CS4 172.17.1.2/32

en: ADDRESS20 change CS0 -> CS5 source 172.17.1.3/32
uk: ADDRESS20 змінити CS0 -&gt; джерело CS5 172.17.1.3/32

en: ADDRESS30 change CS0 -> CS6 source 172.17.1.4/32
uk: ADDRESS30 змінити CS0 -&gt; джерело CS6 172.17.1.4/32

en: Account at https://www.tunnelbroker.net/
uk: Обліковий запис на https://www.tunnelbroker.net/

en: Active Directory on Windows server
uk: Active Directory на сервері Windows

en: Add (temporary) default route
uk: Додати (тимчасовий) маршрут за замовчуванням

en: Add the LDAP plugin configuration file `/config/auth/ldap-auth.config`
uk: Додайте файл конфігурації плагіна LDAP `/config/auth/ldap-auth.config`

en: Adding a rule for the second interface
uk: Додавання правила для другого інтерфейсу

en: Advertise connected routes
uk: Оголошуйте сполучені маршрути

en: After all is done and commit, let's take a look if the Wireguard interface is up and running.
uk: Після того, як усе зроблено та закріплено, давайте подивимося, чи працює інтерфейс Wireguard.

en: After configured all the VRFs involved in this topology we take a deeper look at both BGP and Routing table for the VRF LAN1
uk: Після налаштування всіх VRF, залучених до цієї топології, ми глибше розглядаємо як BGP, так і таблицю маршрутизації для VRF LAN1

en: After the interface eth0 on router VyOS3
uk: Після інтерфейсу eth0 на роутері VyOS3

en: After this, we need the DHCP-Server and Relay configuration. To get a testable result, we just have one IP in the DHCP range. Expand it as you need it.
uk: Після цього нам знадобиться конфігурація DHCP-сервера та ретрансляції. Щоб отримати перевірений результат, ми маємо лише одну IP-адресу в діапазоні DHCP. Розширюйте його, як вам це потрібно.

en: After you have each public key. The wireguard interfaces can be setup.
uk: Після того, як у вас є кожен відкритий ключ. Інтерфейси Wireguard можна налаштувати.

en: All outgoing packets are assigned the source address of the assigned interface (SNAT).
uk: Усім вихідним пакетам призначається адреса джерела призначеного інтерфейсу (SNAT).

en: All traffic coming in through eth2 is balanced between eth0 and eth1 on the router.
uk: Весь трафік, що надходить через eth2, балансується між eth0 і eth1 на маршрутизаторі.

en: Allow DHCPv6 packets for router
uk: Дозволити пакети DHCPv6 для маршрутизатора

en: Allow all established and related traffic for router and LAN
uk: Дозволити весь встановлений і пов’язаний трафік для маршрутизатора та локальної мережі

en: Allow all icmpv6 packets for router and LAN
uk: Дозволити всі пакети icmpv6 для маршрутизатора та локальної мережі

en: Also we can verify how PE devices receives VPNv4 networks from the RRs and installing them to the specific customer VRFs:
uk: Також ми можемо перевірити, як пристрої PE отримують мережі VPNv4 від RR і встановлюють їх на VRF певного клієнта:

en: An L3VPN consists of multiple access links, multiple VPN routing and forwarding (VRF) tables, and multiple MPLS paths or multiple P2MP LSPs. An L3VPN can be configured to connect two or more customer sites. In hub-and-spoke MPLS L3VPN environments, the spoke routers need to have unique Route Distinguishers (RDs). In order to use the hub site as a transit point for connectivity in such an environment, the spoke sites export their routes to the hub. Spokes can talk to hubs, but never have direct paths to other spokes. All traffic between spokes is controlled and delivered over the hub site.
uk: L3VPN складається з кількох каналів доступу, кількох таблиць маршрутизації та переадресації VPN (VRF) і кількох шляхів MPLS або кількох P2MP LSP. L3VPN можна налаштувати для підключення двох або більше сайтів клієнтів. У середовищах MPLS L3VPN із концентратором і стрілкою спіцеві маршрутизатори повинні мати унікальні розрізнювачі маршрутів (RD). Щоб використовувати вузловий сайт як транзитну точку для підключення в такому середовищі, спільні сайти експортують свої маршрути до концентратора. Спиці можуть спілкуватися з концентраторами, але ніколи не мають прямих шляхів до інших спиць. Весь трафік між вузлами контролюється та передається через вузол.

en: And ping the Branch PC from your central router to check the response.
uk: І перевірте відповідь на Branch PC із центрального маршрутизатора.

en: And show all DHCP Leases
uk: І показати всі оренди DHCP

en: And the ``client`` to receive an IPv6 address with stateless autoconfig.
uk: І ``клієнт`` для отримання IPv6-адреси з автоконфігурацією без збереження стану.

en: Ansible Example topology image
uk: Приклад зображення топології Ansible

en: Any information related to a VRF is not exchanged between devices -or in the same device- by default, this is a technique called **VRF-Lite**.
uk: Будь-яка інформація, пов’язана з VRF, не обмінюється між пристроями або в одному пристрої за замовчуванням, це техніка під назвою **VRF-Lite**.

en: Appendix-A
uk: Додаток-А

en: Appendix-B
uk: Додаток-Б

en: As a reminder, only advertise routes that you are the default router for. This is why we are NOT announcing the 192.0.2.0/24 network, because if that was announced into OSPF, the other routers would try to connect to that network over a tunnel that connects to that network!
uk: Нагадуємо, рекламуйте лише маршрути, для яких ви є маршрутизатором за умовчанням. Ось чому ми НЕ анонсуємо мережу 192.0.2.0/24, тому що якби це було оголошено в OSPF, інші маршрутизатори намагалися б підключитися до цієї мережі через тунель, який з’єднується з цією мережею!

en: As we can see even if both VRF LAN1 and LAN2 has the same import RTs we are able to select which routes are effectively imported and installed.
uk: Як ми бачимо, навіть якщо VRF LAN1 і LAN2 мають однакові RT імпорту, ми можемо вибрати, які маршрути ефективно імпортувати та встановити.

en: As we can see in the BGP table any imported route has been injected with a "@" followed by the VPN id; In the routing table of the VRF, if the route was installed, we can see -between round brackets- the exported VRF table.
uk: Як ми бачимо в таблиці BGP, до будь-якого імпортованого маршруту додано символ «@», за яким слідує ідентифікатор VPN; У таблиці маршрутизації VRF, якщо маршрут було встановлено, ми можемо побачити (між круглими дужками) експортовану таблицю VRF.

en: As we can see this is unpractical.
uk: Як бачимо, це непрактично.

en: As we know the main assumption of L3VPN “Hub and Spoke” is, that the traffic between spokes have to pass via hub, in our scenario VyOS-PE2 is the Hub PE and the VyOS-CE1-HUB is the central customer office device that is responsible for controlling access between all spokes and announcing its network prefixes (10.0.0.100/32). VyOS-PE2 has the main VRF (its name is BLUE_HUB), its own Route-Distinguisher(RD) and route-target import/export lists. Multiprotocol-BGP(MP-BGP) delivers L3VPN related control-plane information to the nodes across network where PEs Spokes import the route-target 60535:1030 (this is export route-target of vrf BLUE_HUB) and export its own route-target 60535:1011(this is vrf BLUE_SPOKE export route-target). Therefore, the Customer edge nodes can only learn the network prefixes of the HUB site [10.0.0.100/32]. For this example VyOS-CE1 has network prefixes [10.0.0.80/32] / VyOS-CE2 has network prefixes [10.0.0.90/32]. Route-Reflector devices VyOS-RR1 and VyOS-RR2 are used to simplify network routes exchange and minimize iBGP peerings between devices.
uk: Як ми знаємо, основне припущення L3VPN «Hub and Spoke» полягає в тому, що трафік між вузлами має проходити через концентратор, у нашому сценарії VyOS-PE2 — це Hub PE, а VyOS-CE1-HUB — це центральний офісний пристрій клієнта, який відповідає за контроль доступу між усіма зв’язками та оголошення своїх мережевих префіксів (10.0.0.100/32). VyOS-PE2 має головний VRF (його назва BLUE_HUB), власний Route-Distinguisher (RD) і списки імпорту/експорту цільового маршруту. Multiprotocol-BGP(MP-BGP) доставляє пов’язану з L3VPN інформацію про площину керування до вузлів у мережі, де спілки PE імпортують цільовий маршрут 60535:1030 (це цільовий маршрут експорту vrf BLUE_HUB) і експортують власний цільовий маршрут 60535 :1011 (це мета експорту vrf BLUE_SPOKE). Таким чином, периферійні вузли клієнта можуть вивчати лише мережеві префікси сайту HUB [10.0.0.100/32]. Для цього прикладу VyOS-CE1 має мережеві префікси [10.0.0.80/32] / VyOS-CE2 має мережеві префікси [10.0.0.90/32]. Пристрої Route-Reflector VyOS-RR1 і VyOS-RR2 використовуються для спрощення обміну мережевими маршрутами та мінімізації однорангового обміну iBGP між пристроями.

en: As we see shaper is working and the traffic will not work over 5 Mbit/s.
uk: Як ми бачимо, шейпер працює і трафік більше 5 Мбіт/с працювати не буде.

en: Assign external IP addresses
uk: Призначити зовнішні IP-адреси

en: Assuming the pings are successful, you need to add some DNS servers. Some options:
uk: Якщо пінг пройшов успішно, вам потрібно додати кілька DNS-серверів. Деякі варіанти:

en: At the first step we need to configure the IP/MPLS backbone network using OSPF as IGP protocol and LDP as label-switching protocol for the base connectivity between **P** (rovider), **P** (rovider) **E** (dge) and **R** (oute) **R** (eflector) nodes:
uk: На першому кроці нам потрібно налаштувати магістральну мережу IP/MPLS за допомогою OSPF як протоколу IGP і LDP як протоколу перемикання міток для базового з’єднання між **P** (rovider), **P** (rovider) ** Вузли E** (dge) і **R** (oute) **R** (eflector):

en: At this point, you now need to create the X link between all four routers. Use amdifferent /30 for each link.
uk: На цьому етапі вам потрібно створити X-з’єднання між усіма чотирма маршрутизаторами. Використовуйте amdifferent /30 для кожного посилання.

en: At this point, you should be able to SSH into both of them, and will no longer need access to the console (unless you break something!)
uk: На цьому етапі ви зможете підключатися через SSH до обох, і вам більше не потрібен доступ до консолі (якщо ви не зламаєте щось!)

en: At this point, you should be able to see both IP addresses when you run ``show interfaces``\ , and ``show vrrp`` should show both interfaces in MASTER state (and SLAVE state on router2).
uk: На цьому етапі ви повинні бачити обидві IP-адреси, коли запускаєте ``show interfaces``\ , а ``show vrrp`` має показувати обидва інтерфейси в стані MASTER (і стані SLAVE на router2).

en: At this point, your VyOS install should have full IPv6, but now your LAN devices need access.
uk: На даний момент ваша інсталяція VyOS повинна мати повний IPv6, але тепер вашим пристроям локальної мережі потрібен доступ.

en: At this step we are going to enable iBGP protocol on MPLS nodes and Route Reflectors (two routers for redundancy) that will deliver IPv4 VPN (L3VPN) routes between them:
uk: На цьому кроці ми збираємося ввімкнути протокол iBGP на вузлах MPLS і Route Reflectors (два маршрутизатори для резервування), які забезпечать маршрути IPv4 VPN (L3VPN) між ними:

en: Azure VNet Gateway 1 public IP
uk: Загальнодоступна IP-адреса віртуальної мережі Azure Gateway 1

en: Azure VNet Gateway 2 public IP
uk: Загальнодоступна IP-адреса Azure VNet Gateway 2

en: Azure VNet Gateway public IP
uk: Загальнодоступна IP-адреса віртуальної мережі Azure

en: Azure address space
uk: Адресний простір Azure

en: BGP IPv6 unnumbered with extended nexthop
uk: BGP IPv6 без номерів із розширеним наступним кроком

en: BGP is an extremely complex network protocol. An example is provided here.
uk: BGP є надзвичайно складним мережевим протоколом. Приклад наведено тут.

en: Based on the previous example, another rule for traffic from the second interface eth3 can be added to the load balancer. However, traffic meant to flow between the LAN subnets will be sent to eth0 and eth1 as well. To prevent this, another rule is required. This rule excludes traffic between the local subnets from the load balancer. It also excludes locally-sources packets (required for web caching with load balancing). eth+ is used as an alias that refers to all ethernet interfaces:
uk: На основі попереднього прикладу до балансувальника навантаження можна додати ще одне правило для трафіку з другого інтерфейсу eth3. Однак трафік, призначений для проходження між підмережами LAN, також буде надіслано до eth0 та eth1. Щоб цього не сталося, потрібно ще одне правило. Це правило виключає трафік між локальними підмережами з балансувальника навантаження. Він також виключає пакети з локальних джерел (потрібні для веб-кешування з балансуванням навантаження). eth+ використовується як псевдонім, який посилається на всі інтерфейси Ethernet:

en: Basic Firewall
uk: Базовий брандмауер

en: Basic Setup (via console)
uk: Основне налаштування (через консоль)

en: Before the interface eth0 on router VyOS3
uk: До інтерфейсу eth0 на роутері VyOS3

en: Bonding on Hardware Router
uk: З’єднання на апаратному маршрутизаторі

en: Both LANs have to be able to route between each other, both will have managed devices through a dedicated management network and both will need Internet access yet the LAN2 will need access to some set of outside networks, not all. The management network will need access to both LANs but cannot have access to/from the outside.
uk: Обидві локальні мережі повинні мати можливість маршрутизації між собою, обидві матимуть керовані пристрої через спеціальну мережу керування, і обидві потребуватимуть доступу до Інтернету, але LAN2 потребуватиме доступ до деяких зовнішніх мереж, а не до всіх. Мережі керування потрібен доступ до обох локальних мереж, але вона не може мати доступу до/ззовні.

