Hysbysiadau BGP VGW yn erbyn tabl llwybrau VPC: beth sy'n newid beth

Mae rhagddodiad coll mewn tabl llwybrau is-rwydwaith VPC a rhagddodiad coll ar lwybrydd y cwsmer yn ddau fai gwahanol, a dim ond un ohonynt sy'n cael ei drwsio y tu mewn i dablau llwybrau AWS. Mae'r porth preifat rhithwir yn hysbysebu'r blociau CIDR sy'n gysylltiedig â'i VPC; mae tabl llwybrau'r is-rwydwaith yn penderfynu ble mae llwyth gwaith yn anfon ateb. Trin yr ail fel ffordd i newid y cyntaf yw'r tro chwith mwyaf cyffredin yn y diagnosis hwn. Rhedwch y gwiriadau isod mewn trefn a chadwch y ddau gyfeiriad ar wahân.

Enwch y cysylltiad cyn darllen unrhyw dabl

Mae VPN o safle i safle yn gorffen naill ai ar borth preifat rhithwir neu ar borth cludo, ac mae IDau adnoddau yn penderfynu pa fodel llwybro sy'n berthnasol. Darllenwch nhw gyntaf: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Mae'r ateb yn dweud wrthych a yw'r tabl nesaf i'w archwilio yn dabl llwybrau VPC neu'n dabl llwybrau porth cludo.

Os yw'r VPN ynghlwm wrth borth cludo, stopiwch drin tabl llwybrau VPC fel yr awyren reoli. Yno mae tabl VPC yn pwyntio at gysylltiad y porth, ac mae cysylltiad a lledaeniad yn digwydd yn nhabl llwybrau'r porth cludo. Mae cymysgu'r ddau olygfa yn cynhyrchu casgliadau hyderus am y gwrthrych anghywir.

Cyfeiriad AWS i'r swyddfa yw hysbysiad

Ar gyfer cysylltiad VGW, mae'r porth yn hysbysebu'r blociau CIDR sy'n gysylltiedig â'i VPC i borth y cwsmer dros BGP. Nid yw ychwanegu llwybr is-rwydwaith unigol, na phwyntio llwybr at VPC cymar neu at declyn, yn ychwanegu CIDR cysylltiedig arall ac nid yw'n ymddangos yn y hysbysiad hwnnw. Os yw'r swyddfa'n colli rhagddodiad, cymharwch y rhestr o lwybrau a dderbyniwyd â chysylltiadau VPC cyn golygu unrhyw dabl llwybrau.

Mae gan y rheol syml eithriadau, felly cadwch hi o fewn ei chwmpas. Gall trefniant VPN CloudHub ail-hysbysebu rhagddodiadau safle rhwng pyrth cwsmer, ac mae porth cludo yn dilyn ei reolau lledaeniad ei hun. Mae'r datganiad bod VGW yn hysbysebu dim ond ei VPC ei hun yn ddiofyn defnyddiol, nid yn gyfraith sy'n cwmpasu pob topoleg y byddwch yn ei chyfarfod.

Cyfeiriad y swyddfa i AWS yw lledaeniad ynghyd â detholiad

Yn y cyfeiriad gwrthdro mae'r VGW yn dysgu rhagddodiad y swyddfa, ond nid yw hynny ar ei ben ei hun yn symud llwyth gwaith. Rhaid i dabl llwybrau'r is-rwydwaith naill ai fod â lledaeniad wedi'i alluogi ar gyfer y cysylltiad neu gario llwybr statig i'r un cyrchfan. Pan fydd y ddau yn bodoli ar gyfer un rhagddodiad, y llwybr statig sy'n ennill, ac mae'r cyfateb rhagddodiad hiraf yn rhedeg o flaen y naill a'r llall.

Darllenwch y tarddiad yn hytrach na'i dybio: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Daeth cofnod â tharddiad EnableVgwRoutePropagation o BGP; cafodd cofnod â tharddiad CreateRoute ei deipio gan berson a bydd yn parhau i ennill nes i rywun ei ddileu.

Runbook sy'n cadw'r ddau gyfeiriad ar wahân

Cofnodwch bedwar ffaith ar ochr AWS cyn newid unrhyw beth: math y cysylltiad, blociau CIDR cysylltiedig y VPC, tarddiad llwybr yr is-rwydwaith ar gyfer y rhagddodiad dan sylw, a chyflwr y tiwnel a BGP. Mae'r un alwad describe yn dychwelyd VgwTelemetry gyda chyfrif llwybrau a dderbyniwyd fesul tiwnel, sy'n dweud wrthych a dderbyniodd AWS unrhyw lwybrau o gwbl. Yna cymharwch hynny â'r hyn a osododd y ddyfais cwsmer mewn gwirionedd. Mae rhagddodiad sy'n bresennol yn BGP ond yn absennol o'r tabl anfon yn broblem mewnforio lleol neu lwybr gorau, nid yn broblem tabl llwybrau AWS.

Os yw tabl yr is-rwydwaith yn colli'r rhagddodiad yn gyfan gwbl, galluogwch ledaeniad neu ychwanegwch lwybr statig, yna darllenwch yr un ymholiad eto ar ôl y cyfnod lledaeniad yn hytrach na thybio bod y newid wedi bod yn syth. Os yw'r rhagddodiad yn bodoli ac mae traffig yn dal i fethu, gadewch i'r awyren reoli fod a symudwch i lwybr y data.

Beth i beidio â'i newid tra byddwch yno

Peidiwch â throi lledaeniad ar dablau llwybrau di-gysylltiad i drwsio un rhagddodiad coll, a pheidiwch ag ychwanegu llwybr diofyn i guddio un CIDR absennol. Mae'r ddau newid yn lledu'r effaith ac yn gwneud y diagnosis nesaf yn anoddach. Cadwch y golygiad yn gyfyngedig i'r tabl sy'n gwasanaethu is-rwydwaith y llwyth gwaith dan sylw.

Mae llwybr y data ar wahân i hyn i gyd. Mae grwpiau diogelwch yn gyflwr, nid yw ACLau rhwydwaith, a gall wal dân gwesteiwr neu lwybr dychwelyd anghymesur ollwng traffig a wnaeth llwybro ei ddanfon yn gywir. Nid yw agreg a hysbysebwyd yn awdurdodi pob gwasanaeth y tu mewn iddo chwaith, felly cyfyngwch fynediad ar y ffin polisi yn hytrach na dibynnu ar a yw cyfeiriad yn digwydd ymddangos mewn hysbysiad BGP.

Cadwch y cyn a'r ar ôl o bob ymholiad tabl llwybrau yn y cofnod newid. Os yw'r newid yn gwneud pethau'n waeth, adferwch y llwybrau blaenorol a chadarnhewch gyda'r un ymholiad, oherwydd nid yw adferiad na allwch ei wirio yn ddim ond dyfalu.