Trasa GCP VPN funguje jen v jedné oblasti: zkontrolujte dynamické směrování

Pracovní zátěž v USA dosáhne na kancelářský prefix přes HA VPN bez problémů, zatímco evropská zátěž ve stejné VPC nedostane vůbec nic. Její směrovací tabulka neobsahuje žádný záznam pro tento prefix, žádný tunel není mimo provoz a žádné pravidlo firewallu se nezměnilo. Tunel i jeho relace BGP jsou v obou směrech zdravé. VPC, která pokrývá oblasti, není totéž jako její naučené trasy pokrývající oblasti, a právě tento rozdíl vysvětluje celý příznak.

Zaměňují se tu dvě vlastnosti: kde žijí podsítě a kde lze použít naučený další skok.

Odkud pochází oblastní rozsah

Cloud Router instaluje naučené trasy s rozsahem, který následuje režim dynamického směrování VPC. V oblastním režimu je trasa naučená v jedné oblasti použitelná jen pro prostředky této oblasti, proto je evropská tabulka prázdná, místo aby ukazovala nefunkční další skok. V globálním režimu jsou způsobilé naučené trasy dostupné prostředkům v každé oblasti VPC. Před jakoukoli změnou si přečtěte aktuální hodnotu, protože oblastní režim je výchozí. Nastavení sídlí na síti, ne na tunelu ani na routeru.

Inventarizační příkaz je jen pro čtení a odpovídá na to jedním řádkem:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Spusťte ho v hostitelském projektu, když je VPC sdílená. Síť patří tomu projektu a role prohlížejícího v projektu zátěže nemusí konfiguraci směrování vůbec zobrazit. Rychlá odpověď ze špatného projektu je horší než žádná odpověď.

Změna je jeden příkaz a jeden směr

Přepnutí je úprava řídicí roviny pro celou VPC, ne obejití pro každý VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Je také jednosměrné, protože síť nastavenou na globální nelze vrátit na oblastní. Před spuštěním ještě jednou zkontrolujte název projektu a sítě, protože příkaz nežádá potvrzení. Změna si zaslouží poznámku o údržbě a schválení vlastníka sítě, ne rychlý experiment na sdílené VPC.

Každá přípojka Cloud Router, VPN a Interconnect v této síti zdědí nový rozsah najednou. To zahrnuje přípojky, které v žádosti o změnu nikdo nezmínil. Oblasti, které tuto trasu nikdy předtím neměly, ji začnou dostávat, jakmile změna vstoupí v platnost, a proto pro toto přepnutí neexistuje postupné zavádění.

Globální je rozsah, ne záruka

Způsobilost a preference stojí mimo rozsah. Trasa, která koliduje s konkrétnějším prefixem, prohrává výběr nejlepší cesty nebo je filtrována zásadou, se chová přesně jako dřív. Globální režim rozšiřuje, kde se trasa smí použít, ale nerozhoduje, která trasa vyhraje. Naučená trasa může být v rozsahu a přesto prohrát se statickou nebo konkrétnější cestou ve stejné VPC.

Tento rozdíl je důležitý, protože změnu režimu lze později snadno obvinit. Pokud evropská podsíť po přepnutí stále nemá trasu, otázka je, zda trasa existuje a je způsobilá, ne zda rozsah vstoupil v platnost. Konflikty prefixů a zdraví dalšího skoku jsou další dvě věci ke čtení.

Vzdálená strana ohlašuje také jinak

Chování ohlašování se řídí stejným nastavením. Při výchozím chování router v oblastním režimu ohlašuje podsítě své vlastní oblasti, zatímco globální režim ohlašuje podsítě VPC šířeji. Změna režimu tedy mění nejen to, co smějí používat vaše oblasti, ale i to, co instaluje vzdálená strana.

Vlastní seznam ohlašování se při změně režimu nerozšíří. Pokud místní router drží ručně psaný seznam rozsahů, evropský prefix v něm zůstává nepřítomný. Zpáteční cesta v tom případě zůstává nefunkční, i když odchozí trasa už existuje. Zkontrolujte, co nainstalovala vzdálená strana, ne co jste exportovali.

Co režim nikdy nespraví

Globální směrování neposkytuje přístup k veřejnému internetu, tranzit mezi nesouvisejícími VPC ani chybějící statické trasy. Nemění pravidla firewallu ani IAM, takže spojení odmítnuté zásadou zůstává odmítnuté.

Tyto poruchy vypadají zevnitř zátěže stejně a s rozsahem tras nemají nic společného.

Otestujte to ze vzdálené oblasti na skutečnou službu a poté potvrďte, že odpověď se vrací zamýšleným tunelem. Zaznamenejte režim, konfiguraci ohlašování a cíl, který jste testovali. Pokud test stále selhává, porovnejte tabulku BGP vzdáleného routeru se seznamem tras VPC, než na režim znovu sáhnete. Příští meziooblastní zpráva pak začíná od faktů, ne od změny režimu.