GCP-VPN-Route funktioniert nur in einer Region: dynamisches Routing prüfen

Die US-Workload erreicht das Büropräfix über das HA VPN ohne Probleme, während die europäische Workload im selben VPC gar nichts bekommt. Ihre Routingtabelle enthält keinen Eintrag für das Präfix, kein Tunnel ist ausgefallen, und keine Firewallregel wurde geändert. Der Tunnel und seine BGP-Sitzung sind in beide Richtungen gesund. Ein VPC, das Regionen umspannt, ist nicht dasselbe wie seine gelernten Routen, die Regionen umspannen, und genau diese Lücke erklärt das gesamte Symptom.

Hier werden zwei Eigenschaften verwechselt: wo die Subnetze liegen und wo ein gelernter nächster Hop verwendet werden darf.

Woher der regionale Geltungsbereich kommt

Cloud Router installiert gelernte Routen mit einem Geltungsbereich, der dem dynamischen Routingmodus des VPC folgt. Im regionalen Modus ist eine in einer Region gelernte Route nur für Ressourcen dieser Region nutzbar, deshalb ist die europäische Tabelle leer, statt einen defekten nächsten Hop zu zeigen. Im globalen Modus werden geeignete gelernte Routen für Ressourcen in jeder Region des VPC verfügbar. Lesen Sie den aktuellen Wert, bevor Sie etwas ändern, denn regional ist die Voreinstellung. Die Einstellung liegt am Netzwerk, nicht am Tunnel und nicht am Router.

Der Inventarbefehl ist schreibgeschützt und beantwortet das in einer Zeile:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Führen Sie ihn im Hostprojekt aus, wenn das VPC geteilt wird. Das Netzwerk gehört zu jenem Projekt, und eine Betrachterrolle im Workload-Projekt zeigt die Routingkonfiguration möglicherweise gar nicht an. Eine schnelle Antwort aus dem falschen Projekt ist schlimmer als keine Antwort.

Die Änderung ist ein Befehl und eine Richtung

Das Umschalten ist eine Bearbeitung der Steuerungsebene für das gesamte VPC, kein Workaround pro VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Es ist außerdem einseitig, weil ein auf global gesetztes Netzwerk nicht in den regionalen Modus zurückversetzt werden kann. Prüfen Sie Projekt- und Netzwerknamen noch einmal, bevor Sie ihn ausführen, denn der Befehl fragt nicht nach einer Bestätigung. Die Änderung verdient einen Wartungsvermerk und die Zustimmung des Netzwerkeigentümers statt eines schnellen Experiments an einem geteilten VPC.

Jede Cloud Router-, VPN- und Interconnect-Anbindung in diesem Netzwerk erbt den neuen Geltungsbereich sofort. Das schließt die Anbindungen ein, die niemand im Änderungsantrag erwähnt hat. Regionen, die die Route vorher nie hatten, empfangen sie, sobald die Änderung greift, deshalb gibt es für diesen Wechsel keine stufenweise Einführung.

Global ist ein Geltungsbereich, keine Garantie

Eignung und Präferenz sind vom Geltungsbereich getrennt. Eine Route, die mit einem spezifischeren Präfix kollidiert, die Bestpath-Auswahl verliert oder durch Policy gefiltert wird, verhält sich genau wie zuvor. Der globale Modus erweitert, wo eine Route verwendet werden darf, entscheidet aber nicht, welche Route gewinnt. Eine gelernte Route kann im Geltungsbereich liegen und trotzdem gegen einen statischen oder spezifischeren Pfad im selben VPC verlieren.

Diese Unterscheidung ist wichtig, weil die Modusänderung später leicht zum Sündenbock wird. Wenn das europäische Subnetz nach dem Wechsel immer noch keine Route hat, ist die Frage, ob die Route existiert und geeignet ist, nicht ob der Geltungsbereich wirksam wurde. Präfixkonflikte und der Zustand des nächsten Hops sind die nächsten beiden Dinge, die zu lesen sind.

Die Gegenseite kündigt ebenfalls anders an

Das Ankündigungsverhalten folgt derselben Einstellung. Beim Standardverhalten kündigt ein Router im regionalen Modus die Subnetze seiner eigenen Region an, während der globale Modus die Subnetze des VPC breiter ankündigt. Eine Modusänderung ändert daher nicht nur, was Ihre eigenen Regionen nutzen dürfen, sondern auch, was die Gegenseite installiert.

Eine benutzerdefinierte Ankündigungsliste erweitert sich nicht, wenn der Modus wechselt. Hält der lokale Router eine handschriftliche Liste von Bereichen, bleibt das europäische Präfix darin absent. Der Rückweg bleibt in diesem Fall defekt, obwohl die ausgehende Route nun existiert. Prüfen Sie, was die Gegenseite installiert hat, statt was Sie exportiert haben.

Was der Modus nie reparieren wird

Globales Routing gewährt keinen Zugang zum öffentlichen Internet, keinen Transit zwischen unverbundenen VPCs und keine fehlenden statischen Routen. Es ändert weder Firewallregeln noch IAM, daher bleibt eine durch Policy abgelehnte Verbindung abgelehnt.

Diese Fehler sehen aus einer Workload heraus gleich aus und haben nichts mit dem Routen-Geltungsbereich zu tun.

Testen Sie aus der fernen Region zum echten Dienst und bestätigen Sie dann, dass die Antwort über den vorgesehenen Tunnel zurückkommt. Notieren Sie den Modus, die Ankündigungskonfiguration und das getestete Ziel. Wenn der Test weiterhin fehlschlägt, vergleichen Sie die BGP-Tabelle des fernen Routers mit der Routenliste des VPC, bevor Sie den Modus erneut anfassen. Dann beginnt der nächste regionsübergreifende Bericht mit Fakten statt mit einer Modusänderung.