en: Branch
uk: Відділення

en: By default, iptables does not allow traffic for established sessions to return, so you must explicitly allow this. I do this by adding two rules to every ruleset. 1 allows established and related state packets through and rule 2 drops and logs invalid state packets. We place the established/related rule at the top because the vast majority of traffic on a network is established and the invalid rule to prevent invalid state packets from mistakenly being matched against other rules. Having the most matched rule listed first reduces CPU load in high volume environments. Note: I have filed a bug to have this added as a default action as well.
uk: За замовчуванням iptables не дозволяє повертати трафік для встановлених сеансів, тому ви повинні явно дозволити це. Я роблю це, додаючи два правила до кожного набору правил. 1 дозволяє пакети встановленого та пов’язаного стану, а правило 2 відкидає та реєструє недійсні пакети стану. Ми розміщуємо встановлене/пов’язане правило вгорі, оскільки переважна більшість трафіку в мережі встановлено, а правило недійсності запобігає помилковому зіставленню недійсних пакетів стану з іншими правилами. Якщо правило, яке найбільше відповідає першим, зменшує навантаження на ЦП у середовищах із великим обсягом. Примітка: я повідомив про помилку, щоб також додати цю дію як дію за замовчуванням.

en: CE Hub device
uk: пристрій концентратора CE

en: CS4 -> CS5
uk: CS4 -&gt; CS5

en: Central
uk: Центральний

en: Check all possible settings `here <https://github.com/threerings/openvpn-auth-ldap/blob/master/auth-ldap.conf>`_
uk: Перевірте всі можливі налаштування тут<https://github.com/threerings/openvpn-auth-ldap/blob/master/auth-ldap.conf> `_

en: Check the BGP VRF table and verify if the static routes are injected showing the correct next-hop information.
uk: Перевірте таблицю BGP VRF і перевірте, чи впроваджено статичні маршрути з правильною інформацією про наступний крок.

en: Check the result
uk: Перевірте результат

en: Check the result.
uk: Перевірте результат.

en: Checking the routing table of the VRF should reveal both static and connected entries active. A PING test between the Core and remote router is a way to validate connectivity within the VRF.
uk: Перевірка таблиці маршрутизації VRF має виявити активні статичні та підключені записи. Тест PING між ядром і віддаленим маршрутизатором є способом перевірки підключення в межах VRF.

en: Cisco VPC Crossconnect - Ports 39 and 40 bonded between each switch
uk: Cisco VPC Crossconnect – порти 39 і 40, з’єднані між кожним комутатором

en: Clamp the VTI's MSS to 1350 to avoid PMTU blackholes.
uk: Підніміть MSS VTI до 1350, щоб уникнути чорних дірок PMTU.

en: Client configuration
uk: Конфігурація клієнта

en: Conclusions
uk: Висновки

en: Configuration
uk: Конфігурація

en: Configuration 'NMP'
uk: Конфігурація &quot;NMP&quot;

en: Configuration 'VyOS'
uk: Конфігурація &quot;VyOS&quot;

en: Configuration 'dcsp' and shaper using QoS
uk: Конфігурація &#39;dcsp&#39; і формувач з використанням QoS

en: Configuration Blueprints
uk: Чертежі конфігурації

en: Configuration Blueprints (autotest)
uk: Конфігурація креслень (самоперевірка)

en: Configuration VyOS as OpenVPN Server
uk: Налаштуйте VyOS як сервер OpenVPN

en: Configuration:
uk: Конфігурація:

en: Configurations
uk: Конфігурації

en: Configure Wireguard
uk: Налаштувати Wireguard

en: Configure a VTI with a dummy IP address
uk: Налаштуйте VTI з фіктивною IP-адресою

en: Configure conntrack-sync and enable helpers
uk: Налаштуйте conntrack-sync і ввімкніть помічники

en: Configure the IKE and ESP settings to match a subset of those supported by Azure:
uk: Налаштуйте параметри IKE та ESP відповідно до підмножини тих, що підтримуються Azure:

en: Configure the VPN tunnel
uk: Налаштуйте VPN-тунель

en: Configure the VPN tunnels
uk: Налаштуйте VPN-тунелі

en: Configure the WAN load balancer with the parameters described above:
uk: Налаштуйте балансир навантаження глобальної мережі з параметрами, описаними вище:

en: Configure the load balancer
uk: Налаштуйте балансир навантаження

en: Configure two VTIs with a dummy IP address each
uk: Налаштуйте два VTI з фіктивною IP-адресою кожен

en: Configure your BGP settings
uk: Налаштуйте параметри BGP

en: Conntrack helper modules are enabled by default, but they tend to cause more problems than they're worth in complex networks. You can disable all of them at one go.
uk: Допоміжні модулі Conntrack увімкнено за замовчуванням, але вони, як правило, створюють більше проблем, ніж вони того варті, у складних мережах. Ви можете вимкнути їх усі за один раз.

en: Consider how to quickly set up NMP and VyOS for monitoring. NMP is multi-vendor network monitoring from 'SolarWinds' built to scale and expand with the needs of your network.
uk: Розглянемо, як швидко налаштувати NMP і VyOS для моніторингу. NMP — це моніторинг мережі від багатьох постачальників від SolarWinds, створений для масштабування та розширення відповідно до потреб вашої мережі.

en: Core
uk: Ядро

en: Core Router
uk: Основний маршрутизатор

en: Core network
uk: Основна мережа

en: Create Export Filter
uk: Створити експортний фільтр

en: Create Import Filter
uk: Створити фільтр імпорту

en: Create VRRP sync-group
uk: Створіть групу синхронізації VRRP

en: Create a LACP bond on the hardware router. We are assuming that eth0 and eth1 are connected to port 8 on both switches, and that those ports are configured as a Port-Channel.
uk: Створіть зв’язок LACP на апаратному маршрутизаторі. Ми припускаємо, що eth0 і eth1 підключені до порту 8 на обох комутаторах і що ці порти налаштовані як порт-канал.

en: Create an 'All VLANs' network group, that passes all trunked traffic through to the VM. Attach this network group to router1 as eth0.
uk: Створіть мережеву групу «Усі VLAN», яка передає весь транкінговий трафік до віртуальної машини. Приєднайте цю мережеву групу до router1 як eth0.

en: Create interface weight based configuration
uk: Створення конфігурації на основі ваги інтерфейсу

en: Create rule order based configuration
uk: Створення конфігурації на основі порядку правил

en: Create rule order based configuration with low speed secondary link
uk: Створіть конфігурацію на основі порядку правил із низькошвидкісним вторинним посиланням

en: Create static routes through the two ISPs towards the ping targets and commit the changes:
uk: Створіть статичні маршрути через двох провайдерів до цілей ping і зафіксуйте зміни:

en: Create static routes to ping targets
uk: Створіть статичні маршрути до цілей ping

en: Create your router1 VM. So it can withstand a VM Host failing or a network link failing. Using VMware, this is achieved by enabling vSphere DRS, vSphere Availability, and creating a Distributed Port Group that uses LACP.
uk: Створіть віртуальну машину router1. Таким чином, він може витримати збій хоста віртуальної машини або мережевого з’єднання. За допомогою VMware це досягається шляхом увімкнення vSphere DRS, vSphere Availability та створення розподіленої групи портів, яка використовує LACP.

en: DHCP Relay trough GRE-Bridge
uk: DHCP Relay через GRE-Bridge

en: DHCP-Relay
uk: DHCP-ретрансляція

en: DHCP-Server
uk: DHCP-сервер

en: DHCPv6-PD Setup
uk: Налаштування DHCPv6-PD

en: DMZ cannot access LAN resources.
uk: DMZ не може отримати доступ до ресурсів локальної мережі.

en: DMZ-LAN policy is LAN-DMZ. You can get a rhythm to it when you build out a bunch at one time.
uk: Політика DMZ-LAN – LAN-DMZ. Ви можете досягти ритму, коли ви створюєте купу одночасно.

en: Design
uk: Дизайн

en: Device-A
uk: Пристрій-А

en: Device-B
uk: Пристрій-Б

en: Duplicate configuration
uk: Дубльована конфігурація

en: During address configuration, in addition to assigning an address to the WAN interface, ISP also provides a prefix to allow the router to configure addresses of LAN interface and other nodes connecting to LAN, which is called prefix delegation (PD).
uk: Під час конфігурації адреси, окрім призначення адреси інтерфейсу WAN, ISP також надає префікс, який дозволяє маршрутизатору налаштовувати адреси інтерфейсу LAN та інших вузлів, що підключаються до LAN, що називається делегуванням префікса (PD).

en: Dynamic routing used between CE and PE nodes and eBGP peering established for the route exchanging between them. All routes received by PEs are then exported to L3VPN and delivered from Spoke sites to Hub and vise-versa based on previously configured L3VPN parameters.
uk: Динамічна маршрутизація, що використовується між вузлами CE і PE, і eBGP, встановлений для обміну маршрутами між ними. Усі маршрути, отримані PE, потім експортуються до L3VPN і доставляються з Spoke-сайтів до Hub і навпаки на основі попередньо налаштованих параметрів L3VPN.

en: Each interface is assigned to a zone. The interface can be physical or virtual such as tunnels (VPN, PPTP, GRE, etc) and are treated exactly the same.
uk: Кожен інтерфейс призначений для зони. Інтерфейс може бути фізичним або віртуальним, як-от тунелі (VPN, PPTP, GRE тощо), і обробляється однаково.

en: Each lab will build an test from an external script. The page content will generate, so changes will not take an effect.
uk: Кожна лабораторія створить тест із зовнішнього сценарію. Вміст сторінки генеруватиметься, тому зміни не матимуть чинності.

en: Enable IPsec on eth0
uk: Увімкніть IPsec на eth0

en: Enable OSPF
uk: Увімкніть OSPF

en: Enable SSH
uk: Увімкніть SSH

en: Enable SSH so you can now SSH into the routers, rather than using the console.
uk: Увімкніть SSH, щоб тепер ви могли підключатися через SSH до маршрутизаторів, а не використовувати консоль.

en: Enables router advertisements. This is an IPv6 alternative for DHCP (though DHCPv6 can still be used). With RAs, Your devices will automatically find the information they need for routing and DNS.
uk: Вмикає оголошення маршрутизатора. Це альтернатива IPv6 для DHCP (хоча DHCPv6 все ще можна використовувати). За допомогою RA ваші пристрої автоматично знайдуть інформацію, необхідну для маршрутизації та DNS.

en: Even if the two zones will never communicate, it is a good idea to create the zone-pair-direction rulesets and set enable-default-log. This will allow you to log attempts to access the networks. Without it, you will never see the connection attempts.
uk: Навіть якщо дві зони ніколи не спілкуватимуться, доцільно створити набори правил zone-pair-direction і встановити enable-default-log. Це дозволить вам реєструвати спроби доступу до мереж. Без нього ви ніколи не побачите спроб підключення.

en: Every router **must** have a unique router-id. The 'reference-bandwidth' is used because when OSPF was originally designed, the idea of a link faster than 1gbit was unheard of, and it does not scale correctly.
uk: Кожен маршрутизатор **повинен** мати унікальний ідентифікатор маршрутизатора. «Reference-bandwidth» використовується тому, що коли OSPF був спочатку розроблений, ідея зв’язку, швидшого за 1 Гбіт, була нечуваною, і вона не масштабується належним чином.

en: Every router that provides access to a customer network needs to have the customer network (VRF + VNI) configured. To make our own lives easier, we utilize the same VRF table id (local routing table number) and VNI (Virtual Network Identifier) per tenant on all our routers.
uk: Кожний маршрутизатор, який надає доступ до клієнтської мережі, повинен мати налаштовану клієнтську мережу (VRF + VNI). Щоб полегшити собі життя, ми використовуємо однаковий ідентифікатор таблиці VRF (номер таблиці локальної маршрутизації) та VNI (ідентифікатор віртуальної мережі) для кожного клієнта на всіх наших маршрутизаторах.

en: Every tenant is assigned an individual VRF that would support overlapping address ranges for customers blue, red and green. In our example, we do not use overlapping ranges to make it easier when showing debug commands.
uk: Кожному орендарю призначається окремий VRF, який підтримуватиме перекриття діапазонів адрес для клієнтів синього, червоного та зеленого кольорів. У нашому прикладі ми не використовуємо діапазони, що перекриваються, щоб полегшити показ команд налагодження.

en: Example
uk: приклад

en: Example 1: Distributing load evenly
uk: Приклад 1: рівномірний розподіл навантаження

en: Example 2: Failover based on interface weights
uk: Приклад 2: відновлення після відмови на основі ваги інтерфейсу

en: Example 3: Failover based on rule order
uk: Приклад 3: відновлення після відмови на основі порядку правил

en: Example 4: Failover based on rule order - priority traffic
uk: Приклад 4: відновлення після відмови на основі порядку правил – пріоритетний трафік

en: Example 5: Exclude traffic from load balancing
uk: Приклад 5: виключення трафіку з балансування навантаження

en: Example Network
uk: Приклад мережі

en: Fill ``password`` and ``user`` with the credential provided by your ISP.
uk: Заповніть ``password`` і ``user`` обліковими даними, наданими вашим провайдером.

