Чаму маршрут падсеткі AWS VGW не можа выбраць адзін тунель VPN

Два злучэнні Site-to-Site VPN заканчваюцца на адным віртуальным прыватным шлюзе і абвяшчаюць адзін і той жа прэфікс філіяла. Табліца маршрутаў падсеткі змяшчае адзін запіс для гэтага прэфікса, які паказвае на шлюз, і ніводнага поля, якое называе тунель. Таму перавага паміж злучэннямі ўзнікае недзе там, дзе кансоль не называе гэта маршрутызацыяй. Веданне таго, які ўзровень валодае рашэннем, — гэта розніца паміж працоўным рэзервам і змяненнем, якое нічога не робіць.

У гульні два ўзроўні: маршрут VPC, які кажа, які шлюз, і ўласны выбар тунеля шлюзам. Блытаніна паміж імі дае праўкі, якія выглядаюць правільнымі ў табліцы маршрутаў і ніколі не перамяшчаюць пакет.

Два ўзроўні, якія выглядаюць як адзін

Маршрут падсеткі адказвае на адно пытанне: для гэтага прызначэння — якое далучэнне? Яго мэта — віртуальны прыватны шлюз, а яго метрыка канкуруе толькі з іншымі маршрутамі ў той жа табліцы. Нішта ў гэтым запісе не адрознівае тунель адзін ад тунеля два, ці злучэнне A ад злучэння B. Больш канкрэтны прэфікс — гэта іншае супадзенне прызначэння, а не драбнейшы выбар шляху.

Шлюз адказвае на наступнае пытанне: сярод тунеляў, якія ён трымае для гэтага прэфікса, які зараз нясе трафік. Гэтае рашэнне паходзіць ад стану тунеля і атрыбутаў BGP, атрыманых ад шлюза кліента, і яно ніколі не з’яўляецца ў табліцы маршрутаў падсеткі.

Што VGW насамрэч параўноўвае

Стан ідзе першым. Тунель, які не працуе, ці сеанс BGP, які не ўзняўся, прайграе яшчэ да таго, як будзе разгледжаны любы атрыбут. Таму даданне папярэдняга маршруту на злучэнні, якое ўжо збіваецца, нічога не мяняе.

Сярод прыдатных шляхоў для аднаго прэфікса AWS аддае перавагу карацейшаму AS_PATH. Калі два шляхі роўныя па даўжыні, ён параўноўвае MED, з улікам дакументаванай умовы пра першы AS у шляху. Чытайце апублікаваны парадак, а не фальклорную версію, бо фальклор звычайна апускае крок стану і выключэнне для статычных маршрутаў. Адно з наступстваў: тры папярэднія даданні на рэзервовым злучэнні робяць асноўнае строга карацейшым, і менавіта так звычайна выражаюць перавагу.

Папярэдняе даданне, і калі яно нічога не робіць

Папярэдняе даданне адбываецца ў зыходных аб’явах шлюза кліента, а не ўнутры AWS. Вы дадаяце свой уласны ASN два або тры разы да прэфікса, якога хочаце пазбегнуць у AWS, і тады AWS бачыць даўжэйшы шлях для гэтага злучэння. Асноўнае злучэнне захоўвае аб’яву без папярэдняга дадання. Калі абодва злучэнні абвяшчаюць з аднага ASN з аднолькавай колькасцю даданняў, вы не выказалі ніякай перавагі.

Праверце атрыманы шлях на баку AWS пасля змены. Даданне, якое ніколі не пакінула прыладу кліента, выглядае гэтак жа, як даданне, якое AWS праігнараваў.

Статычныя маршруты ігнаруюць увесь аргумент

Калі злучэнне выкарыстоўвае статычную маршрутызацыю, нямае AS_PATH, які можна падоўжыць. AWS дакументуе статычныя маршруты VPN як прыярытэтныя над маршрутамі, вывучанымі праз BGP, для таго ж прэфікса, таму змяшаны дызайн не паводзіць сябе як цалкам дынамічны. Спачатку вызначце тып маршрутызацыі, потым выбірайце механізм перавагі, які для яго існуе.

З двума статычнымі злучэннямі, якія абвяшчаюць адзін прэфікс, карысны рычаг — гэта прэфікс: абвясціце больш канкрэтны дыяпазон на злучэнні, якое хочаце выкарыстоўваць, і прыміце, што вы змянілі тое, якое прызначэнне супадае, а не тое, які шлях перамагае.

Чаму транзітны шлюз — іншы адказ

Транзітны шлюз падтрымлівае шматшляхавасць з роўным коштам праз VPN-далучэнні, таму два злучэнні могуць дзяліць трафік замест таго, каб адно стаяла ў рэзерве. У гэтага дызайну іншая паверхня збояў: патокі разыходзяцца па тунелях, і адзін тунель, які падае, пераносіць толькі частку наваладкі. Капіраванне рэцэпта VGW на транзітны шлюз, ці наадварот, стварае чаканні, якіх не задавальняе ні адна платформа.

Выберыце мадэль перад механізмам: актыўны і рэзервовы з замацаванай перавагай, або актыўны і актыўны з ECMP.

Што праверыць пасля наладкі

Пацвердзіце чатыры рэчы па парадку. Табліца падсеткі па-ранейшаму развязае прэфікс на патрэбны шлюз. Шлюз паказвае абодва тунелі як працоўныя. Атрыманы AS_PATH на злучэнні, якога хочаце пазбегнуць, даўжэйшы за іншы. І рэальны паток з экзэмпляра ў гэтай падсетцы праходзіць праз чаканы тунель, назіраны з абодвух канцоў, а не выведзены з зялёнага статусу.

Затым запусціце зацверджаны тэст пераключэння і паназірайце, як выжылы шлях нясе сэрвіс. Перавага, якая існуе толькі ў дыфе канфігурацыі, яшчэ не перавага.