GCP BYOIP: публічнае абвяшчэнне — гэта не прыватны маршрут
Падзел прэфікса BYOIP паміж пляцоўкай і воблакам патрабуе двух планаў. Аддзяліце публічнае абвяшчэнне, дэлегаванне і прыватны наступны крок.
Частка публічнага блока застаецца на пляцоўцы, а частка пераходзіць у Google Cloud. Гэтае сказ апісвае два планы, а не адзін: план абвяшчэння ў інтэрнэце і план прыватнай перасылкі. Разгляд іх як адзінай задачы маршрутызацыі — менавіта там, дзе праекты BYOIP ідуць не так.
Аб’екты, якія ўдзельнічаюць, адказваюць на розныя пытанні, і толькі адзін з іх пра тое, куды пакеты ідуць далей.
Тры аб’екты, тры пытанні
Публічна абвешчаны прэфікс — гэта адзінка, якую Google абвяшчае ў інтэрнэце ад вашага імя. Публічна дэлегаваны прэфікс — гэта тое, як імпартаваная прастора размяркоўваецца паміж падтрымліванымі рэсурсамі Cloud. Маршрут VPC, уключаючы той, што вывучаны праз Cloud Router з VPN, выбірае прыватны наступны крок. Кожны мае сваю сферу, свой API і сваё паведамленне пра памылку.
Таблічная версія карацейшая.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Толькі трэці радок пра перасылку ўнутры вашай сеткі.
Што ахоплівае папярэджанне BYOIP пра перакрыццё
Google у дакументацыі BYOIP разглядае абвешчаны прэфікс як адзінку абвяшчэння і папярэджвае пра перакрыццё знешніх абвяшчэнняў, уключаючы субпрэфікс, абвешчаны па-за Google. Гэтае папярэджанне датычыцца плана публічнага абвяшчэння. Яно не з’яўляецца сцвярджэннем пра кожны прыватны маршрут, які вы можаце дадаць.
Дэлегаванне меншага размеркавання ўнутры імпартаванага прэфікса само па сабе не дае вам дазволу абвяшчаць рэшту з іншай крыніцы.
Стаўце пытанне праз тое, хто што абвяшчае. Калі Google абвяшчае ўвесь імпартаваны прэфікс, другая крыніца, якая абвяшчае субпрэфікс, стварае менавіта тое перакрыццё, пра якое папярэджвае дакументацыя, наколькі б ахайна ні выглядалі вашыя маршруты VPC.
Што вырашае прыватны маршрут
Прэфікс, вывучаны праз VPN, не з’яўляецца абвяшчэннем у інтэрнэце, і ніякая колькасць BGP гэтага не зменіць. Гэта запіс у табліцы маршрутаў VPC, які паказвае, які тунель або шлюз павінен несці трафік для гэтага прызначэння. Ці прыдатны гэты запіс, ці выбраны ён і ці можна ім карыстацца — залежыць ад уласных правілаў маршрутызацыі VPC.
Найдаўжэйшае супадзенне прэфікса дзейнічае ўнутры табліцы маршрутаў, таму даўжэйшы маршрут VPN можа перамагчы лакальна, не змяняючы нічога на публічным краі.
Падзел прэфікса: рашэнне, якое ідзе першым
Калі архітэктура патрабуе, каб палова блока абвяшчалася з цэнтра апрацоўкі даных, а палова — з Google, вырашыце план абвяшчэння да любога імпарту. Пацвердзіце, якія дыяпазоны Google можа абвяшчаць, якія застаюцца абвешчанымі ў іншым месцы і ці перакрываюцца яны. Затым праектуйце прыватны шлях для кожнага прызначэння і шлях вяртання. Калі пастаўшчыкі не падтрымліваюць патрэбны вам падзел, змяніце падзел, замест таго каб спадзявацца, што даўжэйшы прэфікс VPN пераадолее рашэнне на публічным краі.
Гэты парадак важны, бо другі план не можа выправіць першы.
Праверце абодва планы асобна
Праверце публічны бок з дапамогай gcloud compute public-advertised-prefixes list і пацвердзіце дыяпазоны і іх статус. Праверце прыватны бок з дапамогай gcloud compute routes list і gcloud compute routers get-status, што паказвае, чым BGP фактычна абмяняўся.
Адзін набор вынікаў кажа вам, што бачыць інтэрнэт. Іншы кажа, куды ідзе ваш трафік. Ні адзін не замяняе другі.