en: Finally, don't forget the :ref:`firewall`. The usage is identical, except for instead of `set firewall name NAME`, you would use `set firewall ipv6-name NAME`.
uk: Нарешті, не забудьте про :ref:`firewall`. Використання ідентичне, за винятком того, що замість «встановити ім’я брандмауера ІМ’Я» ви використовуєте «встановити ім’я ipv6 брандмауера ІМ’Я».

en: Finally, let’s check the reachability between CEs:
uk: Нарешті, давайте перевіримо доступність між CE:

en: Firewall
uk: Брандмауер

en: First a CA, a signed server and client ceftificate and a Diffie-Hellman parameter musst be generated and installed. Please look :ref:`here <configuration/pki/index:pki>` for more information.
uk: Спочатку необхідно створити та встановити ЦС, підписаний сертифікат сервера та клієнта та параметр Діффі-Хеллмана. Подивіться :ref:`тут<configuration/pki/index:pki> ` для отримання додаткової інформації.

en: First prepare our VyOS router for connection to NMP. We have to set up the SNMP protocol and connectivity between the router and NMP.
uk: Спочатку підготуйте наш маршрутизатор VyOS для підключення до NMP. Нам потрібно налаштувати протокол SNMP і підключення між маршрутизатором і NMP.

en: First, we configure the ``vyos-wan`` interface to get a DHCP address.
uk: Спочатку ми налаштовуємо інтерфейс ``vyos-wan`` для отримання адреси DHCP.

en: First, we configure the transport network and the Tunnel interface.
uk: Спочатку ми налаштовуємо транспортну мережу та інтерфейс тунелю.

en: For connection between sites, we are running a WireGuard link to two REMOTE routers and using OSPF over those links to distribute routes. That remote site is expected to send traffic from anything in 10.201.0.0/16
uk: Для з’єднання між сайтами ми запускаємо зв’язок WireGuard із двома ВІДДАЛЕНИМИ маршрутизаторами та використовуємо OSPF для цих посилань для розподілу маршрутів. Очікується, що цей віддалений сайт надсилатиме трафік із будь-якого місця в 10.201.0.0/16

en: For home network users, most of time ISP only provides /64 prefix, hence there is no need to set SLA ID and prefix length. See :ref:`pppoe-interface` for more information.
uk: Для користувачів домашньої мережі провайдер здебільшого надає лише префікс /64, тому немає необхідності встановлювати ідентифікатор SLA та довжину префікса. Перегляньте :ref:`pppoe-interface` для отримання додаткової інформації.

en: For redundant / active-active configurations see :ref:`examples-azure-vpn-dual-bgp`
uk: Для надлишкових/активних-активних конфігурацій див. :ref:`examples-azure-vpn-dual-bgp`

en: For the hardware router, replace ``eth0`` with ``bond0``. As (almost) every command is identical, this will not be specified unless different things need to be performed on different hosts.
uk: Для апаратного маршрутизатора замініть ``eth0`` на ``bond0``. Оскільки (майже) кожна команда ідентична, це не буде вказано, якщо на різних хостах не потрібно виконувати різні дії.

en: From Datacenter - This connects into port 1 on both switches, and is tagged as VLAN 50
uk: З центру обробки даних - це підключення до порту 1 на обох комутаторах і позначене як VLAN 50

en: From Management to LAN1/LAN2
uk: Від керування до LAN1/LAN2

en: From Management to Outside (fails as intended)
uk: Від управління до зовнішнього (виходить з ладу, як передбачалося)

en: Full configuration from all devices
uk: Повна конфігурація з усіх пристроїв

en: General information about L3VPNs can be found in the :ref:`configuration/vrf/index:L3VPN VRFs` chapter.
uk: Загальну інформацію про L3VPN можна знайти в розділі :ref:`configuration/vrf/index:L3VPN VRF`.

en: General information can be found in the :ref:`configuration/vrf/index:L3VPN VRFs` chapter.
uk: Загальну інформацію можна знайти в розділі :ref:`configuration/vrf/index:L3VPN VRFs`.

en: General information can be found in the :ref:`routing-bgp` chapter.
uk: Загальну інформацію можна знайти в розділі :ref:`routing-bgp`.

en: General information can be found in the :ref:`routing-ospf` chapter.
uk: Загальну інформацію можна знайти в розділі :ref:`routing-ospf`.

en: Hardware
uk: Обладнання

en: Hardware Router - Port 8 of each switch
uk: Апаратний маршрутизатор - порт 8 кожного комутатора

en: Here is an example of an IPv6 DMZ-WAN ruleset.
uk: Ось приклад набору правил IPv6 DMZ-WAN.

en: Here is the routing tables showing the MPLS segment routing label operations:
uk: Ось таблиці маршрутизації, що показують операції міток маршрутизації сегмента MPLS:

en: Here we set the prefix to ``::/64`` to indicate advertising any /64 prefix the LAN interface is assigned.
uk: Тут ми встановлюємо префікс ``::/64``, щоб позначити рекламу будь-якого префікса /64, призначеного інтерфейсу LAN.

en: Here we use the prefix to configure the address of eth1 (LAN) to form ``<prefix>::64``, where ``64`` is hexadecimal of address 100.
uk: Тут ми використовуємо префікс для налаштування адреси eth1 (LAN) у формі ``<prefix> ::64``, де ``64`` є шістнадцятковим адресою 100.

en: High Availability Walkthrough
uk: Покрокове керівництво щодо високої доступності

en: How does it work?
uk: Як це працює?

en: Hub
uk: Хаб

en: I chose to run OSPF as the IGP (Interior Gateway Protocol). All required BGP sessions are established via a dummy interfaces (similar to the loopback, but in Linux you can have only one loopback, while there can be many dummy interfaces) on the PE routers. In case of a link failure, traffic is diverted in the other direction in this triangle setup and BGP sessions will not go down. One could even enable BFD (Bidirectional Forwarding Detection) on the links for a faster failover and resilience in the network.
uk: Я вирішив запустити OSPF як IGP (Interior Gateway Protocol). Усі необхідні сеанси BGP встановлюються за допомогою фіктивних інтерфейсів (подібно до loopback, але в Linux ви можете мати лише один loopback, тоді як фіктивних інтерфейсів може бути багато) на маршрутизаторах PE. У разі збою з’єднання трафік перенаправляється в іншому напрямку в цьому трикутнику, і сеанси BGP не припиняються. Можна навіть увімкнути BFD (Bidirectional Forwarding Detection) на з’єднаннях для швидшого відмовостійкості та стійкості мережі.

en: I create/configure the interfaces first. Build out the rulesets for each zone-pair-direction which includes at least the three state rules. Then I setup the zone-policies.
uk: Спочатку я створюю/налаштовую інтерфейси. Створіть набори правил для кожної зони-пари-напрямку, які включають принаймні три правила стану. Потім я встановлюю політику зони.

en: I name rule sets to indicate which zone-pair-direction they represent. eg. ZoneA-ZoneB or ZoneB-ZoneA. LAN-DMZ, DMZ-LAN.
uk: Я називаю набори правил, щоб вказати, яку зону-пару-напрямок вони представляють. напр. ЗонаА-ЗонаБ або ЗонаБ-ЗонаА. LAN-DMZ, DMZ-LAN.

en: I named the customers blue, red and green which is common practice in VRF (Virtual Routing and Forwarding) documentation scenarios.
uk: Я назвав клієнтів синім, червоним і зеленим, що є звичайною практикою в сценаріях документації VRF (віртуальна маршрутизація та пересилання).

en: I spun up a new lab in EVE-NG, which represents this as the "Foo Bar - Service Provider Inc." that has 3 points of presence (PoP) in random datacenters/sites named PE1, PE2, and PE3. Each PoP aggregates at least two customers.
uk: Я створив нову лабораторію в EVE-NG, яка представляє це як &quot;Foo Bar - Service Provider Inc.&quot; який має 3 точки присутності (PoP) у випадкових центрах обробки даних/сайтах під назвою PE1, PE2 і PE3. Кожен PoP об’єднує принаймні двох клієнтів.

en: IP Schema
uk: IP-схема

en: IP/MPLS technology is widely used by various service providers and large enterprises in order to achieve better network scalability, manageability and flexibility. It also provides the possibility to deliver different services for the customers in a seamless manner. Layer 3 VPN (L3VPN) is a type of VPN mode that is built and delivered through OSI layer 3 networking technologies. Often the border gateway protocol (BGP) is used to send and receive VPN-related data that is responsible for the control plane. L3VPN utilizes virtual routing and forwarding (VRF) techniques to receive and deliver user data as well as separate data planes of the end-users. It is built using a combination of IP- and MPLS-based information. Generally, L3VPNs are used to send data on back-end VPN infrastructures, such as for VPN connections between data centres, HQs and branches.
uk: Технологія IP/MPLS широко використовується різними постачальниками послуг і великими підприємствами для досягнення кращої масштабованості, керованості та гнучкості мережі. Це також забезпечує можливість безперебійного надання різних послуг клієнтам. VPN рівня 3 (L3VPN) — це тип режиму VPN, створений і надається за допомогою мережевих технологій рівня 3 OSI. Часто протокол прикордонного шлюзу (BGP) використовується для надсилання та отримання даних, пов’язаних з VPN, які відповідають за площину керування. L3VPN використовує методи віртуальної маршрутизації та переадресації (VRF) для отримання та доставки даних користувачів, а також окремих рівнів даних кінцевих користувачів. Він створений з використанням комбінації інформації на основі IP та MPLS. Зазвичай L3VPN використовуються для надсилання даних у внутрішні інфраструктури VPN, наприклад для VPN-з’єднань між центрами обробки даних, штаб-квартирами та філіями.

en: IPv4 Network
uk: Мережа IPv4

en: IPv6 Network
uk: Мережа IPv6

en: IPv6 Tunnel
uk: Тунель IPv6

en: ISIS-SR example network
uk: Приклад мережі ISIS-SR

en: ISIS-SR network
uk: Мережа ІДІЛ-СР

en: If the client is connect successfully you can check the output with
uk: Якщо клієнт підключено успішно, ви можете перевірити вихід за допомогою

en: If we need to retrieve information about a specific host/network inside the EVPN network we need to run
uk: Якщо нам потрібно отримати інформацію про певний хост/мережу всередині мережі EVPN, нам потрібно запустити

en: If you are following through this document, it is strongly suggested you complete the entire document, ONLY doing the virtual router1 steps, and then come back and walk through it AGAIN on the backup hardware router.
uk: Якщо ви дотримуєтеся цього документа, наполегливо рекомендуємо пройти весь документ, ЛИШЕ виконавши кроки віртуального маршрутизатора1, а потім повернутися та переглянути його ЩЕ РАВНО на резервному апаратному маршрутизаторі.

en: If you are using a IPv6 tunnel from HE.net or someone else, the basis is the same except you have two WAN interfaces. One for v4 and one for v6.
uk: Якщо ви використовуєте тунель IPv6 від HE.net або когось іншого, основа така сама, за винятком того, що у вас є два інтерфейси WAN. Один для v4 і один для v6.

en: If you use a routing protocol itself, you solve two problems at once. This is only a basic example, and is provided as a starting point.
uk: Якщо ви використовуєте сам протокол маршрутизації, ви вирішуєте дві проблеми одночасно. Це лише базовий приклад, який надається як відправна точка.

en: If your computer is on the LAN and you need to SSH into your VyOS box, you would need a rule to allow it in the LAN-Local ruleset. If you want to access a webpage from your VyOS box, you need a rule to allow it in the Local-LAN ruleset.
uk: Якщо ваш комп’ютер під’єднано до локальної мережі, і вам потрібно підключитися через SSH до свого блоку VyOS, вам знадобиться правило, яке дозволятиме це в наборі правил LAN-Local. Якщо ви хочете отримати доступ до веб-сторінки зі свого вікна VyOS, вам потрібне правило, щоб дозволити це в наборі правил локальної локальної мережі.

en: Image name: vyos-1.4-rolling-202110310317-amd64.iso
uk: Назва зображення: vyos-1.4-rolling-202110310317-amd64.iso

en: In :vytask:`T2199` the syntax of the zone configuration was changed. The zone configuration moved from ``zone-policy zone <name>`` to ``firewall zone <name>``.
uk: У :vytask:`T2199` змінено синтаксис конфігурації зони. Конфігурацію зони переміщено з ``zone-policy zone<name> `` до ``зони брандмауера<name> ``.

en: In VyOS you must have the interfaces created before you can apply it to the zone and the rulesets must be created prior to applying it to a zone-policy.
uk: У VyOS у вас повинні бути створені інтерфейси, перш ніж ви зможете застосувати його до зони, а набори правил мають бути створені перед застосуванням його до зональної політики.

en: In VyOS, you have to have unique Ruleset names. In the event of overlap, I add a "-6" to the end of v6 rulesets. eg. LAN-DMZ, LAN-DMZ-6. This allows for each auto-completion and uniqueness.
uk: У VyOS ви повинні мати унікальні імена набору правил. У разі збігу я додаю «-6» у кінець наборів правил v6. напр. LAN-DMZ, LAN-DMZ-6. Це забезпечує кожне автозавершення та унікальність.

