Anuncis BGP del VGW davant la taula de rutes de la VPC: què canvia què

Un prefix que falta a la taula de rutes d'una subxarxa de la VPC i un prefix que falta al router del client són dues avaries diferents, i només una d'elles es repara dins de les taules de rutes d'AWS. La passarel·la privada virtual anuncia els blocs CIDR associats a la seva VPC; la taula de rutes de la subxarxa decideix on una càrrega de treball envia la resposta. Tractar la segona com una manera de canviar la primera és el gir equivocat més habitual en aquest diagnòstic. Executeu les comprovacions següents en ordre i manteniu les dues direccions separades.

Anomeneu l'adjunció abans de llegir cap taula

Una VPN de lloc a lloc acaba o bé en una passarel·la privada virtual o bé en una passarel·la de trànsit, i els identificadors de recurs decideixen quin model d'encaminament s'aplica. Llegiu-los primer: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. La resposta us diu si la propera taula que cal inspeccionar és una taula de rutes de la VPC o una taula de rutes de la passarel·la de trànsit.

Si la VPN està connectada a una passarel·la de trànsit, deixeu de tractar la taula de rutes de la VPC com el pla de control. Allà la taula de la VPC apunta a l'adjunció de la passarel·la, i l'associació i la propagació tenen lloc a la taula de rutes de la passarel·la de trànsit. Barrejar les dues vistes produeix conclusions fermes sobre l'objecte equivocat.

La direcció d'AWS a l'oficina és un anunci

Per a una adjunció VGW, la passarel·la anuncia els blocs CIDR associats a la seva VPC a la passarel·la del client per BGP. Afegir una ruta de subxarxa individual, o apuntar una ruta a una VPC entre iguals o a un aparell, no afegeix cap altre CIDR associat ni apareix en aquest anunci. Si a l'oficina li falta un prefix, compareu la llista de rutes rebudes amb les associacions de la VPC abans d'editar qualsevol taula de rutes.

La regla simple té excepcions, així que manteniu-la dins del seu abast. Una disposició VPN CloudHub pot tornar a anunciar prefixos de lloc entre passarel·les de client, i una passarel·la de trànsit segueix les seves pròpies regles de propagació. L'afirmació que un VGW només anuncia la seva pròpia VPC és un valor per defecte útil, no una llei que cobreixi totes les topologies que trobareu.

La direcció de l'oficina a AWS és propagació més selecció

En la direcció inversa, el VGW aprèn el prefix de l'oficina, però això sol no mou cap càrrega de treball. La taula de rutes de la subxarxa ha de tenir la propagació activada per a l'adjunció o bé portar una ruta estàtica cap a la mateixa destinació. Quan totes dues existeixen per a un prefix, guanya la ruta estàtica, i la coincidència del prefix més llarg s'executa abans que cap de les dues.

Llegiu l'origen en lloc de suposar-lo: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Una entrada amb origen EnableVgwRoutePropagation va venir de BGP; una entrada amb origen CreateRoute la va escriure una persona i continuarà guanyant fins que algú la suprimeixi.

Un runbook que manté les dues direccions separades

Anoteu quatre fets a la banda d'AWS abans de canviar res: el tipus d'adjunció, els CIDR associats de la VPC, l'origen de la ruta de subxarxa per al prefix en qüestió i l'estat del túnel i de BGP. La mateixa crida describe retorna VgwTelemetry amb un recompte de rutes acceptades per túnel, que us diu si AWS va acceptar cap ruta. Després compareu-ho amb el que el dispositiu del client ha instal·lat realment. Un prefix present a BGP però absent de la taula d'enviaments és un problema d'importació local o de millor camí, no un problema de la taula de rutes d'AWS.

Si a la taula de la subxarxa li falta del tot el prefix, activeu la propagació o afegiu una ruta estàtica, i després torneu a llegir la mateixa consulta passat l'interval de propagació en lloc de suposar que el canvi va ser immediat. Si el prefix hi és i el trànsit encara falla, deixeu el pla de control tranquil i passeu al camí de dades.

Què no cal canviar mentre hi sou

No canvieu la propagació en taules de rutes no relacionades per arreglar un prefix que falta, i no afegiu una ruta per defecte per tapar un sol CIDR absent. Tots dos canvis amplien l'abast de l'impacte i fan més difícil el diagnòstic següent. Limiteu l'edició a la taula que serveix la subxarxa de càrrega de treball en qüestió.

El camí de dades és independent de tot això. Els grups de seguretat tenen estat, les ACL de xarxa no, i un tallafoc d'amfitrió o un camí de retorn asimètric poden descartar trànsit que l'encaminament va lliurar correctament. Un agregat anunciat tampoc autoritza cada servei que hi ha a dins, així que limiteu l'accés a la frontera de política en lloc de confiar que una adreça aparegui per casualitat en un anunci BGP.

Desqueu l'abans i el després de cada consulta de taula de rutes al registre de canvis. Si el canvi empitjora les coses, restaureu les rutes anteriors i confirmeu-ho amb la mateixa consulta, perquè una reversió que no podeu verificar només és una conjectura.