Inzeráty BGP z VGW versus směrovací tabulka VPC: co co mění

Chybějící předpona ve směrovací tabulce podsítě VPC a chybějící předpona na routeru zákazníka jsou dvě různé závady a uvnitř směrovacích tabulek AWS se opravuje jen jedna z nich. Virtuální privátní brána inzeruje bloky CIDR přidružené k její VPC; směrovací tabulka podsítě rozhoduje, kam pracovní zátěž pošle odpověď. Považovat druhé za způsob, jak změnit první je nejčastější špatné odbočení v této diagnostice. Proveďte níže uvedené kontroly v pořadí a držte oba směry oddělené.

Než začnete číst jakoukoli tabulku, pojmenujte přípojku

VPN Site-to-Site končí buď na virtuální privátní bráně, nebo na tranzitní bráně, a ID prostředků rozhodují, který model směrování platí. Přečtěte je nejprve: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Odpověď vám řekne, zda je další tabulkou ke kontrole směrovací tabulka VPC, nebo směrovací tabulka tranzitní brány.

Pokud je VPN připojena k tranzitní bráně, přestaňte směrovací tabulku VPC považovat za řídicí rovinu. Tam tabulka VPC ukazuje na přípojku brány a přidružení a propagace probíhají ve směrovací tabulce tranzitní brány. Míchání obou pohledů vede k sebevědomým závěrům o špatném objektu.

Směr z AWS do kanceláře je inzerát

U přípojky VGW brána inzeruje bloky CIDR přidružené k její VPC zákaznické bráně přes BGP. Přidání jednotlivé trasy podsítě nebo nasměrování trasy na partnerskou VPC či na zařízení nepřidá další přidružený CIDR a v tomto inzerátu se neobjeví. Pokud kanceláři předpona chybí, porovnejte seznam přijatých tras s přidruženími VPC, než začnete upravovat jakoukoli směrovací tabulku.

Jednoduché pravidlo má výjimky, proto je držte v jeho rozsahu. Uspořádání VPN CloudHub může znovu inzerovat předpony lokalit mezi zákaznickými branami a tranzitní brána se řídí vlastními pravidly propagace. Tvrzení, že VGW inzeruje pouze svou vlastní VPC, je užitečný výchozí předpoklad, ne zákon pokrývající každou topologii, na kterou narazíte.

Směr z kanceláře do AWS je propagace plus výběr

V opačném směru se VGW naučí předponu kanceláře, ale to samo o sobě pracovní zátěž nepřesune. Směrovací tabulka podsítě musí mít buď zapnutou propagaci pro přípojku, nebo nést statickou trasu ke stejnému cíli. Když pro jednu předponu existují obě, vyhrává statická trasa a shoda nejdelší předpony se provede před oběma.

Čtěte původ, místo abyste ho předpokládali: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Záznam s původem EnableVgwRoutePropagation přišel z BGP; záznam s původem CreateRoute napsal člověk a bude vyhrávat, dokud ho někdo nesmaže.

Runbook, který drží oba směry oddělené

Než cokoli změníte, zapište si na straně AWS čtyři skutečnosti: typ přípojky, přidružené bloky CIDR VPC, původ trasy podsítě pro dotčenou předponu a stav tunelu a BGP. Stejné volání describe vrací VgwTelemetry s počtem přijatých tras na tunel, což vám řekne, zda AWS vůbec nějaké trasy přijala. Potom to porovnejte s tím, co zákaznické zařízení skutečně nainstalovalo. Předpona přítomná v BGP, ale chybějící v předávací tabulce, je problém místního importu nebo nejlepší cesty, ne problém směrovací tabulky AWS.

Pokud tabulce podsítě předpona zcela chybí, zapněte propagaci nebo přidejte statickou trasu a poté znovu přečtěte stejný dotaz po intervalu propagace, místo abyste předpokládali, že změna byla okamžitá. Pokud předpona existuje a provoz stále selhává, nechte řídicí rovinu být a přejděte na datovou cestu.

Co tam neměnit

Nepřepínejte propagaci na nesouvisejících směrovacích tabulkách, abyste opravili jednu chybějící předponu, a nepřidávejte výchozí trasu, abyste zakryli jeden chybějící CIDR. Obě změny rozšiřují dopad a ztěžují další diagnostiku. Omezte úpravu na tabulku, která obsluhuje dotčenou podsíť pracovní zátěže.

Datová cesta je od toho všeho oddělená. Skupiny zabezpečení jsou stavové, síťové ACL nikoli, a hostitelský firewall nebo asymetrická zpáteční cesta mohou zahodit provoz, který směrování doručilo správně. Inzerovaný agregát také neopravňuje každou službu v něm, proto omezujte přístup na hranici zásad, místo abyste se spoléhali na to, zda se adresa náhodou objeví v inzerátu BGP.

Uložte stav před a po každém dotazu na směrovací tabulku do záznamu změn. Pokud změna situaci zhorší, obnovte předchozí trasy a potvrďte to stejným dotazem, protože vrácení, které nemůžete ověřit, je jen odhad.