Miksi BGP-istuntosi ei näy VPC:n reititystaulussa

Toistuva tarina on, että EC2 VPN -laitteen reititysdaemon opettaa VPC:lle sen etäetuliitteet heti, kun BGP nousee. Puolet siitä on totta. Istunto nousee, eikä VPC:n reititystaulussa muutu siitä mikään, minkä vuoksi ensimmäinen oire on yleensä aliverkko, joka pudottaa liikenteen hiljaa mustaan aukkoon.

Tässä sekoitetaan kaksi eri asiaa: vertaisuus reitityspalvelimen kanssa ja reittien asentaminen tauluun.

Myytti: nosta BGP ja VPC oppii etuliitteet

BGP on kahden puhujan välinen keskustelu, ja tässä suunnittelussa puhujat ovat laitteesi reititysdaemon ja VPC Route Server -päätepiste, jonka AWS sijoittaa omistamaasi aliverkkoon. Keskustelu kuljettaa etuliitteitä. Se ei koske työkuorma-aliverkkojesi reititystauluun, koska ne taulut oppivat vain levityksen kautta, joka on otettava käyttöön jokaisessa erikseen. Ennen sitä VPC:n kudos ei tiedä mitään siitä, mitä laite tietää.

Asennusvaiheet ovat erillään syystä: yhdistä, luo päätepiste, vertaisu, ota sitten levitys käyttöön.

Route Server on ohjaustaso, ei tunneli

Route Server ei salaa, välitä eikä tarkasta yhtäkään pakettia. Se on olemassa, jotta se voi vaihtaa BGP:tä laitteen kanssa ja antaa syntyneet etuliitteet niille reititystauluille, jotka on määritetty vastaanottamaan ne. Datataso on ennallaan: paketit lähtevät edelleen laitteen verkkorajapinnan kautta, kulkevat sen VPN:n läpi ja palaavat samaa tietä.

Tämä tarkoittaa, että välitysinstanssin lähde- ja kohdetarkistus on edelleen tärkeä, koska instanssi välittää nyt liikennettä, joka on osoitettu jollekin toiselle.

Tietoturvaryhmät ja aliverkon hallinnat koskevat myös välitettyä virtaa. Route Server ei saa liikennettä pudottavaa laitetta välittämään sitä, eikä se korjaa puuttuvaa paluureittiä etäpäässä.

Levitys on reititystaulukohtaista, ei VPC-kohtaista

Reitityspalvelimen yhdistäminen VPC:hen ja levityksen käyttöönotto reititystaulussa ovat kaksi päätöstä, ja vain jälkimmäinen muuttaa sitä, mitä aliverkko tekee. VPC, jossa on kuusi reititystaulua, voi vastaanottaa levitetyn etuliitteen yhdessä eikä muissa viidessä, mikä on täsmälleen oikein keskusaliverkolle ja täsmälleen se, mikä tuottaa hämmentävän «toimii puoliksi» -tuloksen. Vaikka levitys olisi päällä, kilpaileva reitti voi voittaa, koska VPC:n reittivalinta suosii pisintä etuliitettä ja samanpituisena suosii staattista reittiä levitetyn sijaan. Tätä suosimista sovelletaan hiljaa.

Tarkista kyseisen aliverkon tehollinen taulu sen sijaan, että katsoisit laitteen mainostamia etuliitteitä. API vastaa tähän kysymykseen suoraan: aws ec2 associate-route-server ja aws ec2 enable-route-server-propagation --route-table-id <id> ovat ne kaksi vaihetta, jotka ihmiset unohtavat, ja aws ec2 describe-route-tables --route-table-ids <id> näyttää, saapuiko etuliite ylipäätään route server -merkintänä.

Laite kuljettaa edelleen jokaisen paketin

Saavutettavuuden mainostaminen ei ole sama kuin sen omistaminen. BGP-istunto voi pysyä muodostettuna, vaikka laitteen VPN on alhaalla, ja koskaan muuttumaton staattinen mainos vetää liikennettä kuolleelle polulle. Route Server tukee vianhavaitsemista, kuten BFD:tä, mutta se testaa vertaisen elossa oloa, ei kaiken sen terveyttä, mitä vertaisen takana on.

Sido mainos todelliseen etäreittiin: mainosta etuliite, kun tunneli ja etäverkko ovat ylhäällä, ja peru se, kun ne eivät ole.

Peru etuliite ja katso, mitä tapahtuu

Testaa vaiheittain ja tee viimeisestä vaiheesta poisto. Varmista, että mainos saapuu, etuliite ilmestyy jokaiseen aiottuun tauluun, laite on seuraava hyppy, välitys kulkee aktiivisen tunnelin läpi ja etäpää vastaa. Peru sitten testietuliite tai sulje hyväksytty tunneli ja seuraa, siirtyykö liikenne sinne, mihin suunnittelu sanoo. Kirjaa taulut ennen ja jälkeen, kun testi on vielä auki.

Reitin siirtäminen toiselle laitteelle ei siirrä sen kuljettamia istuntoja, koska NAT- ja palomuuritila jäävät ensimmäiselle laitteelle.

Kiinteälle tusinalle etuliitteitä VPC:n taulujen staattiset reitit pysyvät halvempana vastauksena. Route Server ansaitsee paikkansa, kun etuliiteluettelo todella muuttuu ja peruutuskäytäntö on jotain, mitä voit selittää päivystäjälle.