GCP VPN-itinero funkcias nur en unu regiono: kontrolu dinamikan enkursigon

La usona laborŝarĝo atingas la oficejan prefikson tra la HA VPN sen problemo, dum la eŭropa laborŝarĝo en la sama VPC ricevas nenion entute. Ĝia itinera tabelo enhavas nenian rikordon por la prefikso, neniu tunelo estas malsupra, kaj neniu fajroŝirma regulo ŝanĝiĝis. La tunelo kaj ĝia BGP-kunsido estas sanaj en ambaŭ direktoj. VPC, kiu etendiĝas trans regionojn, ne estas la sama afero kiel ĝiaj lernitaj itineroj etendiĝantaj trans regionojn, kaj ĝuste tiu breĉo klarigas la tutan simptomon.

Ĉi tie oni konfuzas du ecojn: kie loĝas la subretoj, kaj kie rajtas esti uzata lernita sekva salto.

De kie venas la regiona amplekso

Cloud Router instalas lernitajn itinerojn kun amplekso, kiu sekvas la dinamikan enkursigan reĝimon de la VPC. En la regiona reĝimo, itinero lernita en unu regiono estas uzebla nur de la rimedoj de tiu regiono, kaj tial la eŭropa tabelo estas malplena anstataŭ montri rompitan sekvan salton. En la tutmonda reĝimo, taŭgaj lernitaj itineroj fariĝas disponeblaj al rimedoj en ĉiu regiono de la VPC. Legu la nunan valoron antaŭ ol ŝanĝi ion ajn, ĉar la regiona estas la defaŭlta. La agordo troviĝas sur la reto, ne sur la tunelo kaj ne sur la enkursigilo.

La inventara komando estas nurlegebla kaj respondas tion per unu linio:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Rulu ĝin en la gastiga projekto, kiam la VPC estas komuna. La reto apartenas al tiu projekto, kaj spektanta rolo en la laborŝarĝa projekto eble eĉ ne montros la enkursigan agordon. Rapida respondo el la malĝusta projekto estas pli malbona ol neniu respondo.

La ŝanĝo estas unu komando kaj unu direkto

La ŝaltado estas redakto de la rega ebeno por la tuta VPC, ne ĉirkaŭvojo por ĉiu VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Ĝi ankaŭ estas unudirekta, ĉar reto agordita al tutmonda ne povas esti revenigita al regiona. Kontrolu la projekton kaj la retan nomon ankoraŭfoje antaŭ ol ruli ĝin, ĉar la komando ne petas konfirmon. La ŝanĝo meritas prizorgan noton kaj la aprobon de la reta posedanto, ne rapidan eksperimenton sur komuna VPC.

Ĉiu Cloud Router, VPN kaj Interconnect aliĝo en tiu reto heredas la novan amplekson tuj. Tio inkluzivas la aliĝojn, kiujn neniu menciis en la ŝanĝa peto. Regionoj, kiuj neniam antaŭe havis la itineron, komencas ricevi ĝin tuj kiam la ŝanĝo validiĝos, kaj tial por ĉi tiu ŝaltado ne ekzistas laŭgrada enkonduko.

Tutmonda estas amplekso, ne garantio

Taŭgeco kaj prefero estas apartaj de amplekso. Itinero, kiu konfliktas kun pli specifa prefikso, perdas la elekton de la plej bona vojo aŭ estas filtrita de politiko, kondutas ĝuste kiel antaŭe. La tutmonda reĝimo vastigas, kie itinero rajtas esti uzata, sed ne decidas, kiu itinero venkas. Lernita itinero povas esti ene de amplekso kaj tamen perdi al statika aŭ pli specifa vojo en la sama VPC.

Tiu distingo gravas, ĉar la reĝima ŝanĝo estas facile kulpigebla poste. Se la eŭropa subreto ankoraŭ havas neniun itineron post la ŝaltado, la demando estas, ĉu la itinero ekzistas kaj estas taŭga, ne ĉu la amplekso validiĝis. Prefiksaj konfliktoj kaj la sano de la sekva salto estas la sekvaj du aferoj por legi.

La malproksima flanko anoncas ankaŭ alimaniere

La anonca konduto sekvas la saman agordon. Ĉe la defaŭlta konduto, enkursigilo en regiona reĝimo anoncas la subretojn de sia propra regiono, dum la tutmonda reĝimo anoncas la subretojn de la VPC pli vaste. Do ŝanĝi la reĝimon ŝanĝas ne nur tion, kion viaj regionoj rajtas uzi, sed ankaŭ tion, kion instalas la malproksima flanko.

Propra anonca listo ne etendiĝas, kiam la reĝimo ŝanĝiĝas. Se la loka enkursigilo tenas permane skribitan liston de intervaloj, la eŭropa prefikso restas forestanta el ĝi. La revena vojo restas rompita en tiu kazo, kvankam la elira itinero nun ekzistas. Kontrolu, kion instalis la malproksima flanko, anstataŭ kion vi eksportis.

Kion la reĝimo neniam riparos

Tutmonda enkursigado ne donas aliron al la publika interreto, transiron inter nerilataj VPC-oj nek mankantajn statikajn itinerojn. Ĝi ne ŝanĝas fajroŝirmajn regulojn aŭ IAM, do konekto rifuzita de politiko restas rifuzita.

Tiuj fiaskoj aspektas same de interne de laborŝarĝo kaj havas nenion komunan kun itinera amplekso.

Testu de la malproksima regiono al la reala servo, poste konfirmu, ke la respondo revenas tra la celita tunelo. Notu la reĝimon, la anoncan agordon kaj la celon, kiun vi testis. Se la testado ankoraŭ malsukcesas, komparu la BGP-tabelon de la malproksima enkursigilo kun la itinerlisto de la VPC antaŭ ol denove tuŝi la reĝimon. Tiam la sekva transregiona raporto komenciĝas de faktoj, ne de reĝima ŝanĝo.