Маршрут GCP VPN працуе толькі ў адным рэгіёне: праверце дынамічную маршрутызацыю

Працоўная нагрузка ў ЗША дасягае офіснага прэфікса праз HA VPN без праблем, а еўрапейская нагрузка ў тым жа VPC не атрымлівае нічога. Яе табліца маршрутаў не змяшчае запісу для гэтага прэфікса, ні адзін тунель не ўпаў, і ні адно правіла фаервала не змянілася. Тунель і яго сеанс BGP здаровыя ў абодвух кірунках. VPC, які ахоплівае некалькі рэгіёнаў, не тое ж самае, што яго вывучаныя маршруты, якія ахопліваюць рэгіёны, і менавіта гэты разрыў тлумачыць увесь сімптом.

Тут блытаюць дзве ўласцівасці: дзе знаходзяцца падсеткі і дзе можна выкарыстоўваць вывучаны наступны хоп.

Адкуль бярэцца рэгіянальны ахоп

Cloud Router усталёўвае вывучаныя маршруты з ахопам, які адпавядае рэжыму дынамічнай маршрутызацыі VPC. У рэгіянальным рэжыме маршрут, вывучаны ў адным рэгіёне, могуць выкарыстоўваць толькі рэсурсы гэтага рэгіёна, таму еўрапейская табліца пустая, а не паказвае зламаны наступны хоп. У глабальным рэжыме прыдатныя вывучаныя маршруты становяцца даступнымі рэсурсам у кожным рэгіёне VPC. Прачытайце бягучае значэнне перад любымі зменамі, бо рэгіянальны рэжым тыповы. Налада знаходзіцца ў сетцы, а не ў тунелі і не ў маршрутызатары.

Каманда інвентарызацыі толькі чытае і адказвае на гэта адным радком:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Выканайце яе ў праекце-гаспадары, калі VPC агульная. Сетка належыць гэтаму праекту, і роля праглядальніка ў праекце нагрузкі можа нават не паказаць канфігурацыю маршрутызацыі. Хуткі адказ з няправільнага праекта горш за адсутнасць адказу.

Змена — гэта адна каманда і адзін кірунак

Пераключэнне — гэта праўка плоскасці кіравання для ўсяго VPC, а не абыход для кожнай VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Яно таксама аднабаковае, бо сетку, усталяваную ў глабальны рэжым, нельга вярнуць у рэгіянальны. Праверце назву праекта і сеткі яшчэ раз перад запускам, бо каманда не запытвае пацверджання. Змена заслугоўвае нататкі аб абслугоўванні і згоды ўладальніка сеткі, а не хуткага эксперыменту на агульнай VPC.

Кожнае далучэнне Cloud Router, VPN і Interconnect у гэтай сетцы наследуе новы ахоп адразу. Гэта ўключае далучэнні, пра якія ніхто не згадаў у запыце на змену. Рэгіёны, якія ніколі раней не мелі гэтага маршруту, пачынаюць атрымліваць яго, як толькі змена набудзе моц, таму для гэтага пераключэння няма паэтапнага разгортвання.

Глабальнасць — гэта ахоп, а не гарантыя

Прыдатнасць і перавага асобныя ад ахопу. Маршрут, які канфліктуе з больш канкрэтным прэфіксам, прайграе выбар найлепшага шляху або адфільтроўваецца палітыкай, паводзіць сябе дакладна як раней. Глабальны рэжым пашырае, дзе маршрут можна выкарыстоўваць, але не вырашае, які маршрут пераможа. Вывучаны маршрут можа быць у межах ахопу і ўсё роўна прайграць статычнаму або больш канкрэтнаму шляху ў тым жа VPC.

Гэтае адрозненне важнае, бо змену рэжыму лёгка пазней абвінаваціць. Калі еўрапейская падсетка пасля пераключэння ўсё яшчэ без маршруту, пытанне ў тым, ці існуе маршрут і ці ён прыдатны, а не ў тым, ці ўступіў у сілу ахоп. Канфлікты прэфіксаў і здароўе наступнага хопа — наступныя дзве рэчы для чытання.

Аддалены бок таксама аб'яўляе інакш

Паводзіны аб'яўленняў падпарадкоўваюцца той жа наладзе. Пры тыповых паводзінах маршрутызатар у рэгіянальным рэжыме аб'яўляе падсеткі свайго рэгіёна, а глабальны рэжым аб'яўляе падсеткі VPC шырэй. Таму змена рэжыму змяняе не толькі тое, што могуць выкарыстоўваць вашыя рэгіёны, але і тое, што ўсталёўвае аддалены бок.

Наладжаны спіс аб'яўленняў не пашыраецца пры змене рэжыму. Калі лакальны маршрутызатар трымае напісаны ад рукі спіс дыяпазонаў, еўрапейскі прэфікс застаецца адсутным у ім. Зваротны шлях у такім выпадку застаецца зламаным, нават калі зыходны маршрут ужо існуе. Праверце, што ўсталяваў аддалены бок, а не тое, што вы экспартавалі.

Што рэжым ніколі не выправіць

Глабальная маршрутызацыя не дае доступу да публічнага інтэрнэту, транзіту паміж незвязанымі VPC або адсутных статычных маршрутаў. Яна не змяняе правілы фаервала або IAM, таму злучэнне, адхіленае палітыкай, застаецца адхіленым.

Гэтыя збоі выглядаюць аднолькава знутры нагрузкі і не маюць нічога агульнага з ахопам маршрутаў.

Праверце з аддаленага рэгіёна да рэальнай службы, затым пацвердзіце, што адказ вяртаецца праз патрэбны тунель. Запішыце рэжым, канфігурацыю аб'яўленняў і пункт прызначэння, які вы правяралі. Калі тэст усё яшчэ не ўдаецца, параўнайце табліцу BGP аддаленага маршрутызатара са спісам маршрутаў VPC, перш чым зноў чапаць рэжым. Тады наступная справаздача паміж рэгіёнамі пачнецца з фактаў, а не са змены рэжыму.