GCP VPN-roete werk net in een streek: kontroleer dinamiese roetering

Die Amerikaanse werklaag bereik die kantoorvoorvoegsel oor die HA VPN sonder probleme, terwyl die Europese werklaag in dieselfde VPC heeltemal niks kry. Sy roetetabel bevat geen inskrywing vir die voorvoegsel nie, geen tonnel is af nie, en geen firewallreel het verander nie. Die tonnel en sy BGP-sessie is gesond in beide rigtings. 'n VPC wat streke oorspan is nie dieselfde ding as sy geleerde roetes wat streke oorspan nie, en daardie gaping verduidelik die hele simptoom.

Twee eienskappe word hier verwar: waar die subnetwerke woon, en waar 'n geleerde volgende sprong gebruik mag word.

Waar die streeksomvang vandaan kom

Cloud Router installeer geleerde roetes met 'n omvang wat die VPC se dinamiese roetemodus volg. In streeksmodus is 'n roete wat in een streek geleer is net vir daardie streek se hulpbronne bruikbaar, en daarom is die Europese tabel leeg eerder as om 'n gebroke volgende sprong te wys. In globale modus word geskikte geleerde roetes vir hulpbronne in elke streek van die VPC beskikbaar. Lees die huidige waarde voordat jy iets verander, want streeks is die verstek. Die instelling woon op die netwerk, nie op die tonnel of op die router nie.

Die inventarisopdrag is net-lees en antwoord dit in een reel:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Voer dit in die gasheerprojek uit wanneer die VPC gedeel is. Die netwerk behoort aan daardie projek, en 'n kykerrol in die werklaagprojek wys dalk nie eens die roetekonfigurasie nie. 'n Vinnige antwoord uit die verkeerde projek is erger as geen antwoord nie.

Die verandering is een opdrag en een rigting

Skakel is 'n VPC-wye wysiging op die beheervlak, nie 'n per-VM-omweg nie: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Dit is ook eenrigting, want 'n netwerk wat op globaal gestel is, kan nie na streeks teruggesit word nie. Gaan die projek- en netwerknaam nog een keer na voordat jy dit hardloop, want die opdrag vra nie om bevestiging nie. Die verandering verdien 'n onderhoudnota en die netwerkeienaar se goedkeuring eerder as 'n vinnige eksperiment op 'n gedeelde VPC.

Elke Cloud Router-, VPN- en Interconnect-aanhegting in daardie netwerk erf die nuwe omvang dadelik. Dit sluit die aanhegtings in wat niemand in die veranderingsversoek genoem het nie. Streke wat die roete nooit vantevore gehad het nie, begin dit ontvang sodra die verandering intree, en daarom is daar geen gefaseerde uitrol vir hierdie skakel nie.

Globaal is 'n omvang, nie 'n waarborg nie

Geskiktheid en voorkeur staan apart van omvang. 'n Roete wat met 'n meer spesifieke voorvoegsel bots, die beste-pad-keuse verloor of deur beleid gefiltreer word, gedra hom presies soos vantevore. Globale modus verbreed waar 'n roete gebruik mag word; dit besluit nie watter roete wen nie. 'n Geleerde roete kan binne omvang wees en steeds teen 'n statiese of meer spesifieke pad op dieselfde VPC verloor.

Daardie onderskeid maak saak, want die modusverandering is later maklik om te blameer. As die Europese subnet na die skakel nog steeds geen roete het nie, is die vraag of die roete bestaan en geskik is, nie of die omvang in werking getree het nie. Voorvoegselbotsings en volgende-sprong-gesondheid is die volgende twee dinge om te lees.

Die verre kant adverteer ook anders

Advertensiegedrag volg dieselfde instelling. Met verstekgedrag adverteer 'n router in streeksmodus die subnetwerke van sy eie streek, terwyl globale modus die VPC se subnetwerke wyer adverteer. Om die modus te verander verander dus wat die verre kant installeer, nie net wat jou eie streke mag gebruik nie.

'n Pasgemaakte advertensielys brei nie uit wanneer die modus verander nie. As die plaaslike router 'n handgeskrewe lys reekse hou, bly die Europese voorvoegsel daarin afwesig. Die terugpad bly in daardie geval gebroke, selfs al bestaan die uitgaande roete nou. Kyk wat die verre kant geinstalleer het eerder as wat jy uitgevoer het.

Wat die modus nooit sal herstel nie

Globale roetering verleen nie toegang tot die publieke internet, deurgang tussen onverwante VPC's of ontbrekende statiese roetes nie. Dit verander nie firewallreels of IAM nie, so 'n verbinding wat deur beleid geweier word, bly geweier.

Daardie foute lyk dieselfde van binne 'n werklaag en het niks met roete-omvang te doen nie.

Toets van die verre streek na die werklike diens, en bevestig dan dat die antwoord deur die bedoelde tonnel terugkom. Teken die modus, die advertensiekonfigurasie en die bestemming wat jy getoets het, aan. As die toets steeds misluk, vergelyk die verre router se BGP-tabel met die VPC-roetelys voordat jy weer aan die modus raak. Die volgende kruisstreek-verslag begin dan by feite eerder as by 'n modusverandering.