en: In rules, it is good to keep them named consistently. As the number of rules you have grows, the more consistency you have, the easier your life will be.
uk: У правилах добре, щоб вони називалися послідовно. У міру того, як кількість ваших правил зростає, чим більше у вас послідовності, тим легше вам буде жити.

en: In the above examples, 1,2,ffff are all chosen by you. You can use 1-ffff (1-65535).
uk: У наведених вище прикладах 1,2,ffff вибрано вами. Ви можете використовувати 1-ffff (1-65535).

en: In the end, on the router “VyOS2” we will set outgoing bandwidth limits between the “VyOS3” and “VyOS1” routers. Let's set a limit for IP 10.1.1.100 = 5 Mbps(Tx). We will check the result of the work with the help of the “iPerf” utility.
uk: Зрештою, на маршрутизаторі “VyOS2” ми встановимо обмеження вихідної смуги пропускання між маршрутизаторами “VyOS3” і “VyOS1”. Давайте встановимо обмеження для IP 10.1.1.100 = 5 Мбіт/с (Tx). Результат роботи перевіримо за допомогою утиліти «iPerf».

en: In the end, we will configure the traffic shaper using QoS mechanisms on the “VYOS2” router.
uk: На завершення ми налаштуємо формувач трафіку за допомогою механізмів QoS на маршрутизаторі «VYOS2».

en: In the end, you will end up with something like this config. I took out everything but the Firewall, Interfaces, and zone-policy sections. It is long enough as is.
uk: Зрештою, ви отримаєте щось на зразок цієї конфігурації. Я видалив усе, окрім розділів Firewall, Interfaces і zone-policy. Він досить довгий як є.

en: In the end, you'll get a powerful instrument for monitoring the VyOS systems.
uk: У підсумку ви отримаєте потужний інструмент для моніторингу систем VyOS.

en: In this case, the hardware router has a different IP, so it would be
uk: У цьому випадку апаратний маршрутизатор має іншу IP-адресу, тому так і буде

en: In this case, we are setting the v6 ruleset that represents traffic sourced from the LAN, destined for the DMZ. Because the zone-policy firewall syntax is a little awkward, I keep it straight by thinking of it backwards.
uk: У цьому випадку ми встановлюємо набір правил v6, який представляє трафік, отриманий з локальної мережі, призначений для DMZ. Оскільки синтаксис брандмауера політики зони трохи незграбний, я тримаю його чітким, думаючи про це в зворотному порядку.

en: In this case, we'll try to make a simple lab using QoS and the general ability of the VyOS system. We recommend you to go through the main article about `QoS <https://docs.vyos.io/en/latest/configuration/trafficpolicy/index.html>`_ first.
uk: У цьому випадку ми спробуємо зробити просту лабораторну роботу, використовуючи QoS і загальні можливості системи VyOS. Ми рекомендуємо вам переглянути основну статтю про `QoS<https://docs.vyos.io/en/latest/configuration/trafficpolicy/index.html> `_ перший.

en: In this document, we have been allocated 203.0.113.0/24 by our upstream provider, which we are publishing on VLAN100.
uk: У цьому документі наш вихідний постачальник виділив нам 203.0.113.0/24, який ми публікуємо на VLAN100.

en: In this example OpenVPN will be setup with a client certificate and username / password authentication.
uk: У цьому прикладі OpenVPN буде налаштовано за допомогою сертифіката клієнта та автентифікації за іменем користувача/паролем.

en: In this example two LAN interfaces exist in different subnets instead of one like in the previous examples:
uk: У цьому прикладі два інтерфейси LAN існують у різних підмережах замість одного, як у попередніх прикладах:

en: In this example we have 4 zones. LAN, WAN, DMZ, Local. The local zone is the firewall itself.
uk: У цьому прикладі ми маємо 4 зони. LAN, WAN, DMZ, локальний. Локальною зоною є сам брандмауер.

en: In this example, eth0 is the primary interface and eth1 is the secondary interface. To provide simple failover functionality. If eth0 fails, eth1 takes over.
uk: У цьому прикладі eth0 є основним інтерфейсом, а eth1 — вторинним. Для забезпечення простої функції відновлення після відмови. Якщо eth0 не вдається, eth1 бере на себе.

en: Inbound WAN connect to DMZ host.
uk: Вхідне підключення WAN до хосту DMZ.

en: Information about Ethernet Virtual Private Networks
uk: Інформація про віртуальні приватні мережі Ethernet

en: Information about prefix-sid and label-operation from VyOS
uk: Інформація про prefix-sid і label-operation від VyOS

en: Inter-VRF Routing over VRF Lite
uk: Маршрутизація між VRF через VRF Lite

en: Inter-VRF routing is a well-known solution to address complex routing scenarios that enable -in a dynamic way- to leak routes between VRFs. Is recommended to take special consideration while designing route-targets and its application as it can minimize future interventions while creating a new VRF will automatically take the desired effect in its propagation.
uk: Маршрутизація між VRF є добре відомим рішенням для вирішення складних сценаріїв маршрутизації, які дозволяють динамічно пропускати маршрути між VRF. Рекомендується приділяти особливу увагу під час проектування цілей маршруту та його застосування, оскільки це може мінімізувати майбутні втручання, тоді як створення нового VRF автоматично матиме бажаний ефект у своєму поширенні.

en: Internal Network
uk: Внутрішня мережа

en: Internet
uk: Інтернет

en: Internet - 192.168.200.100 - TCP/25
uk: Інтернет - 192.168.200.100 - TCP/25

en: Internet - 192.168.200.100 - TCP/443
uk: Інтернет - 192.168.200.100 - TCP/443

en: Internet - 192.168.200.100 - TCP/53
uk: Інтернет - 192.168.200.100 - TCP/53

en: Internet - 192.168.200.100 - TCP/80
uk: Інтернет - 192.168.200.100 - TCP/80

en: It is assumed that the routers provided by upstream are capable of acting as a default router, add that as a static route.
uk: Передбачається, що маршрутизатори, надані вищим потоком, можуть діяти як маршрутизатор за замовчуванням, додайте це як статичний маршрут.

en: It is good practice to log both accepted and denied traffic. It can save you significant headaches when trying to troubleshoot a connectivity issue.
uk: Рекомендується реєструвати як прийнятий, так і заборонений трафік. Це може позбавити вас значних головних болів під час спроб усунути проблему підключення.

en: It will look something like this:
uk: Це буде виглядати приблизно так:

en: It's important to note that all your existing configurations will be migrated automatically on image upgrade. Nothing to do on your side.
uk: Важливо зазначити, що всі ваші наявні конфігурації буде автоматично перенесено під час оновлення образу. Нічого робити на вашому боці.

en: Keep networks isolated is -in general- a good principle, but there are cases where you might need that some network can access other in a different VRF.
uk: Зберігати ізольовані мережі - це загалом хороший принцип, але є випадки, коли вам може знадобитися, щоб одна мережа мала доступ до іншої в іншому VRF.

en: L3VPN EVPN with VyOS
uk: L3VPN EVPN з VyOS

en: L3VPN EVPN with VyOS topology image
uk: L3VPN EVPN із зображенням топології VyOS

en: L3VPN configuration parameters table:
uk: Таблиця параметрів конфігурації L3VPN:

en: L3VPN for Hub-and-Spoke connectivity with VyOS
uk: L3VPN для підключення Hub-and-Spoke із VyOS

en: LAN 1
uk: І 1

en: LAN 2
uk: І 2

en: LAN Configuration
uk: Конфігурація локальної мережі

en: LAN and DMZ hosts have basic outbound access: Web, FTP, SSH.
uk: Хости LAN і DMZ мають базовий вихідний доступ: Web, FTP, SSH.

en: LAN can access DMZ resources.
uk: LAN може отримати доступ до ресурсів DMZ.

en: LAN, WAN, DMZ, local and TUN (tunnel)
uk: LAN, WAN, DMZ, локальний і TUN (тунель)

en: LAN1 to LAN2
uk: LAN1 до LAN2

en: LAN1 to Outside
uk: LAN1 назовні

en: Let’s check IPv4 routing and MPLS information on provider nodes (same procedure for all P nodes):
uk: Давайте перевіримо інформацію про маршрутизацію IPv4 та MPLS на вузлах провайдера (та сама процедура для всіх вузлів P):

en: Let’s say we have a requirement to have multiple networks.
uk: Скажімо, у нас є вимога мати кілька мереж.

en: MP-BGP or MultiProtocol BGP introduces two main concepts to solve this limitation: - Route Distinguisher (RD): Is used to distinguish between different VRFs –called VPNs- inside the BGP Process. The RD is appended to each IPv4 Network that is advertised into BGP for that VPN making it a unique VPNv4 route. - Route Target (RT): This is an extended BGP community append to the VPNv4 route in the Import/Export process. When a route passes from the VRF routing table into the BGP process it will add the configured export extended community(ies) for that VPN. When that route needs to go from BGP into the VRF routing table will only pass if that given VPN import policy matches any of the appended community(ies) into that prefix.
uk: MP-BGP або MultiProtocol BGP вводить дві основні концепції для усунення цього обмеження: - Розрізнювач маршруту (RD): використовується для розрізнення різних VRF – званих VPN – у процесі BGP. RD додається до кожної мережі IPv4, яка рекламується в BGP для цієї VPN, що робить її унікальним маршрутом VPNv4. - Route Target (RT): це розширене додавання спільноти BGP до маршруту VPNv4 у процесі імпорту/експорту. Коли маршрут проходить із таблиці маршрутизації VRF у процес BGP, він додає налаштовану розширену спільноту експорту для цієї VPN. Коли цей маршрут має перейти від BGP до таблиці маршрутизації VRF, він пройде, лише якщо дана політика імпорту VPN збігається з будь-якою спільнотою, доданою до цього префікса.

en: Main rules:
uk: Основні правила:

en: Make sure you can ping 10.254.60.1 and .2 from both routers.
uk: Переконайтеся, що ви можете пінгувати 10.254.60.1 і .2 з обох маршрутизаторів.

en: Management
uk: управління

en: Management VRF
uk: Управління VRF

en: Many other Hypervisors do this, and I'm hoping that this document will be expanded to document how to do this for others.
uk: Багато інших гіпервізорів роблять це, і я сподіваюся, що цей документ буде розширено, щоб документувати, як це робити для інших.

en: Masquerade Traffic originating from 10.200.201.0/24 that is heading out the public interface.
uk: Маскарадний трафік, що надходить із 10.200.201.0/24, що надходить через публічний інтерфейс.

en: Monitoring
uk: Моніторинг

en: Multiple LAN/DMZ Setup
uk: Налаштування декількох LAN/DMZ

en: NAT and conntrack-sync
uk: NAT і conntrack-sync

en: NMP example
uk: Приклад НМП

en: Native IPv4 and IPv6
uk: Власний IPv4 та IPv6

en: Network Cabling
uk: Мережевий кабель

en: Network Topology
uk: Топологія мережі

en: Network Topology Diagram
uk: Схема топології мережі

en: Next on the router VyOS2 we will change labels on all incoming traffic only from CS4-> CS6
uk: Далі на роутері VyOS2 ми змінимо мітки на весь вхідний трафік тільки з CS4-&gt; CS6

en: Next thing to do, is to create a wireguard keypair on each side. After this, the public key can be displayed, to save for later.
uk: Наступне, що потрібно зробити, це створити пару ключів для захисту проводів з кожного боку. Після цього відкритий ключ можна буде відобразити, щоб зберегти на потім.

en: Next, we will replace only all CS4 labels on the “VyOS2” router.
uk: Далі ми замінимо лише всі мітки CS4 на маршрутизаторі «VyOS2».

en: Next, you just  should follow the pictures:
uk: Далі слід просто стежити за картинками:

en: Node
uk: Вузол

en: Note that router1 is a VM that runs on one of the compute nodes.
uk: Зауважте, що router1 — це віртуальна машина, яка працює на одному з обчислювальних вузлів.

en: Note to allow the router to receive DHCPv6 response from ISP. We need to allow packets with source port 547 (server) and destination port 546 (client).
uk: Зверніть увагу, щоб дозволити маршрутизатору отримувати відповідь DHCPv6 від провайдера. Нам потрібно дозволити пакети з портом джерела 547 (сервер) і портом призначення 546 (клієнт).

en: Notice, none go to WAN since WAN wouldn't have a v6 address on it.
uk: Зауважте, ніхто не переходить до WAN, оскільки WAN не матиме адреси v6.

en: Now enable replication between nodes. Replace eth0.201 with bond0.201 on the hardware router.
uk: Тепер увімкніть реплікацію між вузлами. Замініть eth0.201 на bond0.201 на апаратному маршрутизаторі.

en: Now generate all required certificates on the ovpn-server:
uk: Тепер згенеруйте всі необхідні сертифікати на ovpn-сервері:

en: Now the Client is able to ping a public IPv6 address
uk: Тепер клієнт може перевіряти загальнодоступну адресу IPv6

en: Now we are able to setup the tunnel interface.
uk: Тепер ми можемо налаштувати інтерфейс тунелю.

