Miks AWS VGW alamvõrgu marsruut ei saa valida ühte VPN-tunnelit

Kaks Site-to-Site VPN-ühendust lõpevad ühel virtuaalsel privaatväraval ja kuulutavad välja sama haru prefiksi. Alamvõrgu marsruuditabelis on selle prefiksi jaoks üks kirje, mis osutab väravale, ja mitte ühtegi välja, mis nimetaks tunnelit. Seega toimub ühenduste vaheline eelistus kohas, mida konsool ei nimeta marsruutimiseks. Teadmine, milline kiht otsust omab, on vahe töötava varu ja mitte midagi tegeva muudatuse vahel.

Mängus on kaks kihti: VPC marsruut, mis ütleb, milline värav, ja värava enda tunneli valik. Nende segiajamine tekitab muudatusi, mis näivad marsruuditabelis õiged ja ei liiguta kunagi ühtki paketti.

Kaks kihti, mis näivad ühena

Alamvõrgu marsruut vastab ühele küsimusele: selle sihtkoha jaoks, milline kinnitus? Selle sihtmärk on virtuaalne privaatvärav ja selle meetrika võistleb ainult teiste marsruutidega samas tabelis. Miski selles kirjes ei erista tunnelit üks tunnelist kaks ega ühendust A ühendusest B. Täpsem prefiks on teine sihtkoha vaste, mitte peenem teevalik.

Värav vastab järgmisele küsimusele: selle prefiksi jaoks hoitavate tunnelite hulgas, milline kannab praegu liiklust. See otsus tuleb tunneli tervisest ja kliendi väravalt saadud BGP atribuutidest ning ei ilmu kunagi alamvõrgu marsruuditabelis.

Mida VGW tegelikult võrdleb

Tervis on esimene. Tunnel, mis on maas, või BGP sessioon, mis pole üles tulnud, kaotab enne, kui ühtki atribuuti uuritakse. Seetõttu ei muuda tee ettepoole lisamine ühendusel, mis juba ebaõnnestub, midagi.

Sama prefiksi sobivate teede hulgas eelistab AWS lühemat AS_PATH-i. Kui kaks teed on võrdse pikkusega, võrdleb see MED-i, sõltudes dokumenteeritud tingimusest tee esimese AS-i kohta. Lugege avaldatud järjekorda, mitte rahvajutu versiooni, sest rahvajutt jätab tavaliselt välja tervise sammu ja staatiliste marsruutide erandi. Üks tagajärg: kolm ettepoole lisamist varuühendusel teeb primaarse rangelt lühemaks ja see on tavaline viis eelistuse väljendamiseks.

Ettepoole lisamine ja millal see midagi ei tee

Ettepoole lisamine toimub kliendi värava väljuvates kuulutustes, mitte AWS-i sees. Lisate oma ASN-i kaks või kolm korda prefiksile, mida soovite, et AWS väldiks, ja siis näeb AWS selle ühenduse jaoks pikemat teed. Primaarne ühendus säilitab kuulutuse ilma ettepoole lisamiseta. Kui mõlemad ühendused kuulutavad samast ASN-ist sama arvu lisamistega, ei ole te mingit eelistust väljendanud.

Kontrollige pärast muudatust AWS-i poolel saadud teed. Lisamine, mis ei lahkunud kunagi kliendi seadmest, näeb välja täpselt nagu see, mille AWS eiras.

Staatilised marsruudid eiravad kogu argumenti

Kui ühendus kasutab staatilist marsruutimist, pole AS_PATH-i, mida pikendada. AWS dokumenteerib staatilised VPN marsruudid sama prefiksi jaoks BGP-ga õpitud marsruutidest prioriteetsematena, seega segatud disain ei käitu täielikult dünaamilisena. Otsustage esmalt marsruutimise tüüp, seejärel valige eelistuse mehhanism, mis selle jaoks olemas on.

Kahe staatilise ühendusega, mis kuulutavad sama prefiksit, on kasulik hoob prefiks: kuulutage soovitud ühendusel täpsemat vahemikku ja nõustuge, et muutsite seda, milline sihtkoht sobib, mitte seda, milline tee võidab.

Miks transiitvärav on teine vastus

Transiitvärav toetab võrdse kuluga mitmikteid üle VPN-kinnituste, seega kaks ühendust saavad liiklust jagada, selle asemel et üks seisaks varus. Sellel disainil on teistsugune rikke pind: vood jaotuvad tunnelite vahel ja ühe tunneli maandumine liigutab ainult osa koormusest. VGW retsepti kopeerimine transiitväravale või vastupidi tekitab ootusi, mida kumbki platvorm ei täida.

Valige mudel enne mehhanismi: aktiivne ja varu kinnitatud eelistusega, või aktiivne ja aktiivne ECMP-ga.

Mida pärast seadistamist kontrollida

Kinnitage neli asja järjekorras. Alamvõrgu tabel lahendab prefiksi endiselt kavandatud väravale. Värav loetleb mõlemad tunnelid üles. Välditaval ühendusel saadud AS_PATH on teisest pikem. Ja selle alamvõrgu eksemplarist pärit tegelik voog läbib oodatud tunnelit, jälgitud mõlemas otsas, mitte tuletatud rohelisest staatusest.

Seejärel käivitage kinnitatud ümberlülituse test ja jälgige, kuidas ellujäänud tee teenust kannab. Eelistus, mis eksisteerib ainult konfiguratsiooni diffis, ei ole veel eelistus.