GCP VPN marsruut töötab ainult ühes regioonis: kontrollige dünaamilist marsruutimist

USA töökoormus jõuab kontori prefiksini HA VPN-i kaudu probleemideta, samas kui sama VPC euroopa töökoormus ei saa üldse midagi. Selle marsruuditabelis pole selle prefiksi jaoks ühtegi kirjet, ükski tunnel pole maas ja ükski tulemüürireegel pole muutunud. Tunnel ja selle BGP-sessioon on mõlemas suunas terved. VPC, mis hõlmab regioone, ei ole sama asi kui selle õpitud marsruudid, mis hõlmavad regioone, ja just see lünk seletab kogu sümptomit.

Siin aetakse segi kaks omadust: kus asuvad alamvõrgud ja kus tohib õpitud järgmist hüpet kasutada.

Kust piirkondlik ulatus tuleb

Cloud Router paigaldab õpitud marsruudid ulatusega, mis järgib VPC dünaamilise marsruutimise režiimi. Piirkondlikus režiimis saavad ühes regioonis õpitud marsruuti kasutada ainult selle regiooni ressursid, mistõttu on Euroopa tabel tühi, mitte ei näita katkist järgmist hüpet. Globaalses režiimis muutuvad sobilikud õpitud marsruudid kättesaadavaks kõigi VPC regioonide ressurssidele. Lugege praegust väärtust enne millegi muutmist, sest piirkondlik on vaikeväärtus. Säte asub võrgus, mitte tunnelis ega ruuteris.

Inventuuri käsk on ainult lugemiseks ja vastab sellele ühe reaga:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Käivitage see hostprojektis, kui VPC on jagatud. Võrk kuulub sellele projektile ja töökoormuse projektis olev vaataja roll ei pruugi marsruutimise konfiguratsiooni üldse näidata. Kiire vastus valest projektist on halvem kui vastuse puudumine.

Muudatus on üks käsk ja üks suund

Ümberlülitamine on kogu VPC haldustasandi muudatus, mitte iga VM-i jaoks mõeldud mööraja: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. See on ka ühesuunaline, sest globaalseks seatud võrku ei saa piirkondlikuks tagasi viia. Kontrollige enne käivitamist veel kord projekti ja võrgu nime, sest käsk ei küsi kinnitust. Muudatus väärib hooldusmärget ja võrgu omaniku heakskiitu, mitte kiiret katset jagatud VPC-l.

Iga Cloud Routeri, VPN-i ja Interconnecti ühendus selles võrgus pärib uue ulatuse kohe. See hõlmab ühendusi, mida keegi muudatustaotluses ei maininud. Regioonid, kus seda marsruuti varem kunagi polnud, hakkavad seda saama niipea, kui muudatus jõustub, mistõttu selle lülituse jaoks etapiviisilist juurutust pole.

Globaalne on ulatus, mitte garantii

Sobilikkus ja eelistus on ulatusest eraldi. Marsruut, mis on vastuolus täpsema prefiksiga, kaotab parima tee valiku või filtreeritakse poliitikaga, käitub täpselt nagu enne. Globaalne režiim laiendab, kus marsruuti tohib kasutada, kuid ei otsusta, milline marsruut võidab. Õpitud marsruut võib olla ulatuses ja ikkagi kaotada staatilisele või täpsemale teele samas VPC-s.

See erinevus on oluline, sest režiimi muudatust on hiljem lihtne süüdistada. Kui Euroopa alamvõrgul pole pärast lülitust ikka marsruuti, on küsimus selles, kas marsruut on olemas ja sobilik, mitte selles, kas ulatus jõustus. Prefiksi konfliktid ja järgmise hüppe tervis on järgmised kaks asja, mida lugeda.

Kaugpool teatab samuti teisiti

Teatamiskäitumine järgib sama sätet. Vaikekäitumise korral teatab piirkondlikus režiimis ruuter oma regiooni alamvõrke, samas kui globaalne režiim teatab VPC alamvõrke laiemalt. Seega muudab režiimi muutmine mitte ainult seda, mida teie regioonid tohivad kasutada, vaid ka seda, mida kaugpool paigaldab.

Kohandatud teatamisnimekiri ei laiene, kui režiim muutub. Kui kohalikul ruuteril on käsitsi kirjutatud vahemike nimekiri, jääb Euroopa prefiks sellest puuduma. Tagasitee jääb sel juhul katki, kuigi väljuv marsruut on nüüd olemas. Kontrollige, mida kaugpool paigaldas, mitte seda, mida te eksportisite.

Mida režiim kunagi ei paranda

Globaalne marsruutimine ei anna avalikku internetiühendust, transiiti seostamata VPC-de vahel ega puuduvaid staatilisi marsruute. See ei muuda tulemüürireegleid ega IAM-i, seega poliitikaga tagasi lükatud ühendus jääb tagasi lükatuks.

Need tõrked näevad töökoormuse seest ühesugused välja ja neil pole marsruudi ulatusega mingit pistmist.

Testige kaugest regioonist päris teenuseni ja kinnitage seejärel, et vastus tuleb tagasi ettenähtud tunneli kaudu. Kirjutage üles režiim, teatamiskonfiguratsioon ja sihtkoht, mida testisite. Kui test ikka ebaõnnestub, võrrelge kaugruuteri BGP tabelit VPC marsruudiloendiga enne, kui režiimi uuesti puutute. Siis algab järgmine piirkondadevaheline aruanne faktidest, mitte režiimi muudatusest.