en: Now we perform some end-to-end testing
uk: Тепер ми проводимо наскрізне тестування

en: Now we’re checking iBGP status and routes from route-reflector nodes to other devices:
uk: Зараз ми перевіряємо статус iBGP і маршрути від вузлів маршрутизатора до інших пристроїв:

en: Now you should be able to ping a public IPv6 Address
uk: Тепер ви зможете перевіряти загальнодоступну IPv6-адресу

en: Now, let’s check routing information on out Hub PE:
uk: Тепер давайте перевіримо інформацію про маршрутизацію на нашому Hub PE:

en: OSPF Over WireGuard
uk: OSPF через WireGuard

en: OSPF unnumbered with ECMP
uk: OSPF без нумерації з ECMP

en: On the router, VyOS4 set all traffic as CS4. We have to configure the default class and class for changing all labels from CS0 to CS4
uk: На маршрутизаторі VyOS4 встановив весь трафік як CS4. Нам потрібно налаштувати клас за замовчуванням і клас для зміни всіх міток із CS0 на CS4

en: On-premises address space
uk: Локальний адресний простір

en: Once all routers can be safely remotely managed and the core network is operational, we can now setup the tenant networks.
uk: Коли всіма маршрутизаторами можна буде безпечно віддалено керувати, а базова мережа запрацює, ми зможемо налаштувати мережі орендарів.

en: Once all the required certificates and keys are installed, the remaining OpenVPN Server configuration can be carried out.
uk: Після встановлення всіх необхідних сертифікатів і ключів можна виконати решту конфігурації сервера OpenVPN.

en: Once you have all of your rulesets built, then you need to create your zone-policy.
uk: Коли ви створите всі набори правил, вам потрібно створити політику зони.

en: One advantage of having the client certificate stored is the ability to create the client configuration.
uk: Однією з переваг збереження сертифіката клієнта є можливість створити конфігурацію клієнта.

en: One cable/logical connection between LAN1 and Internet
uk: Один кабель/логічне з&#39;єднання між LAN1 та Інтернетом

en: One cable/logical connection between LAN1 and LAN2
uk: Один кабель/логічне з&#39;єднання між LAN1 і LAN2

en: One cable/logical connection between LAN1 and Management
uk: Один кабель/логічне з&#39;єднання між LAN1 і керуванням

en: One cable/logical connection between LAN2 and Internet
uk: Один кабель/логічне з&#39;єднання між LAN2 та Інтернетом

en: One cable/logical connection between LAN2 and Management
uk: Один кабель/логічне з&#39;єднання між LAN2 і керуванням

en: OpenVPN with LDAP
uk: OpenVPN з LDAP

en: OpenVPN with LDAP topology image
uk: OpenVPN із зображенням топології LDAP

en: Operating system: VyOS
uk: Операційна система: VyOS

en: Our implementation uses VMware's Distributed Port Groups, which allows VMware to use LACP. This is a part of the ENTERPRISE licence, and is not available on a free licence. If you are implementing this and do not have access to DPGs, you should not use VMware, and use some other virtualization platform instead.
uk: Наша реалізація використовує розподілені групи портів VMware, що дозволяє VMware використовувати LACP. Це частина ліцензії ENTERPRISE і недоступна для безкоштовної ліцензії. Якщо ви реалізуєте це і не маєте доступу до DPG, вам не слід використовувати VMware, а використовувати іншу платформу віртуалізації.

en: Our routers are going to have a floating IP address of 203.0.113.1, and use .2 and .3 as their fixed IPs.
uk: Наші маршрутизатори матимуть плаваючу IP-адресу 203.0.113.1 і використовуватимуть .2 і .3 як фіксовані IP-адреси.

en: Overview
uk: Огляд

en: PE1 is located in an industrial area that holds multiple office buildings. All customers have a site in this area.
uk: PE1 знаходиться в промисловій зоні, яка містить кілька офісних будівель. У всіх клієнтів є сайти в цьому районі.

en: PE2 is located in a smaller area where by coincidence two customers (blue and red) share an office building.
uk: PE2 розташовано в меншому районі, де випадково двоє клієнтів (синій і червоний) ділять офісну будівлю.

en: PE3 is located in a smaller area where by coincidence two customers (blue and green) are located.
uk: PE3 знаходиться в меншій зоні, де за збігом обставин знаходяться два клієнти (синій і зелений).

en: PPPoE IPv6 Basic Setup for Home Network
uk: Базове налаштування PPPoE IPv6 для домашньої мережі

en: PPPoE Setup
uk: Налаштування PPPoE

en: Ping between VyOS-P1 / VyOS-P2 to confirm reachability:
uk: Проведіть пінг між VyOS-P1 / VyOS-P2, щоб підтвердити доступність:

en: Ping the Client from the DHCP Server.
uk: Передайте клієнту ping із сервера DHCP.

en: Pings will be sent to four targets for health testing (33.44.55.66, 44.55.66.77, 55.66.77.88 and 66.77.88.99).
uk: Пінги будуть надіслані до чотирьох цілей для перевірки справності (33.44.55.66, 44.55.66.77, 55.66.77.88 і 66.77.88.99).

en: Please note, 'autonomous-flag' and 'on-link-flag' are enabled by default, 'valid-lifetime' and 'preferred-lifetime' are set to default values of 30 days and 4 hours respectively.
uk: Зауважте, що «autonomous-flag» і «on-link-flag» увімкнено за умовчанням, «valid-lifetime» і «preferred-lifetime» встановлено значення за замовчуванням 30 днів і 4 години відповідно.

en: Pre-shared key
uk: Попередньо спільний ключ

en: Prerequisites
uk: передумови

en: Priorities
uk: Пріоритети

en: Public Network
uk: Публічна мережа

en: QoS example
uk: Приклад QoS

en: RD & RT Schema
uk: Схема RD &amp; RT

en: RT export
uk: RT експорт

en: RT import
uk: RT імпорт

en: Regular VyOS users will notice that the BGP syntax has changed in VyOS 1.4 from even the prior post about this subject. This is due to T1711, where it was finally decided to get rid of the redundant BGP ASN (Autonomous System Number) specification on the CLI and move it to a single leaf node (set protocols bgp local-as).
uk: Звичайні користувачі VyOS помітять, що синтаксис BGP змінився у VyOS 1.4 навіть з попередньої публікації на цю тему. Це пов’язано з T1711, де було нарешті вирішено позбутися надлишкової специфікації BGP ASN (Autonomous System Number) на CLI та перенести її на один кінцевий вузол (встановити протоколи bgp local-as).

en: Remote Networks
uk: Віддалені мережі

en: Replace the 203.0.113.3 with whatever the other router's IP address is.
uk: Замініть 203.0.113.3 IP-адресою іншого маршрутизатора.

en: Requested a "Regular Tunnel". You want to choose a location that is closest to your physical location for the best response time.
uk: Запитав &quot;Звичайний тунель&quot;. Ви хочете вибрати місце, яке є найближчим до вашого фізичного розташування для найкращого часу відповіді.

en: Results
uk: Результати

en: Role
uk: Роль

en: Route-Based Redundant Site-to-Site VPN to Azure (BGP over IKEv2/IPsec)
uk: Маршрутизована надлишкова мережева VPN до Azure (BGP через IKEv2/IPsec)

en: Route-Based Site-to-Site VPN to Azure (BGP over IKEv2/IPsec)
uk: VPN на основі маршруту Site-to-Site VPN до Azure (BGP через IKEv2/IPsec)

en: Route-Filtering
uk: Фільтрація маршруту

en: Routed /48. This is something you can request by clicking the "Assign /48" link in the Tunnelbroker.net tunnel config. It allows you to have up to 65k
uk: Розбитий /48. Це те, що ви можете запросити, натиснувши посилання «Призначити /48» у конфігурації тунелю Tunnelbroker.net. Це дозволяє мати до 65 тис

en: Routed /64. This is the default assignment. In IPv6-land, it's good for a single "LAN", and is somewhat equivalent to a /24.
uk: Розбитий /64. Це призначення за замовчуванням. У країнах IPv6 це добре для однієї «LAN» і дещо еквівалентно /24.

en: Router A:
uk: Маршрутизатор A:

en: Router Advertisement
uk: Оголошення про маршрутизатор

en: Router B:
uk: Маршрутизатор B:

en: Router id's must be unique.
uk: Ідентифікатори маршрутизатора мають бути унікальними.

en: Ruleset are created per zone-pair-direction.
uk: Набір правил створюється для зони-пари-напрямку.

en: Segment-routing IS-IS example
uk: Приклад сегментної маршрутизації IS-IS

en: Set DNS server address in the advertisement so that clients can obtain it by using RDNSS option. Most operating systems (Windows, Linux, Mac) should already support it.
uk: Встановіть адресу DNS-сервера в оголошенні, щоб клієнти могли отримати її за допомогою параметра RDNSS. Більшість операційних систем (Windows, Linux, Mac) вже мають підтримувати його.

en: Set IP addresses on all VPCs and a default gateway 172.17.1.1. We'll use in this case only static routes. On the VyOS3 router, we need to change the 'dscp' labels for the VPCs. To do this, we use this configuration.
uk: Установіть IP-адреси на всіх VPC і шлюз за замовчуванням 172.17.1.1. Ми будемо використовувати в цьому випадку тільки статичні маршрути. На маршрутизаторі VyOS3 нам потрібно змінити мітки «dscp» для VPC. Для цього ми використовуємо цю конфігурацію.

en: Set MTU in advertisement to 1492 because of PPPoE header overhead.
uk: Встановіть MTU в оголошенні на 1492 через накладні витрати заголовка PPPoE.

en: Set the VRF name and Table ID, set interface address and bind it to the VRF. Last add the static route to the remote network.
uk: Встановіть назву VRF та ідентифікатор таблиці, установіть адресу інтерфейсу та прив’яжіть її до VRF. Останнім додайте статичний маршрут до віддаленої мережі.

en: Set the cost on the secondary links to be 200. This means that they will not be used unless the primary links are down.
uk: Встановіть вартість вторинних посилань на 200. Це означає, що вони не використовуватимуться, якщо первинні посилання не працюють.

en: Set the local subnet on eth2 and the public ip address eth1 on each site.
uk: Встановіть локальну підмережу на eth2 та публічну IP-адресу eth1 на кожному сайті.

en: Set up bandwidth limits on the eth2 interface of the router “VyOS2”.
uk: Налаштуйте обмеження пропускної здатності на інтерфейсі eth2 роутера «VyOS2».

en: Sets your LAN interface's IP address
uk: Встановлює IP-адресу вашого інтерфейсу локальної мережі

en: Setting BGP global local-as as well inside the VRF. Redistribute static routes to inject configured networks into the BGP process but still inside the VRF.
uk: Налаштування глобального локального BGP, а також усередині VRF. Перерозподіліть статичні маршрути, щоб додати налаштовані мережі в процес BGP, але все ще всередині VRF.

en: Setup the ipv6 default route to the tunnel interface
uk: Налаштуйте стандартний маршрут ipv6 до інтерфейсу тунелю

en: Show routes for all VRFs
uk: Показати маршрути для всіх VRF

en: Similarly, to attach the firewall, you would use `set interfaces ethernet eth0 firewall in ipv6-name` or `et firewall zone LOCAL from WAN firewall ipv6-name`.
uk: Подібним чином, щоб під’єднати брандмауер, ви повинні використати `set interfaces ethernet eth0 firewall in ipv6-name` або `et firewall zone LOCAL from WAN firewall ipv6-name`.

en: Since some ISPs disconnects continuous connection for every 2~3 days, we set ``valid-lifetime`` to 2 days to allow PC for phasing out old address.
uk: Оскільки деякі інтернет-провайдери відключають безперервне з’єднання кожні 2–3 дні, ми встановлюємо ``valid-lifetime`` на 2 дні, щоб дозволити ПК поступово відключати стару адресу.

en: Since we have 4 zones, we need to setup the following rulesets.
uk: Оскільки у нас 4 зони, нам потрібно налаштувати наступні набори правил.

en: Single LAN Setup
uk: Налаштування однієї локальної мережі

en: Single LAN setup where eth2 is your LAN interface. Use the Tunnelbroker Routed /64 prefix:
uk: Налаштування однієї локальної мережі, де eth2 є вашим інтерфейсом локальної мережі. Використовуйте префікс Tunnelbroker Routed /64:

en: So, when your LAN is eth1, your DMZ is eth2, your cameras are on eth3, etc:
uk: Отже, коли ваша локальна мережа — eth1, ваша DMZ — eth2, ваші камери — на eth3 тощо:

en: Something like:
uk: Щось на зразок:

en: Spoke
uk: Говорив

en: Start by setting the interface and default action for each zone.
uk: Почніть із встановлення інтерфейсу та дії за замовчуванням для кожної зони.

