La ruta de GCP VPN solo funciona en una región: revise el enrutamiento dinámico

La carga de trabajo estadounidense llega al prefijo de la oficina por la HA VPN sin problema, mientras que la carga europea en la misma VPC no recibe nada en absoluto. Su tabla de rutas no contiene ninguna entrada para el prefijo, ningún túnel está caído y ninguna regla de cortafuegos ha cambiado. El túnel y su sesión BGP están sanos en ambos sentidos. Una VPC que abarca regiones no es lo mismo que sus rutas aprendidas que abarcan regiones, y esa brecha explica todo el síntoma.

Aquí se confunden dos propiedades: dónde viven las subredes y dónde se puede usar un siguiente salto aprendido.

De dónde viene el alcance regional

Cloud Router instala las rutas aprendidas con un alcance que sigue el modo de enrutamiento dinámico de la VPC. En modo regional, una ruta aprendida en una región solo la pueden usar los recursos de esa región, por eso la tabla europea está vacía en lugar de mostrar un siguiente salto roto. En modo global, las rutas aprendidas elegibles pasan a estar disponibles para los recursos de cada región de la VPC. Lea el valor actual antes de cambiar nada, porque el regional es el predeterminado. El ajuste vive en la red, no en el túnel ni en el enrutador.

El comando de inventario es de solo lectura y lo responde en una línea:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Ejecútelo en el proyecto anfitrión cuando la VPC sea compartida. La red pertenece a ese proyecto, y un rol de visor en el proyecto de carga puede que ni siquiera muestre la configuración de enrutamiento. Una respuesta rápida del proyecto equivocado es peor que ninguna respuesta.

El cambio es un comando y una dirección

El cambio es una edición del plano de control en toda la VPC, no un rodeo por VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. También es unidireccional, porque una red configurada como global no puede volver a regional. Compruebe una vez más el nombre del proyecto y de la red antes de ejecutarlo, ya que el comando no pide confirmación. El cambio merece una nota de mantenimiento y la aprobación del propietario de la red, no un experimento rápido en una VPC compartida.

Cada conexión de Cloud Router, VPN e Interconnect de esa red hereda el nuevo alcance de inmediato. Eso incluye las conexiones que nadie mencionó en la solicitud de cambio. Las regiones que nunca antes tenían la ruta empiezan a recibirla en cuanto el cambio entra en vigor, por eso no hay un despliegue por etapas para este cambio.

Global es un alcance, no una garantía

La elegibilidad y la preferencia son independientes del alcance. Una ruta que entra en conflicto con un prefijo más específico, pierde la selección de mejor ruta o es filtrada por la política se comporta exactamente como antes. El modo global amplía dónde se puede usar una ruta, pero no decide qué ruta gana. Una ruta aprendida puede estar dentro del alcance y aun así perder frente a una ruta estática o más específica en la misma VPC.

Esa distinción importa porque el cambio de modo es fácil de culpar más adelante. Si la subred europea sigue sin ruta después del cambio, la pregunta es si la ruta existe y es elegible, no si el alcance entró en vigor. Los conflictos de prefijos y la salud del siguiente salto son las dos cosas siguientes que hay que leer.

El lado remoto también anuncia de forma distinta

El comportamiento de anuncio sigue el mismo ajuste. Con el comportamiento predeterminado, un enrutador en modo regional anuncia las subredes de su propia región, mientras que el modo global anuncia las subredes de la VPC de forma más amplia. Por eso cambiar el modo cambia no solo lo que pueden usar sus regiones, sino también lo que instala el lado remoto.

Una lista de anuncios personalizada no se amplía cuando cambia el modo. Si el enrutador local mantiene una lista de rangos escrita a mano, el prefijo europeo sigue ausente de ella. La ruta de retorno sigue rota en ese caso aunque la ruta de salida ya exista. Compruebe lo que instaló el lado remoto en lugar de lo que exportó.

Lo que el modo nunca reparará

El enrutamiento global no concede acceso a internet público, tránsito entre VPC no relacionadas ni rutas estáticas que falten. No altera las reglas de cortafuegos ni IAM, así que una conexión rechazada por la política sigue rechazada.

Esos fallos se ven igual desde dentro de una carga de trabajo y no tienen nada que ver con el alcance de las rutas.

Pruebe desde la región remota hacia el servicio real y luego confirme que la respuesta vuelve por el túnel previsto. Anote el modo, la configuración de anuncios y el destino que probó. Si la prueba sigue fallando, compare la tabla BGP del enrutador remoto con la lista de rutas de la VPC antes de tocar el modo de nuevo. Así el siguiente informe entre regiones empieza con hechos y no con un cambio de modo.