Zergatik ez den zure BGP saioa VPCaren bideratze-taulan agertzen

Errepikatzen den istorioa da EC2 VPN gailu bateko bideratze-demonio batek VPCari bere urruneko aurrizkiak irakatsiko dizkiola, BGP altxatzean. Horren erdia egia da. Saioa altxatzen da, eta horren ondorioz ezer ez da aldatzen VPCaren bideratze-taulan, eta horregatik lehen sintoma normalean azpisare bat izaten da, trafikoa isilpean zulo beltz batera botatzen duena.

Hemen bi gauza desberdin nahasten dira: bideratze-zerbitzari batekin parekatzea eta taula batean ibilbideak instalatzea.

Mitoa: altxatu BGP eta VPCak aurrizkiak ikasiko ditu

BGP bi hiztunen arteko elkarrizketa da, eta diseinu honetan hiztunak zure gailuko bideratze-demonioa eta AWSek zurea den azpisare batean jartzen duen VPC Route Server mutur-puntua dira. Elkarrizketa horrek aurrizkiak eramaten ditu. Ez dio ukitzen zure karga-azpisareen bideratze-taulari, taula horiek bakoitzean gaitu behar den hedapenaren bidez bakarrik ikasten dutelako. Hori gertatu arte, VPCaren ehunak ez daki ezer gailuak dakienari buruz.

Konfigurazio-urratsak bereizita daude arrazoi batengatik: elkartu, mutur-puntua sortu, parekatu, eta gero hedapena gaitu.

Route Server kontrol-planoa da, ez tunel bat

Route Serverrek ez du pakete bakar bat ere zifratzen, birbidaltzen edo ikuskatzen. Gailuarekin BGP trukatzeko eta lortutako aurrizkiak jasotzeko konfiguratuta dauden bideratze-taulei emateko dago. Datu-planoa ez da aldatzen: paketeek gailuaren sare-interfazetik ateratzen jarraitzen dute, haren VPNetik bidaiatzen dute eta bide beretik itzultzen dira.

Horrek esan nahi du birbidaltze-instantziako iturri eta helmugaren egiaztapenak oraindik garrantzia duela, instantziak orain beste norbaiteri zuzendutako trafikoa birbidaltzen duelako.

Segurtasun-taldeak eta azpisare-kontrolak birbidalitako fluxuari ere aplikatzen zaizkio. Route Serverrek ez du trafikoa botatzen duen gailu bat hura birbidaltzera behartuko, ezta urruneko aldean falta den itzulera-ibilbide bat konponduko ere.

Hedapena bideratze-taula bakoitzeko da, ez VPC osorako

Bideratze-zerbitzaria VPCarekin elkartzea eta bideratze-taula batean hedapena gaitzea bi erabaki dira, eta bigarrenak bakarrik aldatzen du azpisare batek egiten duena. Sei bideratze-taula dituen VPC batek aurrizki hedatua taula batean jaso dezake eta beste bostetan ez, eta hori zehazki da zuzena hub azpisare batentzat eta zehazki da «erdiz egiten du lan» emaitza nahasia sortzen duena. Hedapena aktibo dagoen tokietan ere, ibilbide lehiakide batek irabaz dezake, VPCaren ibilbide-hautaketak aurrizkirik luzeena hobesten duelako eta luzera berean ibilbide estatikoa hedatutakoaren aurretik jartzen duelako. Lehentasun hori isilpean aplikatzen da.

Egiaztatu azpisare zehatzaren taula eraginkorra, gailuak iragartzen dituen aurrizkien zerrendaren ordez. APIak zuzenean erantzuten dio galdera horri: aws ec2 associate-route-server eta aws ec2 enable-route-server-propagation --route-table-id <id> ahazten diren bi urratsak dira, eta aws ec2 describe-route-tables --route-table-ids <id> erakusten du aurrizkia route server sarrera gisa iritsi den ala ez.

Gailuak pakete guztiak daramatza oraindik

Irisgarritasuna iragartzea ez da hura izatea bezalakoa. BGP saioa ezarrita egon daiteke gailuaren VPNa behera dagoen bitartean, eta inoiz aldatzen ez den iragarki estatikoak trafikoa bide hilera bultzatzen jarraitzen du. Route Serverrek BFD bezalako hutsegite-detekzioa onartzen du, baina horrek parekidearen bizitasuna probatzen du, ez haren atzean dagoen guztiaren osasuna.

Lotu iragarkia benetako urruneko ibilbideari: iragarri aurrizkia tunela eta urruneko sarea martxan daudenean, eta erretiratu ez daudenean.

Erretiratu aurrizki bat eta ikusi zer gertatzen den

Probatu etapaka, eta egin azken etapa kentze bat. Egiaztatu iragarkia iristen dela, aurrizkia aurreikusitako taula bakoitzean agertzen dela, gailua hurrengo jauzia dela, birbidaltzeak tunel aktiboa zeharkatzen duela eta urruneko muturrak erantzuten duela. Ondoren erretiratu probako aurrizki bat, edo itxi onartutako tunel bat, eta behatu trafikoak diseinuak dioen tokira mugitzen den. Idatzi aurretik eta ondorengo taulek proba oraindik irekita dagoela.

Ibilbide bat bigarren gailu batera mugitzeak ez ditu eramaten zituen saioak mugitzen, NAT eta suebakiaren egoera lehen gailuan geratzen delako.

Hamabi bat aurrizkiko multzo finko baterako, VPCaren tauletako ibilbide estatikoek erantzunik merkeena izaten jarraitzen dute. Route Serverrek bere tokia irabazten du aurrizki-zerrenda benetan aldatzen denean eta erretiratze-politika guardiako pertsonari azal diezaiokezun zerbait denean.