BGP-anoncoj de VGW kontraŭ la VPC-enkursigilo: kio ŝanĝas kion

Mankanta prefikso en VPC-subreta enkursigilo kaj mankanta prefikso sur la klienta enkursigilo estas du malsamaj paneoj, kaj nur unu el ili estas riparata ene de la AWS-enkursigiloj. La virtuala privata enirejo anoncas la CIDR-blokojn asociitajn kun sia VPC; la subreta enkursigilo decidas, kien labŝarĝo sendas respondon. Trakti la duan kiel rimedon ŝanĝi la unuan estas la plej ofta malĝusta turno en ĉi tiu diagnozo. Rulu la subajn kontrolojn laŭorde kaj tenu la du direktojn apartaj.

Nomu la aliĝon antaŭ ol legi iun ajn tabelon

Site-to-Site VPN finiĝas aŭ ĉe virtuala privata enirejo aŭ ĉe traira enirejo, kaj la rimedaj ID-oj decidas, kiun enkursigan modelon apliki. Legu ilin unue: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. La respondo diras al vi, ĉu la sekva tabelo inspektenda estas VPC-enkursigilo aŭ traira-enireja enkursigilo.

Se la VPN estas alkroĉita al traira enirejo, ĉesu trakti la VPC-enkursigilon kiel la regan ebenon. Tie la VPC-tabelo montras al la enireja aliĝo, kaj asociiĝo kaj propagado okazas en la traira-enireja enkursigilo. Miksi la du vidpunktojn produktas memfidajn konkludojn pri la malĝusta objekto.

La direkto de AWS al la oficejo estas anonco

Por VGW-aliĝo, la enirejo anoncas la CIDR-blokojn asociitajn kun sia VPC al la klienta enirejo per BGP. Aldoni unuopan subretan itineron, aŭ direkti itineron al para VPC aŭ al aparato, ne aldonas alian asociitan CIDR kaj ne aperas en tiu anonco. Se la oficejo mankas prefikson, komparu la ricevitan itinerliston kun la VPC-asocioj antaŭ ol redakti iun ajn enkursigilon.

La simpla regulo havas esceptojn, do tenu ĝin en sia kadro. VPN CloudHub-aranĝo povas reanonci retejajn prefiksojn inter klientaj enirejoj, kaj traira enirejo sekvas siajn proprajn propagadaj regulojn. La aserto, ke VGW anoncas nur sian propran VPC, estas utila implicita defaŭlto, ne leĝo kovranta ĉiun topologion, kiun vi renkontos.

La direkto de la oficejo al AWS estas propagado plus elekto

En la mala direkto la VGW lernas la oficejan prefikson, sed tio sola ne movas labŝarĝon. La subreta enkursigilo devas aŭ havi propagadon ŝaltitan por la aliĝo aŭ porti statikan itineron al la sama celo. Kiam ambaŭ ekzistas por unu prefikso, la statika itinero gajnas, kaj la plej longa prefiksa kongruo ruliĝas antaŭ ambaŭ.

Legu la originon anstataŭ supozi ĝin: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Ero kun origino EnableVgwRoutePropagation venis de BGP; eron kun origino CreateRoute tajpis homo kaj ĝi daŭre gajnos ĝis iu forigos ĝin.

Runlibro, kiu tenas la du direktojn apartaj

Notu kvar faktojn ĉe la AWS-flanko antaŭ ol ŝanĝi ion: la aliĝan tipon, la asociitajn VPC-CIDR-ojn, la originon de la subreta itinero por la koncerna prefikso, kaj la staton de la tunelo kaj de BGP. La sama describe-alvoko redonas VgwTelemetry kun nombro de akceptitaj itineroj po tunelo, kio diras al vi, ĉu AWS entute akceptis itinerojn. Poste komparu tion kun tio, kion la klienta aparato efektive instalis. Prefikso ĉeesta en BGP sed foresta el la plusenda tabelo estas loka importa aŭ plejbona voja problemo, ne AWS-enkursigila problemo.

Se la subreta tabelo tute mankas la prefikson, ŝaltu propagadon aŭ aldonu statikan itineron, poste relegu la saman mendon post la propagada intervalo anstataŭ supozi, ke la ŝanĝo tuj efikis. Se la prefikso ekzistas kaj trafiko ankoraŭ malsukcesas, lasu la regan ebenon trankvila kaj moviĝu al la datenvojo.

Kion ne ŝanĝi dum vi estas tie

Ne ŝaltu propagadon sur nerilataj enkursigiloj por ripari unu mankan prefikson, kaj ne aldonu defaŭltan itineron por kaŝi unu forestan CIDR-on. Ambaŭ ŝanĝoj larĝigas la efikaron kaj malfaciligas la sekvan diagnozon. Limigu la redakton al la tabelo, kiu servas la koncernan labŝarĝan subreton.

La datenvojo estas aparta de ĉio ĉi. Sekurecaj grupoj estas stataj, retaj ACL-oj ne, kaj gastiga fajroŝirmilo aŭ nesimetria revena vojo povas forĵeti trafikon, kiun enkursigado ĝuste liveris. Anoncita agregato ankaŭ ne rajtigas ĉiun servon interne, do limigu aliron ĉe la politika limo anstataŭ fidi, ke adreso hazarde aperas en BGP-anonco.

Konservu la antaŭon kaj poston de ĉiu enkursigila mendo en la ŝanĝa registro. Se la ŝanĝo plimalbonigas la aferojn, restarigu la antaŭajn itinerojn kaj konfirmu per la sama mendo, ĉar restarigo, kiun vi ne povas kontroli, estas nur konjekto.