GCP BYOIP: veřejné inzerování není privátní trasa
Rozdělení prefixu BYOIP mezi lokalitu a cloud vyžaduje dva plány. Oddělte veřejné oznámení, delegování a privátní další skok.
Část veřejného bloku zůstává na lokalitě a část se přesouvá do Google Cloud. Tato věta popisuje dva plány, ne jeden: plán inzerce na internetu a plán privátního předávání. Považovat je za jediný problém směrování je místo, kde se návrhy BYOIP pokazí.
Zúčastněné objekty odpovídají na různé otázky a jen jeden z nich se týká toho, kam pakety půjdou dál.
Tři objekty, tři otázky
Veřejně inzerovaný prefix je jednotka, kterou Google inzeruje na internetu vaším jménem. Veřejně delegovaný prefix je způsob, jakým se importovaný prostor přiděluje podporovaným prostředkům Cloud. Trasa ve VPC, včetně trasy naučené přes Cloud Router z VPN, vybírá privátní další skok. Každý má svůj rozsah, své API a svou chybovou zprávu.
Tabulková verze je kratší.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Jen třetí řádek se týká předávání uvnitř vaší sítě.
Co pokrývá upozornění BYOIP na překryv
Google ve své dokumentaci BYOIP považuje inzerovaný prefix za jednotku inzerce a varuje před překrývajícími se externími oznámeními, včetně subprefixu inzerovaného mimo Google. Toto upozornění se týká plánu veřejné inzerce. Není to tvrzení o každé privátní trase, kterou byste mohli přidat.
Delegování menší alokace uvnitř importovaného prefixu vám samo o sobě nedává oprávnění inzerovat zbytek z jiného zdroje.
Položte otázku tak, kdo co inzeruje. Pokud Google inzeruje celý importovaný prefix, druhý zdroj inzerující subprefix vytváří přesně ten překryv, před kterým dokumentace varuje, ať už vaše trasy VPC vypadají jakkoli uklizeně.
Co rozhoduje privátní trasa
Prefix naučený přes VPN není internetová inzerce a žádné množství BGP z něj inzerci neudělá. Je to záznam v tabulce tras VPC, který říká, který tunel nebo brána má nést provoz pro dané cílové umístění. Zda je tento záznam způsobilý, vybraný nebo použitelný, závisí na vlastních pravidlech směrování VPC.
Shoda nejdelšího prefixu platí uvnitř tabulky tras, takže delší trasa VPN může lokálně vyhrát, aniž by se na veřejném okraji cokoli změnilo.
Rozdělení prefixu: rozhodnutí, které přichází první
Pokud architektura vyžaduje, aby polovina bloku byla inzerována z datového centra a polovina z Google, vyřešte plán inzerce dřív, než cokoli importujete. Potvrďte, které rozsahy Google smí inzerovat, které zůstávají inzerované jinde a zda se oba překrývají. Poté navrhněte privátní cestu pro každé cílové umístění a její zpáteční cestu. Pokud poskytovatelé nepodporují rozdělení, které chcete, změňte rozdělení, místo abyste doufali, že delší prefix VPN přebije rozhodnutí na veřejném okraji.
Na tomto pořadí záleží, protože druhý plán nemůže opravit první.
Ověřte oba plány odděleně
Zkontrolujte veřejnou stranu pomocí gcloud compute public-advertised-prefixes list a potvrďte rozsahy a jejich stav. Zkontrolujte privátní stranu pomocí gcloud compute routes list a gcloud compute routers get-status, což ukazuje, co BGP skutečně vyměnil.
Jedna sada výstupů vám říká, co vidí internet. Druhá vám říká, kam jde váš provoz. Ani jedna nenahrazuje druhou.