GCP BYOIP: javno oglašavanje nije privatna ruta
Podjela BYOIP prefiksa između lokacije i oblaka zahtijeva dva plana. Odvojite javnu najavu, delegiranje i privatni sljedeći skok.
Dio javnog bloka ostaje na lokaciji, a dio se seli u Google Cloud. Ta rečenica opisuje dva plana, a ne jedan: plan internetske najave i plan privatnog prosljeđivanja. Tretiranje njih kao jednog problema rutiranja jeste mjesto gdje BYOIP dizajni griješe.
Objekti koji su uključeni odgovaraju na različita pitanja, a samo se jedno od njih tiče toga kuda paketi idu dalje.
Tri objekta, tri pitanja
Javno oglašeni prefiks je jedinica koju Google oglašava na internetu u vaše ime. Javno delegirani prefiks je način na koji se uvezeni prostor dodjeljuje podržanim Cloud resursima. Ruta u VPC-u, uključujući onu naučenu preko Cloud Routera od VPN-a, bira privatni sljedeći skok. Svaki ima svoj obim, svoj API i svoju poruku o grešci.
Tabelarna verzija je kraća.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Samo treći red se tiče prosljeđivanja unutar vaše mreže.
Šta pokriva BYOIP upozorenje na preklapanje
Googleova BYOIP dokumentacija tretira oglašeni prefiks kao jedinicu oglašavanja i upozorava na preklapajuće vanjske najave, uključujući potprefiks oglašen izvan Googlea. To upozorenje se tiče plana javnog oglašavanja. Ono nije tvrdnja o svakoj privatnoj ruti koju biste mogli dodati.
Delegiranje manje dodjele unutar uvezenog prefiksa samo po sebi vam ne daje dozvolu da ostatak oglašavate s drugog izvora.
Postavite pitanje u smislu ko šta oglašava. Ako Google oglašava cijeli uvezeni prefiks, drugi izvor koji oglašava potprefiks stvara upravo ono preklapanje na koje dokumentacija upozorava, koliko god uredne bile vaše VPC rute.
Šta odlučuje privatna ruta
Prefiks naučen preko VPN-a nije internetska najava i nikakva količina BGP-a to neće promijeniti. To je unos u tabeli ruta VPC-a koji kaže koji tunel ili pristupnik treba nositi promet za to odredište. Da li je taj unos podoban, odabran ili upotrebljiv zavisi od vlastitih pravila rutiranja VPC-a.
Podudaranje najdužeg prefiksa primjenjuje se unutar tabele ruta, pa duža VPN ruta može pobijediti lokalno bez promjene bilo čega na javnoj ivici.
Podjela prefiksa: odluka koja dolazi prva
Ako arhitektura zahtijeva da se polovina bloka oglašava iz data centra, a polovina iz Googlea, riješite plan oglašavanja prije nego što bilo šta uvezete. Potvrdite koje raspone Google smije oglašavati, koji ostaju oglašeni negdje drugo i da li se ta dva preklapaju. Zatim projektujte privatnu putanju za svako odredište i njegovu povratnu putanju. Ako pružaoci usluga ne podržavaju podjelu koju želite, promijenite podjelu umjesto da se nadate da će duži VPN prefiks nadjačati odluku na javnoj ivici.
Taj redoslijed je važan jer drugi plan ne može popraviti prvi.
Provjerite oba plana odvojeno
Provjerite javnu stranu pomoću gcloud compute public-advertised-prefixes list i potvrdite raspone i njihov status. Provjerite privatnu stranu pomoću gcloud compute routes list i gcloud compute routers get-status, što pokazuje šta je BGP zaista razmijenio.
Jedan skup izlaza vam govori šta internet vidi. Drugi vam govori kuda ide vaš promet. Nijedan ne zamjenjuje drugi.