en: Step 1: VRF and Configurations to remote networks
uk: Крок 1: VRF і налаштування для віддалених мереж

en: Step 2: BGP Configuration for VRF-Lite
uk: Крок 2: Конфігурація BGP для VRF-Lite

en: Step 3: VPN Configuration
uk: Крок 3: Конфігурація VPN

en: Step 4: End to End verification
uk: Крок 4: Наскрізна перевірка

en: Step-1: Configuring IGP and enabling MPLS LDP
uk: Крок 1: Налаштування IGP і ввімкнення MPLS LDP

en: Step-2: Configuring iBGP for L3VPN control-plane
uk: Крок 2: Налаштування iBGP для рівня керування L3VPN

en: Step-3: Configuring L3VPN VRFs on PE nodes
uk: Крок 3: Налаштування VRF L3VPN на вузлах PE

en: Step-4: Configuring CE nodes
uk: Крок 4: Налаштування вузлів CE

en: Step-5: Verification
uk: Крок 5: Перевірка

en: Tenant networks (VRFs)
uk: Мережі орендарів (VRF)

en: Test OSPF
uk: Тест OSPF

en: Test WireGuard
uk: Перевірте WireGuard

en: Test the result
uk: Перевірте результат

en: Testdate: 2023-02-24
uk: Дата тестування: 24.02.2023

en: Testdate: 2023-05-11
uk: Дата тестування: 2023-05-11

en: Testing
uk: Тестування

en: Testing and debugging
uk: Тестування та налагодження

en: That's how you can expand the example above. Use the `Routed /48` information. This allows you to assign a different /64 to every interface, LAN, or even device. Or you could break your network into smaller chunks like /56 or /60.
uk: Таким чином ви можете розширити наведений вище приклад. Використовуйте інформацію `Routed /48`. Це дозволяє призначати різні /64 для кожного інтерфейсу, локальної мережі чи навіть пристрою. Або ви можете розбити свою мережу на менші частини, наприклад /56 або /60.

en: The Lab asume a full running Active Directory on the Windows Server. Here are some PowerShell commands to quickly add a Test Active Directory.
uk: Лабораторія припускає повноцінну роботу Active Directory на Windows Server. Ось кілька команд PowerShell для швидкого додавання тестового Active Directory.

en: The Topology are consists of:
uk: Топологія складається з:

en: The VyOS interface is assigned the .1/:1 address of their respective networks. WAN is on VLAN 10, LAN on VLAN 20, and DMZ on VLAN 30.
uk: Інтерфейсу VyOS призначається адреса .1/:1 відповідних мереж. WAN знаходиться у VLAN 10, LAN у VLAN 20, а DMZ у VLAN 30.

en: The ``commit`` command is implied after every section. If you make an error, ``commit`` will warn you and you can fix it before getting too far into things. Please ensure you commit early and commit often.
uk: Після кожного розділу мається на увазі команда ``commit``. Якщо ви зробите помилку, ``commit`` попередить вас, і ви зможете виправити її, перш ніж заглиблюватися в речі. Будь ласка, переконайтеся, що ви зобов’язуєтесь рано та часто.

en: The ``redistribute ospf`` command is there purely as an example of how this can be expanded. In this walkthrough, it will be filtered by BGPOUT rule 10000, as it is not 203.0.113.0/24.
uk: Команда ``redistribute ospf`` є лише як приклад того, як це можна розширити. У цьому покроковому керівництві його буде відфільтровано за правилом BGPOUT 10000, оскільки це не 203.0.113.0/24.

en: The below configuration is used as example where we keep focus on VyOS-P1/VyOS-P2/XRv-P3 which we share the settings.
uk: Наведена нижче конфігурація використовується як приклад, де ми зосереджуємось на VyOS-P1/VyOS-P2/XRv-P3, налаштування яких ми ділимо.

en: The configuration steps are the same as in the previous example, except rule 10. So we keep the configuration, remove rule 10 and add a new rule for the failover mode:
uk: Кроки конфігурації такі ж, як і в попередньому прикладі, за винятком правила 10. Тому ми зберігаємо конфігурацію, видаляємо правило 10 і додаємо нове правило для режиму відновлення після відмови:

en: The example topology has 2 VyOS routers. One as The WAN Router and on as a Client, to test a single LAN setup
uk: Приклад топології містить 2 маршрутизатори VyOS. Один як WAN-маршрутизатор і як клієнт, щоб перевірити налаштування однієї локальної мережі

en: The first two rules are to deal with the idiosyncrasies of VyOS and iptables.
uk: Перші два правила стосуються особливостей VyOS та iptables.

en: The following are the rules that were created for this example (may not be complete), both in IPv4 and IPv6. If there is no IP specified, then the source/destination address is not explicit.
uk: Нижче наведено правила, створені для цього прикладу (можуть бути неповними) як для IPv4, так і для IPv6. Якщо IP-адреса не вказана, адреса джерела/одержувача не є явною.

en: The following software was used in the creation of this document:
uk: Для створення цього документа використовувалося наступне програмне забезпечення:

en: The following template configuration can be used in each remote router based in our topology.
uk: Наступну конфігурацію шаблону можна використовувати в кожному віддаленому маршрутизаторі в нашій топології.

en: The format of these addresses:
uk: Формат цих адрес:

en: The lab I built is using a VRF (called **mgmt**) to provide out-of-band SSH access to the PE (Provider Edge) routers.
uk: Лабораторія, яку я створив, використовує VRF (називається **mgmt**) для забезпечення позасмугового доступу SSH до маршрутизаторів PE (Provider Edge).

en: The next pages contains automatic full tested configuration examples.
uk: Наступні сторінки містять автоматичні повні протестовані приклади конфігурації.

en: The previous example used the failover command to send traffic through eth1 if eth0 fails. In this example, failover functionality is provided by rule order.
uk: У попередньому прикладі використано команду відновлення після відмови, щоб відправити трафік через eth1, якщо eth0 не вдається. У цьому прикладі функція відновлення після збоїв надається порядком правил.

en: The process will do the following steps:
uk: Процес виконуватиме такі кроки:

en: The scope of this document is to cover such cases in a dynamic way without the use of MPLS-LDP.
uk: Метою цього документа є охоплення таких випадків динамічним способом без використання MPLS-LDP.

en: The setup used in this example is shown in the following diagram:
uk: Налаштування, використане в цьому прикладі, показано на наступній діаграмі:

en: The simplest way to test is to look at the connection tracking stats on the standby hardware router with the command ``show conntrack-sync statistics``. The numbers should be very close to the numbers on the primary router.
uk: Найпростіший спосіб перевірити — переглянути статистику відстеження з’єднання на резервному апаратному маршрутизаторі за допомогою команди ``show conntrack-sync statistics``. Цифри мають бути дуже близькими до цифр на основному маршрутизаторі.

en: The sync group is used to replicate connection tracking. It needs to be assigned to a random VRRP group, and we are creating a sync group called ``sync`` using the vrrp group ``int``.
uk: Група синхронізації використовується для реплікації відстеження підключення. Його потрібно призначити випадковій групі VRRP, і ми створюємо групу синхронізації під назвою ``sync`` за допомогою групи vrrp ``int``.

en: The topology has 3 VyOS routers and one client. Between the DHCP Server and the DHCP Relay is a GRE tunnel. The `transport` VyOS represent a large Network.
uk: Топологія включає 3 маршрутизатори VyOS і один клієнт. Між сервером DHCP і ретранслятором DHCP є тунель GRE. `Транспорт` VyOS представляє собою велику мережу.

en: The topology have a central and a branch VyOS router and one client, to test, in each site.
uk: Топологія містить центральний маршрутизатор VyOS і маршрутизатор філії та один клієнт для тестування на кожному сайті.

en: Then add a route-map and reference to above prefix. Consider that the actions taken inside the prefix will MATCH the routes that will be affected by the actions inside the rules of the route-map.
uk: Потім додайте карту маршруту та посилання на префікс вище. Вважайте, що дії, виконані всередині префікса, ВІДПОВІДАЮТЬ маршрутам, на які впливатимуть дії всередині правил карти маршруту.

en: Then we need to attach the policy to the BGP process. This needs to be under the import statement in the vrf we need to filter.
uk: Потім нам потрібно приєднати політику до процесу BGP. Це має бути під оператором імпорту у vrf, який нам потрібно відфільтрувати.

en: There are some cases where this is not needed -for example, in some DDoS appliance- but most inter-vrf routing designs use the above configurations.
uk: У деяких випадках це не потрібно, наприклад, у деяких пристроях DDoS, але більшість проектів маршрутизації між vrf використовують наведені вище конфігурації.

en: There is plenty of instructions and documentation on setting up Wireguard. The only important thing you need to remember is to only use one WireGuard interface per OSPF connection.
uk: Існує багато інструкцій та документації щодо налаштування Wireguard. Єдина важлива річ, про яку вам потрібно пам’ятати, це використання лише одного інтерфейсу WireGuard для кожного з’єднання OSPF.

en: These are the vlans we will be using:
uk: Це vlans, які ми будемо використовувати:

en: They want us to establish a BGP session to their routers on 192.0.2.11 and 192.0.2.12 from our routers 192.0.2.21 and 192.0.2.22. They are AS 65550 and we are AS 65551.
uk: Вони хочуть, щоб ми встановили сеанс BGP до їхніх маршрутизаторів на 192.0.2.11 і 192.0.2.12 з наших маршрутизаторів 192.0.2.21 і 192.0.2.22. Вони AS 65550, а ми AS 65551.

en: This LAB show how to uwe OpenVPN with a Active Directory authentication backend.
uk: Ця ЛАБ показує, як використовувати OpenVPN із серверною частиною автентифікації Active Directory.

en: This accomplishes a few things:
uk: Це досягає кількох речей:

en: This chapter contains various configuration examples:
uk: Цей розділ містить різні приклади конфігурації:

en: This document aims to walk you through setting everything up, so at a point where you can reboot any machine and not lose more than a few seconds worth of connectivity.
uk: У цьому документі описано, як усе налаштувати, щоб ви могли перезавантажити будь-який комп’ютер і не втратити більше кількох секунд підключення.

en: This document is to describe a basic setup using PPPoE with DHCPv6-PD + SLAAC to construct a typical home network. The user can follow the steps described here to quickly setup a working network and use this as a starting point to further configure or fine-tune other settings.
uk: У цьому документі описується базове налаштування за допомогою PPPoE з DHCPv6-PD + SLAAC для побудови типової домашньої мережі. Користувач може виконати описані тут кроки, щоб швидко налаштувати робочу мережу та використовувати це як відправну точку для подальшого налаштування або точного налаштування інших параметрів.

en: This document walks you through a complete HA setup of two VyOS machines. This design is based on a VM as the primary router and a physical machine as a backup, using VRRP, BGP, OSPF, and conntrack sharing.
uk: Цей документ проведе вас через повне налаштування високої доступності двох машин VyOS. Ця конструкція базується на віртуальній машині як основному маршрутизаторі та фізичній машині як резервній, використовуючи VRRP, BGP, OSPF і спільне використання conntrack.

en: This ensures you don't go too fast or miss a step. However, it will make your life easier to configure the fixed IP address and default route now on the hardware router.
uk: Це гарантує, що ви не їдете надто швидко або не пропустите крок. Однак це полегшить ваше життя, якщо налаштувати фіксовану IP-адресу та маршрут за замовчуванням зараз на апаратному маршрутизаторі.

en: This example uses the failover mode.
uk: У цьому прикладі використовується режим відновлення після відмови.

en: This gives us MPLS segment routing enabled and labels forwarding :
uk: Це дає нам можливість сегментної маршрутизації MPLS і пересилання міток:

en: This guide shows an example of a redundant (active-active) route-based IKEv2 site-to-site VPN to Azure using VTI and BGP for dynamic routing updates.
uk: У цьому посібнику наведено приклад резервної (активний-активний) маршрутної мережі IKEv2 між сайтами VPN до Azure із використанням VTI та BGP для динамічного оновлення маршрутизації.

en: This guide shows an example of a route-based IKEv2 site-to-site VPN to Azure using VTI and BGP for dynamic routing updates.
uk: У цьому посібнику наведено приклад міжсайтової VPN IKEv2 на основі маршруту до Azure з використанням VTI та BGP для динамічного оновлення маршрутизації.

en: This guide walks through the setup of https://www.tunnelbroker.net/ for an IPv6 Tunnel.
uk: Цей посібник розповідає про налаштування https://www.tunnelbroker.net/ для тунелю IPv6.

en: This has a floating IP address of 10.200.201.1/24, using virtual router ID 201. The difference between them is the interface name, hello-source-address, and peer-address.
uk: Він має плаваючу IP-адресу 10.200.201.1/24, використовує ідентифікатор віртуального маршрутизатора 201. Різниця між ними полягає в імені інтерфейсу, привітній адресі джерела та одноранговій адресі.

en: This has a floating IP address of 203.0.113.1/24, using virtual router ID 113. The virtual router ID is just a random number between 1 and 254, and can be set to whatever you want. Best practices suggest you try to keep them unique enterprise-wide.
uk: Він має плаваючу IP-адресу 203.0.113.1/24 із використанням ідентифікатора віртуального маршрутизатора 113. Ідентифікатор віртуального маршрутизатора — це лише випадкове число від 1 до 254, яке можна встановити будь-яким. Рекомендації з найкращих практик рекомендують вам намагатися зберегти їх унікальними для всього підприємства.

en: This is an example of the three base rules.
uk: Це приклад трьох основних правил.

en: This is based on a real-life production design. One of the complex issues is ensuring you have redundant data INTO your network. We do this with a pair of Cisco Nexus switches and using Virtual PortChannels that are spanned across them. As a bonus, this also allows for complete switch failure without an outage. How you achieve this yourself is left as an exercise to the reader. But our setup is documented here.
uk: Це засновано на реальному виробничому проекті. Однією зі складних проблем є забезпечення надлишкових даних у вашій мережі. Ми робимо це за допомогою пари комутаторів Cisco Nexus і віртуальних каналів портів, які охоплюють їх. Як бонус, це також дозволяє повністю відмовити комутатор без відключення. Читачеві залишиться для вправи, як ви досягнете цього самостійно. Але наше налаштування задокументовано тут.

en: This is connecting back to the STATIC IP of router1, not the floating.
uk: Це зворотне підключення до СТАТИЧНОЇ IP-адреси router1, а не до плаваючої.

