GCP VPN -reitti toimii vain yhdellä alueella: tarkista dynaaminen reititys

Yhdysvaltain työkuorma saavuttaa toimiston etuliitteen HA VPN:n kautta ongelmitta, kun taas saman VPC:n eurooppalainen työkuorma ei saa mitään. Sen reititystaulussa ei ole yhtään merkintää tälle etuliitteelle, yksikään tunneli ei ole alhaalla eikä yhtään palomuurisääntöä ole muutettu. Tunneli ja sen BGP-istunto ovat terveitä molempiin suuntiin. Alueita kattava VPC ei ole sama asia kuin sen opitut reitit, jotka kattavat alueita, ja juuri tämä ero selittää koko oireen.

Tässä sekoitetaan kaksi ominaisuutta: missä aliverkot sijaitsevat ja missä opittua seuraavaa hyppyä saa käyttää.

Mistä alueellinen laajuus tulee

Cloud Router asentaa opitut reitit laajuudella, joka seuraa VPC:n dynaamista reititystilaa. Alueellisessa tilassa yhdellä alueella opittua reittiä voivat käyttää vain kyseisen alueen resurssit, minkä vuoksi Euroopan taulu on tyhjä sen sijaan että se näyttäisi rikkinäisen seuraavan hypyn. Globaalissa tilassa kelvolliset opitut reitit tulevat kaikkien VPC:n alueiden resurssien saataville. Lue nykyinen arvo ennen kuin muutat mitään, sillä alueellinen on oletus. Asetus sijaitsee verkossa, ei tunnelissa eikä reitittimessä.

Inventaariokomento on vain luku -tyyppinen ja vastaa siihen yhdellä rivillä:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Suorita se isäntäprojektissa, kun VPC on jaettu. Verkko kuuluu kyseiselle projektille, eikä työkuorman projektin katselijarooli välttämättä näytä reititysmääritystä lainkaan. Nopea vastaus väärästä projektista on huonompi kuin ei vastausta.

Muutos on yksi komento ja yksi suunta

Vaihto on koko VPC:n ohjaustason muokkaus, ei konekohtainen kiertotie: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Se on myös yksisuuntainen, koska globaaliksi asetettua verkkoa ei voi palauttaa alueelliseksi. Tarkista projektin ja verkon nimi vielä kerran ennen suorittamista, sillä komento ei kysy vahvistusta. Muutos ansaitsee ylläpitomerkinnän ja verkon omistajan hyväksynnän, ei nopeaa koetta jaetussa VPC:ssä.

Jokainen kyseisen verkon Cloud Router-, VPN- ja Interconnect-liitäntä perii uuden laajuuden heti. Tähän kuuluvat myös liitännät, joita kukaan ei maininnut muutospyynnössä. Alueet, joilla reittiä ei koskaan aiemmin ollut, alkavat vastaanottaa sen heti kun muutos astuu voimaan, minkä vuoksi tälle vaihdolle ei ole vaiheittaista käyttöönottoa.

Globaali on laajuus, ei tae

Kelpoisuus ja etusija ovat erillään laajuudesta. Reitti, joka on ristiriidassa tarkemman etuliitteen kanssa, häviää parhaan polun valinnan tai suodatetaan käytännöllä, käyttäytyy täsmälleen kuten ennenkin. Globaali tila laajentaa sitä, missä reittiä saa käyttää, mutta ei päätä, mikä reitti voittaa. Opittu reitti voi olla laajuuden sisällä ja hävitä silti staattiselle tai tarkemmalle polulle samassa VPC:ssä.

Tämä ero on tärkeä, koska tilan muutosta on helppo syyttää myöhemmin. Jos Euroopan aliverkolla ei vielä vaihdon jälkeen ole reittiä, kysymys on siitä, onko reitti olemassa ja kelvollinen, ei siitä, astuiko laajuus voimaan. Etuliitteiden ristiriidat ja seuraavan hypyn terveys ovat seuraavat kaksi asiaa luettavaksi.

Vastapuoli mainostaa myös eri tavalla

Mainostuskäyttäytyminen seuraa samaa asetusta. Oletuskäyttäytymisessä alueellisessa tilassa oleva reititin mainostaa oman alueensa aliverkkoja, kun taas globaali tila mainostaa VPC:n aliverkkoja laajemmin. Siksi tilan vaihtaminen muuttaa paitsi sitä, mitä omat alueesi saavat käyttää, myös sitä, mitä vastapuoli asentaa.

Mukautettu mainoslista ei laajene, kun tila vaihtuu. Jos paikallisella reitittimellä on käsin kirjoitettu alueiden luettelo, Euroopan etuliite puuttuu siitä edelleen. Paluupolku pysyy siinä tapauksessa rikki, vaikka lähtevä reitti on nyt olemassa. Tarkista, mitä vastapuoli asensi, älä sitä, mitä veit ulos.

Mitä tila ei koskaan korjaa

Globaali reititys ei anna pääsyä julkiseen internetiin, transit-liikennettä toisiinsa liittymättömien VPC:iden välillä eikä puuttuvia staattisia reittejä. Se ei muuta palomuurisääntöjä eikä IAM:ia, joten käytännön hylkäämä yhteys pysyy hylättynä.

Nämä viat näyttävät samoilta työkuorman sisältä eikä niillä ole mitään tekemistä reitin laajuuden kanssa.

Testaa kaukaiselta alueelta todelliseen palveluun ja varmista sitten, että vastaus palaa aiottua tunnelia pitkin. Kirjaa tila, mainoskonfiguraatio ja testaamasi kohde. Jos testi epäonnistuu edelleen, vertaa kaukaisen reitittimen BGP-taulua VPC:n reittiluetteloon ennen kuin kosket tilaan uudelleen. Silloin seuraava alueiden välinen raportti alkaa faktoista eikä tilan muutoksesta.