GCP VPN-rûte wurket mar yn ien regio: kontrolearje dynamyske routing

De Amerikaanske wurklast berikt it kantoarprefiks oer de HA VPN sûnder probleem, wylst de Europeeske wurklast yn deselde VPC hielendal neat krijt. Syn routingtabel befettet gjin ynskriuwing foar it prefiks, gjin tunnel is del en gjin firewallregel is feroare. De tunnel en syn BGP-sesje binne sûn yn beide rjochtingen. In VPC dy't regio's oerspant is net itselde as syn learde rûtes dy't regio's oerspant, en krekt dat gat ferklearret it hiele symptoom.

Hjir wurde twa eigenskippen trochinoar helle: wêr't de subnetten wenje en wêr't in learde folgjende hop brûkt wurde mei.

Wêr't it regionale berik wei komt

Cloud Router ynstallearret learde rûtes mei in berik dat de dynamyske routingmodus fan de VPC folget. Yn regionale modus is in rûte dy't yn ien regio leard is allinnich brûkber troch de boarnen fan dy regio, dêrom is de Europeeske tabel leech ynstee fan in brutsen folgjende hop te toanen. Yn globale modus wurde geskikte learde rûtes beskikber foar boarnen yn elke regio fan de VPC. Lês de hjoeddeistige wearde foardat jo wat feroarje, want regionaal is de standert. De ynstelling sit op it netwurk, net op de tunnel en net op de router.

It ynventarisaasjekommando is allinnich-lêze en antwurdet dat yn ien rigel:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Fier it út yn it hostprojekt as de VPC dield is. It netwurk heart by dat projekt, en in besjenrol yn it wurklastprojekt lit de routingkonfiguraasje miskien sels net sjen. In fluch antwurd fan it ferkearde projekt is slimmer as gjin antwurd.

De feroaring is ien kommando en ien rjochting

It omskeakeljen is in bewurking fan de kontrôleflakte foar de hiele VPC, net in omwei per VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. It is ek ienrjochting, want in netwurk dat op globaal set is kin net werom nei regionaal. Kontrolearje de projekt- en netwurknamme noch ien kear foardat jo it útfiere, want it kommando freget gjin befestiging. De feroaring fertsjinnet in ûnderhâldsnotysje en de goedkarring fan de netwurkeigner, net in fluch eksperimint op in dielde VPC.

Elke Cloud Router-, VPN- en Interconnect-oansluting yn dat netwurk erft it nije berik tagelyk. Dat omfettet de oanslutings dy't nimmen yn it feroaringsfersyk neamde. Regio's dy't de rûte earder nea hieen begjinne it te ûntfangen sadree't de feroaring yn gong is, dêrom is der foar dizze omskeakeling gjin stadige útrôl.

Globaal is in berik, gjin garânsje

Geskiktheid en foarkar steane apart fan berik. In rûte dy't yn konflikt is mei in mear spesifyk prefiks, de kar fan it bêste paad ferliest of troch belied filtere wurdt, hâldt him krekt as earder. De globale modus ferbredelet wêr't in rûte brûkt wurde mei, mar beslút net hokker rûte wint. In learde rûte kin binnen it berik wêze en dochs ferlieze tsjin in statyske of mear spesifike paad yn deselde VPC.

Dat ûnderskied is wichtich, want de modusferoaring is letter maklik te ferwiten. As it Europeeske subnet nei de omskeakeling noch gjin rûte hat, is de fraach oft de rûte bestiet en geskikt is, net oft it berik yn gong kaam is. Prefiks konflikten en de sûnens fan de folgjende hop binne de folgjende twa dingen om te lêzen.

De fiere kant kundiget ek oars oan

It oankundigingsgedrach folget deselde ynstelling. By standertgedrach kundiget in router yn regionale modus de subnetten fan syn eigen regio oan, wylst de globale modus de subnetten fan de VPC breder oankundiget. Dêrom feroaret de modus net allinnich wat jo eigen regio's brûke meie, mar ek wat de fiere kant ynstallearret.

In oanpaste oankundigingslist wreidet net út as de modus feroaret. As de lokale router in hânskreaune list fan berikten hat, bliuwt it Europeeske prefiks dêryn ôfwêzich. It werompaad bliuwt yn dat gefal brutsen, ek al bestiet de útgeande rûte no. Kontrolearje wat de fiere kant ynstallearre hat, net wat jo eksportearre hawwe.

Wat de modus nea reparearje sil

Globale routing jout gjin tagong ta it iepenbiere ynternet, transyt tusken net besibbe VPC's of ûntbrekkende statyske rûtes. It feroaret gjin firewallregels of IAM, dus in ferbining dy't troch belied wegere wurdt bliuwt wegere.

Dizze flaters sjogge der fan binnen in wurklast itselde út en hawwe neat mei it rûteberik te meitsjen.

Test fan de fiere regio nei de echte tsjinst en befêstigje dan dat it antwurd weromkomt troch de bedoelde tunnel. Notearje de modus, de oankundigingskonfiguraasje en de bestimming dy't jo testen. As de test noch altyd mislearret, ferlykje dan de BGP-tabel fan de fiere router mei de rûtelist fan de VPC foardat jo de modus wer oanreitsje. Dan begjint it folgjende ferslach tusken regio's mei feiten ynstee fan mei in modusferoaring.