en: This is identical, but you use the BGPPREPENDOUT route-map to advertise the route with a longer path.
uk: Це ідентично, але ви використовуєте карту маршруту BGPPREPENDOUT для оголошення маршруту з довшим шляхом.

en: This is ignoring the extra Out-of-band management networking, which should be on totally different switches, and a different feed into the rack, and is out of scope of this.
uk: Це ігнорує додаткову мережу позасмугового керування, яка має бути на зовсім інших комутаторах, і іншу подачу в стійку, і це виходить за рамки цього.

en: This scenario could be a nightmare applying regular routing and might need filtering in multiple interfaces.
uk: Цей сценарій може стати кошмаром із застосуванням звичайної маршрутизації та потребує фільтрації в кількох інтерфейсах.

en: This section describes verification commands for MPLS/BGP/LDP protocols and L3VPN related routes as well as diagnosis and reachability checks between CE nodes.
uk: У цьому розділі описано команди перевірки для протоколів MPLS/BGP/LDP і пов’язаних з L3VPN маршрутів, а також перевірки діагностики та доступності між вузлами CE.

en: This section provides configuration steps for setting up VRFs on our PE nodes including CE facing interfaces, BGP, rd and route-target import/export based on the pre-defined parameters.
uk: У цьому розділі наведено кроки конфігурації для налаштування VRF на наших вузлах PE, включаючи інтерфейси, спрямовані на CE, BGP, rd та імпорт/експорт цільового маршруту на основі попередньо визначених параметрів.

en: This simple structure show how to connect two offices. One remote branch and the central office.
uk: Ця проста структура показує, як з&#39;єднати два офіси. Одне віддалене відділення та центральний офіс.

en: This simple structure shows how to configure a DHCP Relay over a GRE Bridge interface.
uk: Ця проста структура показує, як налаштувати DHCP Relay через інтерфейс GRE Bridge.

en: This will be visible in 'show ip route'.
uk: Це буде видно в «show ip route».

en: Thus you can easily match it to one of the devices/networks below.
uk: Таким чином, ви можете легко підключити його до одного з пристроїв/мереж нижче.

en: To achieve this, your ISP is required to support DHCPv6-PD. If you're not sure, please contact your ISP for more information.
uk: Для цього ваш провайдер повинен підтримувати DHCPv6-PD. Якщо ви не впевнені, будь ласка, зверніться до свого провайдера для отримання додаткової інформації.

en: To add logging to the default rule, do:
uk: Щоб додати журналювання до правила за замовчуванням, виконайте:

en: To address this scenario we will use to our advantage an extension of the BGP routing protocol that will help us in the “Export” between VRFs without the need for MPLS.
uk: Для вирішення цього сценарію ми використаємо розширення протоколу маршрутизації BGP, яке допоможе нам здійснювати «Експорт» між VRF без потреби в MPLS.

en: To deploy a Layer3 VPN with MPLS on VyOS, we should meet a couple requirements in order to properly implement the solution. We'll use the following nodes in our LAB environment:
uk: Щоб розгорнути Layer3 VPN з MPLS на VyOS, ми повинні відповідати кільком вимогам, щоб правильно реалізувати рішення. Ми будемо використовувати наступні вузли в нашому середовищі LAB:

en: To have basic protection while keeping IPv6 network functional, we need to:
uk: Щоб мати базовий захист і підтримувати роботу мережі IPv6, нам потрібно:

en: To reach the network, a route must be set on each VyOS host. In this structure, a static interface route will fit the requirements.
uk: Щоб отримати доступ до мережі, на кожному хості VyOS потрібно встановити маршрут. У цій структурі вимогам відповідатиме статичний маршрут інтерфейсу.

en: Topology
uk: Топологія

en: Traffic flows from zone A to zone B. That flow is what I refer to as a zone-pair-direction. eg. A->B and B->A are two zone-pair-destinations.
uk: Трафік рухається із зони A в зону B. Цей потік я називаю напрямком пари зон. напр. A-&gt;B і B-&gt;A є двома зонами призначення.

en: Transport:
uk: Транспорт:

en: Tunnelbroker topology image
uk: Зображення топології Tunnelbroker

en: Two rules will be created, the first rule directs traffic coming in from eth2 to eth0 and the second rule directs the traffic to eth1. If eth0 fails the first rule is bypassed and the second rule matches, directing traffic to eth1.
uk: Буде створено два правила: перше правило спрямовує трафік, що надходить від eth2 до eth0, а друге правило спрямовує трафік до eth1. Якщо eth0 виходить з ладу, перше правило обходиться, а друге правило збігається, спрямовуючи трафік на eth1.

en: Unlike IPv4, IPv6 is really not designed to be broken up smaller than /64. So if you ever want to have multiple LANs, VLANs, DMZ, etc, you'll want to ignore the assigned /64, and request the /48 and use that.
uk: На відміну від IPv4, IPv6 справді не призначений для розбивання меншого ніж /64. Отже, якщо ви коли-небудь захочете мати кілька локальних мереж, VLAN, DMZ тощо, ви захочете проігнорувати призначений /64 і запросити /48 і використовувати його.

en: Using the general schema for example:
uk: Використовуючи загальну схему, наприклад:

en: Using this command we are also able to check the transport and customer label (inner/outer) for Hub network prefix (10.0.0.100/32):
uk: За допомогою цієї команди ми також можемо перевірити транспортну та клієнтську мітку (внутрішню/зовнішню) для префікса мережі Hub (10.0.0.100/32):

en: VLAN 100 and 201 will have floating IP addresses, but VLAN50 does not, as this is talking directly to upstream. Create our IP address on vlan50.
uk: VLAN 100 і 201 матимуть плаваючі IP-адреси, а VLAN50 – ні, оскільки це напряму спілкується з висхідним. Створіть нашу IP-адресу на vlan50.

en: VLANs
uk: VLAN

en: VMware: You must DISABLE SECURITY on this Port group. Make sure that ``Promiscuous Mode``\ , ``MAC address changes`` and ``Forged transmits`` are enabled. All of these will be done as part of failover.
uk: VMware: ви повинні ВИМКНУТИ БЕЗПЕКУ для цієї групи портів. Переконайтеся, що ``Promiscuous Mode``\ , ``MAC address changes`` і ``Forged transmits`` увімкнено. Усе це буде зроблено в рамках відновлення після відмови.

en: VRRP Configuration
uk: Конфігурація VRRP

en: Verification
uk: Перевірка

en: Version: 1.4-rolling-202110310317
uk: Версія: 1.4-rolling-202110310317

en: Version: 1.4-rolling-202305100734
uk: Версія: 1.4-rolling-202305100734

en: Version: vyos-1.4-rolling-202302150317
uk: Версія: vyos-1.4-rolling-202302150317

en: VyOS 1.3 added initial support for VRFs (including IPv4/IPv6 static routing) and VyOS 1.4 now enables full dynamic routing protocol support for OSPF, IS-IS, and BGP for individual VRFs.
uk: У VyOS 1.3 додано початкову підтримку для VRF (включаючи статичну маршрутизацію IPv4/IPv6), а VyOS 1.4 тепер забезпечує повну підтримку протоколу динамічної маршрутизації для OSPF, IS-IS і BGP для окремих VRF.

en: VyOS acts as DHCP, DNS forwarder, NAT, router and firewall.
uk: VyOS діє як DHCP, DNS-переадресатор, NAT, маршрутизатор і брандмауер.

en: VyOS as Client
uk: VyOS як клієнт

en: VyOS as a OpenVPN Server
uk: VyOS як сервер OpenVPN

en: VyOS is able to check MSD per devices:
uk: VyOS може перевіряти MSD на пристрої:

en: VyOS-CE-HUB -------> VyOS-CE1-SPOKE
uk: VyOS-CE-HUB -------&gt; VyOS-CE1-SPOKE

en: VyOS-CE-HUB -------> VyOS-CE2-SPOKE
uk: VyOS-CE-HUB -------&gt; VyOS-CE2-SPOKE

en: VyOS-CE1-SPOKE ----->   VyOS-CE-HUB
uk: VyOS-CE1-SPOKE -----&gt; VyOS-CE-HUB

en: VyOS-CE2-SPOKE ------->  VyOS-CE-HUB
uk: VyOS-CE2-SPOKE -------&gt; VyOS-CE-HUB

en: Vyos ASN
uk: Виос АСН

en: Vyos configuration
uk: Ваша конфігурація

en: Vyos private IP
uk: Виос приватний IP

en: Vyos public IP
uk: Ваш публічний IP

en: WAN Interface
uk: Інтерфейс WAN

en: WAN Load Balancer examples
uk: Приклади балансування навантаження WAN

en: Walkthrough suggestion
uk: Пропозиція покрокового керівництва

en: We are going to use 10.200.201.0/24 for an 'internal' network on VLAN201.
uk: Ми збираємося використовувати 10.200.201.0/24 для «внутрішньої» мережі на VLAN201.

en: We are setting up VRRP so that it does NOT fail back when a machine returns into service, and it prioritizes router1 over router2.
uk: Ми налаштовуємо VRRP так, щоб він НЕ виходив з ладу, коли машина повертається в експлуатацію, і він надавав пріоритет маршрутизатору1 над маршрутизатором2.

en: We are using a "white list" approach by allowing only what is necessary. In case that need to implement a "black list" approach then you will need to change the action in the route-map for a deny BUT you need to add a rule that permits the rest due to the implicit deny in the route-map.
uk: Ми використовуємо підхід «білого списку», дозволяючи лише те, що є необхідним. У випадку, якщо потрібно застосувати підхід із «чорним списком», вам потрібно буде змінити дію в карті маршруту для заборони, АЛЕ вам потрібно додати правило, яке дозволяє решту через неявну заборону в карті маршруту.

en: We create a prefix-list first and add all the routes we need to.
uk: Спочатку ми створюємо список префіксів і додаємо всі маршрути, які нам потрібні.

en: We explicitly exclude the primary upstream network so that BGP or OSPF traffic doesn't accidentally get NAT'ed.
uk: Ми явно виключаємо основну вихідну мережу, щоб трафік BGP або OSPF випадково не отримав NAT.

en: We have four hosts on the local network 172.17.1.0/24. All hosts are labeled CS0 by default. We need to replace labels on all hosts except vpc8. We will replace the labels on the nearest router “VyOS3” using the IP addresses of the sources.
uk: У нас є чотири хости в локальній мережі 172.17.1.0/24. Усі хости за замовчуванням позначені CS0. Нам потрібно замінити мітки на всіх хостах, крім vpc8. Замінимо мітки на найближчому роутері «VyOS3» на IP-адреси джерел.

en: We have three networks.
uk: У нас три мережі.

en: We keep the configuration from the previous example, delete rule 10 and create the two new rules as described:
uk: Ми зберігаємо конфігурацію з попереднього прикладу, видаляємо правило 10 і створюємо два нових правила, як описано:

en: We keep the configuration from the previous example, delete rule 20 and create a new rule as described:
uk: Ми зберігаємо конфігурацію з попереднього прикладу, видаляємо правило 20 і створюємо нове правило, як описано:

en: We need to enable router advertisement for LAN network so that PC can receive the prefix and use SLAAC to configure the address automatically.
uk: Нам потрібно ввімкнути оголошення маршрутизатора для мережі LAN, щоб ПК міг отримати префікс і використовувати SLAAC для автоматичного налаштування адреси.

en: We only want to export the networks we know. Always do a whitelist on your route filters, both importing and exporting. A good rule of thumb is **'If you are not the default router for a network, don't advertise it'**. This means we explicitly do not want to advertise the 192.0.2.0/24 network (but do want to advertise 10.200.201.0 and 203.0.113.0, which we ARE the default route for). This filter is applied to ``redistribute connected``. If we WERE to advertise it, the remote machines would see 192.0.2.21 available via their default route, establish the connection, and then OSPF would say '192.0.2.0/24 is available via this tunnel', at which point the tunnel would break, OSPF would drop the routes, and then 192.0.2.0/24 would be reachable via default again. This is called 'flapping'.
uk: Ми хочемо експортувати лише ті мережі, які знаємо. Завжди створюйте білий список для фільтрів маршрутів, як імпорту, так і експорту. Хорошим емпіричним правилом є **&quot;Якщо ви не є маршрутизатором за умовчанням для мережі, не рекламуйте це&quot;**. Це означає, що ми явно не хочемо рекламувати мережу 192.0.2.0/24 (але хочемо рекламувати 10.200.201.0 і 203.0.113.0, для яких ми Є маршрутом за замовчуванням). Цей фільтр застосовується до ``перерозподілу підключених``. Якби ми МАЛИ це рекламувати, віддалені машини бачили б 192.0.2.21 доступним через їхній маршрут за замовчуванням, встановлювали б з’єднання, а потім OSPF скаже, що «192.0.2.0/24 доступний через цей тунель», після чого тунель перерветься. , OSPF видалить маршрути, а потім 192.0.2.0/24 знову стане доступним за умовчанням. Це називається «махання».

en: We only want to import networks we know. Our OSPF peer should only be advertising networks in the 10.201.0.0/16 range. Note that this is an INVERSE MATCH. You deny in access-list 100 to accept the route.
uk: Ми хочемо імпортувати лише знайомі нам мережі. Наш партнер OSPF має бути лише рекламними мережами в діапазоні 10.201.0.0/16. Зверніть увагу, що це ЗВЕРНЕНА ВІДПОВІДНІСТЬ. Ви забороняєте в списку доступу 100 приймати маршрут.

