La ruta de GCP VPN només funciona en una regió: comproveu l'encaminament dinàmic

La càrrega de treball dels EUA arriba al prefix de l'oficina per la HA VPN sense cap problema, mentre que la càrrega europea a la mateixa VPC no rep res de res. La seva taula d'encaminament no té cap entrada per a aquest prefix, no hi ha cap túnel caigut i no ha canviat cap regla de tallafocs. El túnel i la seva sessió BGP són sans en totes dues direccions. Una VPC que abasta regions no és el mateix que les seves rutes apreses que abasten regions, i aquesta diferència explica tot el símptoma.

Aquí es confonen dues propietats: on viuen les subxarxes i on es pot utilitzar un següent salt après.

D'on ve l'abast regional

Cloud Router instal·la les rutes apreses amb un abast que segueix el mode d'encaminament dinàmic de la VPC. En mode regional, una ruta apresa en una regió només la poden utilitzar els recursos d'aquella regió, i per això la taula europea és buida en lloc de mostrar un següent salt trencat. En mode global, les rutes apreses elegibles passen a estar disponibles per als recursos de cada regió de la VPC. Llegiu el valor actual abans de canviar res, perquè el regional és el valor per defecte. El paràmetre viu a la xarxa, no al túnel ni a l'encaminador.

L'ordre d'inventari és només de lectura i ho respon en una línia:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Executeu-la al projecte amfitrió quan la VPC és compartida. La xarxa pertany a aquell projecte, i un rol de visualitzador al projecte de càrrega potser ni tan sols mostra la configuració d'encaminament. Una resposta ràpida del projecte equivocat és pitjor que cap resposta.

El canvi és una ordre i una direcció

El canvi és una edició del pla de control a tota la VPC, no una solució alternativa per VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. També és d'un sol sentit, perquè una xarxa posada en global no es pot tornar a regional. Torneu a comprovar el nom del projecte i de la xarxa abans d'executar-lo, ja que l'ordre no demana confirmació. El canvi mereix una nota de manteniment i l'aprovació del propietari de la xarxa, no un experiment ràpid en una VPC compartida.

Cada adjunció de Cloud Router, VPN i Interconnect d'aquella xarxa hereta el nou abast de cop. Això inclou les adjuncions que ningú no va esmentar a la sol·licitud de canvi. Les regions que mai abans havien tingut la ruta comencen a rebre-la tan bon punt el canvi entra en vigor, i per això no hi ha un desplegament per etapes per a aquest canvi.

Global és un abast, no una garantia

L'elegibilitat i la preferència són independents de l'abast. Una ruta que entra en conflicte amb un prefix més específic, perd la selecció del millor camí o és filtrada per la política es comporta exactament com abans. El mode global amplia on es pot utilitzar una ruta, però no decideix quina ruta guanya. Una ruta apresa pot ser dins de l'abast i tot i així perdre contra un camí estàtic o més específic a la mateixa VPC.

Aquesta distinció importa perquè el canvi de mode és fàcil de culpar més endavant. Si la subxarxa europea encara no té ruta després del canvi, la pregunta és si la ruta existeix i és elegible, no si l'abast ha entrat en vigor. Els conflictes de prefix i la salut del següent salt són les dues coses següents a llegir.

El costat remot també anuncia de manera diferent

El comportament d'anunci segueix el mateix paràmetre. Amb el comportament per defecte, un encaminador en mode regional anuncia les subxarxes de la seva pròpia regió, mentre que el mode global anuncia les subxarxes de la VPC més àmpliament. Per tant, canviar el mode canvia què instal·la el costat remot, no només què poden utilitzar les vostres regions.

Una llista d'anuncis personalitzada no s'amplia quan canvia el mode. Si l'encaminador local té una llista d'intervals escrita a mà, el prefix europeu continua absent. La ruta de tornada continua trencada en aquest cas encara que la ruta de sortida ja existeixi. Comproveu què ha instal·lat el costat remot i no què heu exportat.

Què no repararà mai el mode

L'encaminament global no atorga accés a internet públic, trànsit entre VPC no relacionades ni rutes estàtiques que falten. No altera les regles de tallafocs ni IAM, així que una connexió rebutjada per la política continua rebutjada.

Aquests errors semblen iguals des de dins d'una càrrega de treball i no tenen res a veure amb l'abast de les rutes.

Proveu des de la regió remota cap al servei real i confirmeu després que la resposta torna pel túnel previst. Anoteu el mode, la configuració d'anuncis i la destinació que heu provat. Si la prova encara falla, compareu la taula BGP de l'encaminador remot amb la llista de rutes de la VPC abans de tornar a tocar el mode. Aleshores el següent informe entre regions comença amb fets i no amb un canvi de mode.