Wêrom jo BGP-sesje net yn 'e VPC-routetabel ferskynt

It ferhaal dat hieltyd werhelle wurdt, is dat in routing-daemon op in EC2 VPN-apparaat de VPC syn fiere prefiksen leare sil sadree't BGP omheech komt. De helte dêrfan is wier. De sesje komt omheech, en yn ’e VPC-routetabel feroaret dêrtroch neat, en dêrom is it earste symptoom meastal in subnet dat ferkear stilwei yn in swart gat smyt.

Hjir wurde twa ferskillende dingen trochinoar helle: peering mei in routeserver, en it ynstallearjen fan rûtes yn in tabel.

De myte: bring BGP omheech en de VPC leart de prefiksen

BGP is in petear tusken twa sprekker, en yn dit ûntwerp binne de sprekker de routing-daemon op jo apparaat en in VPC Route Server-einpunt dat AWS yn in subnet pleatst dat jo besitte. Dat petear draacht prefiksen. It rekket de routetabel fan jo workload-subnetten net, want dy tabellen leare allinnich troch propagaasje dy't op elk fan har aktivearre wurde moat. Oant dat bart, wit de VPC-stof neat fan wat it apparaat wit.

De opsetstappen binne om in reden apart: assosjearje, meitsje it einpunt, peer, aktivearje dan propagaasje.

Route Server is in kontrôleflak, gjin tunnel

Route Server fersiferet, ferstjoert of ynspektearret net ien pakket. It bestiet om BGP mei it apparaat út te wikseljen en de resultearjende prefiksen oer te jaan oan de routetabellen dy't konfigurearre binne om se te ûntfangen. It dataflak is ûnferoare: pakketten ferlitte noch altyd troch de netwurkynterface fan it apparaat, reizgje troch syn VPN en komme deselde wei werom.

Dat betsjut dat de boarne- en bestimmingkontrôle op ’e trochstjoerende instânsje noch altyd fan belang is, want de instânsje stjoert no ferkear troch dat oan immen oars adressearre is.

Feiligensgroepen en subnetkontrôles jilde ek foar de trochstjoerde stream. Route Server sil in apparaat dat ferkear drippt net twinge om it troch te stjoeren, en it sil in ûntbrekkende weromrûte oan ’e fiere kant net reparearje.

Propagaasje is per routetabel, net per VPC

It assosjearjen fan de routeserver mei de VPC en it aktivearjen fan propagaasje op in routetabel binne twa besluten, en allinnich it twadde feroaret wat in subnet docht. In VPC mei seis routetabellen kin in propagearre prefiks yn ien ûntfange en net yn ’e oare fiif, wat krekt goed is foar in hub-subnet en krekt wat it betiizjende «wurket heal»-resultaat jout. Sels wêr't propagaasje oan is, kin in konkurrearjende rûte winne, want VPC-rûteselaksje foarkar jout oan it langste prefiks en, by gelikense lingte, foarkar jout oan in statyske rûte boppe in propagearre. Dy foarkar wurdt stil tapast.

Kontrolearje de effektive tabel foar it spesifike subnet ynstee fan ’e list prefiksen dy't it apparaat oankundiget. De API beantwurdet dy fraach direkt: aws ec2 associate-route-server en aws ec2 enable-route-server-propagation --route-table-id <id> binne de twa stappen dy't minsken ferjitte, en aws ec2 describe-route-tables --route-table-ids <id> lit sjen oft it prefiks hielendal as route-server-ynskriuwing oankaam.

It apparaat draacht noch altyd elk pakket

Berikberens oankundigje is net itselde as it hawwen. In BGP-sesje kin fêstige bliuwe wylst de VPN fan it apparaat del is, en in statyske oankundiging dy't nea feroaret bliuwt ferkear nei in dea paad lûken. Route Server stipet flaterdeteksje lykas BFD, mar dat testet de libbenskrêft fan ’e peer, net de sûnens fan alles efter de peer.

Byn de oankundiging oan ’e echte fiere rûte: kundigje it prefiks oan as de tunnel en it fiere netwurk omheech binne, en lûk it werom as se dat net binne.

Lûk in prefiks werom en sjoch wat der bart

Test yn fazen, en meitsje de lêste faze in ferwidering. Befêstigje dat de oankundiging oankomt, it prefiks yn elke bedoelde tabel ferskynt, it apparaat de folgjende hop is, it trochstjoeren de aktive tunnel krúst en de fiere kant antwurdet. Lûk dan in testprefiks werom, of slút in goedkarde tunnel, en observearje oft ferkear beweecht nei it plak dêr't it ûntwerp seit. Skriuw de tabellen foar en nei op wylst de test noch iepen is.

In rûte nei in twadde apparaat ferpleatse ferpleatst net de sesjes dy't it droech, want NAT- en firewall-tastân bliuwe by it earste apparaat.

Foar in fêste set fan in dosyn prefiksen bliuwe statyske rûtes yn ’e VPC-tabellen it goedkeapere antwurd. Route Server fertsjinnet syn plak as de prefikslist echt feroaret en it weromlûkbelied eat is dat jo oan ’e persoan yn ’e tsjinst kinne útlizze.