en: We use a static route configuration in between the Core and each LAN and Management router, and BGP between the Core router and the ISP router but any dynamic routing protocol can be used.
uk: Ми використовуємо статичну конфігурацію маршруту між ядром і кожним маршрутизатором локальної мережі та керування, а також BGP між маршрутизатором ядра та маршрутизатором ISP, але можна використовувати будь-який протокол динамічної маршрутизації.

en: We use small /30's from 10.254.60/24 for the point-to-point links.
uk: Ми використовуємо маленькі /30 з 10.254.60/24 для зв’язків «точка-точка».

en: We use the following network topology in this example:
uk: У цьому прикладі ми використовуємо наступну топологію мережі:

en: When importing routes using MP-BGP it is possible to filter a subset of them before are injected in the BGP table. One of the most common case is to use a route-map with an prefix-list.
uk: Під час імпорту маршрутів за допомогою MP-BGP можна відфільтрувати їх підмножину перед тим, як їх додати до таблиці BGP. Одним із найпоширеніших випадків є використання маршрутної карти зі списком префіксів.

en: When traffic is originated from the 10.200.201.0/24 network, it will be masqueraded to 203.0.113.1
uk: Коли трафік надходить із мережі 10.200.201.0/24, він маскується під 203.0.113.1

en: When utilizing VyOS in an environment with Cisco IOS-XR gear you can use this blue print as an initial setup to get MPLS ISIS-SR working between those two devices.The lab was build using :abbr:`EVE-NG (Emulated Virtual Environment NG)`.
uk: Використовуючи VyOS у середовищі з обладнанням Cisco IOS-XR, ви можете використати цей план як початкове налаштування, щоб MPLS ISIS-SR працював між цими двома пристроями. Лабораторію було створено за допомогою :abbr:`EVE-NG (емульоване віртуальне середовище). НГ)`.

en: When you have both routers up, you should be able to establish a connection from a NAT'ed machine out to the internet, reboot the active machine, and that connection should be preserved, and will not drop out.
uk: Коли у вас підключено обидва маршрутизатори, ви зможете встановити з’єднання від машини з NAT до Інтернету, перезавантажте активну машину, і це з’єднання має бути збережено та не розривається.

en: When you have enabled OSPF on both routers, you should be able to see each other with the command ``show ip ospf neighbour``. The state must be 'Full' or '2-Way'. If it is not, then there is a network connectivity issue between the hosts. This is often caused by NAT or MTU issues. You should not see any new routes (unless this is the second pass) in the output of ``show ip route``
uk: Коли ви ввімкнули OSPF на обох маршрутизаторах, ви зможете бачити один одного за допомогою команди ``show ip ospf neighbour``. Стан має бути «Повний» або «2-сторонній». Якщо це не так, між хостами виникла проблема мережевого з’єднання. Це часто спричинено проблемами NAT або MTU. Ви не повинні побачити жодних нових маршрутів (якщо це не другий прохід) у виводі ``show ip route``

en: Windows Server 2019 with a running Active Directory
uk: Windows Server 2019 із запущеною Active Directory

en: Wireguard
uk: WireGuard

en: Wireguard doesn't have the concept of an up or down link, due to its design. This complicates AND simplifies using it for network transport, as for reliable state detection you need to use SOMETHING to detect when the link is down.
uk: Wireguard не має концепції висхідного або низхідного зв’язку через свою конструкцію. Це ускладнює ТА спрощує його використання для мережевого транспорту, оскільки для надійного виявлення стану потрібно використовувати ЩОСЬ, щоб виявити, коли з’єднання не працює.

en: With Tunnelbroker.net, you have two options:
uk: З Tunnelbroker.net у вас є два варіанти:

en: With this command we are able to check the transport and customer label (inner/outer) for network spokes prefixes 10.0.0.80/32 - 10.0.0.90/32
uk: За допомогою цієї команди ми можемо перевірити транспортну та клієнтську мітку (внутрішню/зовнішню) для префіксів спілок мережі 10.0.0.80/32 - 10.0.0.90/32

en: Within the VRF we set the Route-Distinguisher (RD) and Route-Targets (RT), then we enable the export/import VPN.
uk: У VRF ми встановлюємо Route-Distinguisher (RD) і Route-Targets (RT), а потім вмикаємо експорт/імпорт VPN.

en: You managed to come this far, now we want to see the network and routing tables in action.
uk: Вам вдалося зайти так далеко, тепер ми хочемо побачити мережу та таблиці маршрутизації в дії.

en: You should be able to ping to and from all the IPs you have allocated.
uk: Ви повинні мати можливість перевіряти зв’язок із усіма IP-адресами, які ви виділили.

en: You should now be able to ping something by IPv6 DNS name:
uk: Тепер ви повинні мати можливість запитувати щось за DNS-іменем IPv6:

en: You should now be able to see the advertised network on the other host.
uk: Тепер ви зможете побачити рекламовану мережу на іншому хості.

en: You would have 5 zones instead of just 4 and you would configure your v6 ruleset between your tunnel interface and your LAN/DMZ zones instead of to the WAN.
uk: У вас буде 5 зон замість 4, і ви налаштуєте свій набір правил v6 між інтерфейсом тунелю та зонами LAN/DMZ замість WAN.

en: You would have to add a couple of rules on your wan-local ruleset to allow protocol 41 in.
uk: Вам потрібно буде додати пару правил у свій набір правил wan-local, щоб дозволити протокол 41 in.

en: Zone-Policy example
uk: Приклад Zone-Policy

en: Zones Basics
uk: Основи зон

en: Zones and Rulesets both have a default action statement. When using Zone-Policies, the default action is set by the zone-policy statement and is represented by rule 10000.
uk: І зони, і набори правил мають оператор дії за замовчуванням. Під час використання Zone-Policies дія за умовчанням встановлюється оператором zone-policy і представлена правилом 10000.

en: Zones do not allow for a default action of accept; either drop or reject. It is important to remember this because if you apply an interface to a zone and commit, any active connections will be dropped. Specifically, if you are SSH’d into VyOS and add local or the interface you are connecting through to a zone and do not have rulesets in place to allow SSH and established sessions, you will not be able to connect.
uk: Зони не дозволяють дії за замовчуванням прийняти; або відкинути, або відхилити. Важливо пам’ятати про це, оскільки якщо ви застосуєте інтерфейс до зони та зафіксуєте, будь-які активні з’єднання будуть розірвані. Зокрема, якщо ви використовуєте SSH у VyOS і додаєте локальний або інтерфейс, через який ви підключаєтеся, до зони та не маєте наборів правил, які дозволяють SSH і встановлені сеанси, ви не зможете підключитися.

en: `2001:470:xxxx:1::/64`: A subnet suitable for a LAN
uk: `2001:470:xxxx:1::/64`: підмережа, придатна для локальної мережі

en: `2001:470:xxxx:2::/64`: Another subnet
uk: `2001:470:xxxx:2::/64`: інша підмережа

en: `2001:470:xxxx::/48`: The whole subnet. xxxx should come from Tunnelbroker.
uk: `2001:470:xxxx::/48`: уся підмережа. xxxx має надходити від Tunnelbroker.

en: `2001:470:xxxx:ffff:/64`: The last usable /64 subnet.
uk: `2001:470:xxxx:ffff:/64`: остання доступна підмережа /64.

en: ``service-name`` can be an arbitrary string.
uk: ``service-name`` може бути довільним рядком.

en: after all these steps the config look like this:
uk: після всіх цих кроків конфігурація виглядає так:

en: after this create a signed server and a client certificate
uk: після цього створіть підписаний сервер і сертифікат клієнта

en: and last the DH Key
uk: і останній ключ DH

en: blue uses local routing table id and VNI 2000
uk: синій використовує ідентифікатор локальної таблиці маршрутизації та VNI 2000

en: compute1 - Port 9 of each switch
uk: compute1 – порт 9 кожного комутатора

en: compute2 - Port 10 of each switch
uk: compute2 – порт 10 кожного комутатора

en: compute3 - Port 11 of each switch
uk: compute3 – порт 11 кожного комутатора

en: configure each host in the lab
uk: налаштувати кожен хост у лабораторії

en: create the lab on a eve-ng server
uk: створити лабораторію на сервері eve-ng

en: do some defined tests
uk: виконати певні тести

en: eth0 is set to be removed from the load balancer's interface pool after 5 ping failures, eth1 will be removed after 4 ping failures.
uk: eth0 налаштовано на видалення з пулу інтерфейсу балансувальника навантаження після 5 помилок ping, eth1 буде видалено після 4 помилок ping.

en: extended community and remote label of specific destination
uk: розширена спільнота та віддалена мітка конкретного призначення

en: first the PCA
uk: спочатку PCA

en: generate the documentation and include files
uk: створити документацію та включити файли

en: green uses local routing table id and VNI 4000
uk: зелений використовує ідентифікатор локальної таблиці маршрутизації та VNI 4000

en: information between PE and CE:
uk: інформація між PE та CE:

en: optional do an upgrade to a higher version and do step 3 again.
uk: за бажанням виконайте оновлення до вищої версії та повторіть крок 3.

en: red uses local routing table id and VNI 3000
uk: червоний використовує ідентифікатор локальної таблиці маршрутизації та VNI 3000

en: router2 (Random 1RU machine with 4 NICs)
uk: router2 (випадкова машина 1RU з 4 мережевими картами)

en: save the output to a file and import it in nearly all openvpn clients.
uk: зберегти вихідні дані у файл та імпортувати їх у майже всі клієнти openvpn.

en: shutdown and destroy the lab, if there is no error
uk: вимкнути та знищити лабораторію, якщо помилки немає

en: specific VPNv4 destination including extended community and remotelabel information. This procedure is the same on all Spoke nodes:
uk: конкретне призначення VPNv4, включаючи розширену інформацію про спільноту та віддалену мітку. Ця процедура однакова для всіх вузлів Spoke:

en: switch1 (Nexus 10gb Switch)
uk: switch1 (коммутатор Nexus 10 Гб)

en: switch2 (Nexus 10gb Switch)
uk: switch2 (коммутатор Nexus 10 Гб)

en: v6 pairs would be:
uk: v6 пари будуть:

en: we are using "source-address" option cause we are not redistributing connected interfaces into BGP on the Core router hence there is no comeback route and ping will fail.
uk: ми використовуємо опцію «адреса джерела», оскільки ми не перерозподіляємо підключені інтерфейси в BGP на основному маршрутизаторі, отже, немає маршруту повернення, і пінг не вдасться.

en: within VRFs:
uk: в межах VRF:

en: “show bgp ipv4 vpn summary” for checking BGP VPNv4 neighbors:
uk: «показати підсумок bgp ipv4 vpn» для перевірки сусідів BGP VPNv4:

en: “show bgp ipv4 vpn summary” for checking iBGP neighbors again
uk: «показати підсумок bgp ipv4 vpn» для повторної перевірки сусідів iBGP

en: “show bgp ipv4 vpn summary” for checking iBGP neighbors against route-reflector devices:
uk: «показати підсумок bgp ipv4 vpn» для перевірки сусідів iBGP на пристроях відбивача маршрутів:

en: “show bgp ipv4 vpn x.x.x.x/32” for checking best-path,
uk: «показати bgp ipv4 vpn xxxx/32» для перевірки найкращого шляху,

en: “show bgp ipv4 vpn x.x.x.x/32” for checking the best-path to the
uk: «показати bgp ipv4 vpn xxxx/32» для перевірки найкращого шляху до

en: “show bgp ipv4 vpn x.x.x.x/x” for checking best path selected for specific VPNv4 destination
uk: «показати bgp ipv4 vpn xxxx/x» для перевірки найкращого шляху, вибраного для певного призначення VPNv4

en: “show bgp ipv4 vpn”  for checking all VPNv4 prefixes information:
uk: «показати bgp ipv4 vpn» для перевірки всіх префіксів VPNv4:

en: “show bgp vrf BLUE_HUB summary” for checking EBGP neighbor
uk: «показати підсумок bgp vrf BLUE_HUB» для перевірки сусіда EBGP

en: “show bgp vrf BLUE_SPOKE summary” for checking EBGP neighbor
uk: «показати підсумок bgp vrf BLUE_SPOKE» для перевірки сусіда EBGP

en: “show bgp vrf all” for checking all the prefix learning on BGP
uk: «показати всі bgp vrf» для перевірки всіх префіксів, які навчаються на BGP

en: “show bgp vrf all” for checking all the prefixes learning on BGP
uk: «показати всі bgp vrf» для перевірки всіх префіксів, які навчаються на BGP

en: “show ip ospf neighbor” for checking ospf relationship
uk: «показати сусіда ip ospf» для перевірки зв’язку ospf

en: “show ip route vrf BLUE_HUB” to view the RIB in our Hub PE.
uk: «show ip route vrf BLUE_HUB», щоб переглянути RIB у нашому Hub PE.

en: “show ip route vrf BLUE_SPOKE” for viewing the RIB in our Spoke PE.
uk: «show ip route vrf BLUE_SPOKE» для перегляду RIB у нашому Spoke PE.

en: “show mpls ldp binding” for checking mpls label assignment
uk: «показати прив’язку mpls ldp» для перевірки призначення міток mpls

en: “show mpls ldp neighbor “ for checking ldp neighbors
uk: «показати сусіда mpls ldp» для перевірки сусідів ldp
