A ruta de GCP VPN só funciona nunha rexión: revise o enrutamento dinámico

A carga de traballo dos EUA chega ao prefixo da oficina pola HA VPN sen problema, mentres que a carga europea na mesma VPC non recibe nada de nada. A súa táboa de rutas non contén ningunha entrada para o prefixo, ningún túnel está caído e ningunha regra de devasas cambiou. O túnel e a súa sesión BGP están sans en ambos os sentidos. Unha VPC que abrangue rexións non é o mesmo que as súas rutas aprendidas que abranguen rexións, e esa fenda explica todo o síntoma.

Aquí confúndense dúas propiedades: onde viven as subredes e onde se pode usar un seguinte salto aprendido.

De onde vén o alcance rexional

Cloud Router instala as rutas aprendidas cun alcance que segue o modo de enrutamento dinámico da VPC. En modo rexional, unha ruta aprendida nunha rexión só a poden usar os recursos desa rexión, por iso a táboa europea está baleira en lugar de mostrar un seguinte salto roto. En modo global, as rutas aprendidas elixibles pasan a estar dispoñibles para os recursos de cada rexión da VPC. Lea o valor actual antes de cambiar nada, porque o rexional é o predeterminado. O axuste vive na rede, non no túnel nin no enrutador.

O comando de inventario é de só lectura e respóndeo nunha liña:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Execúteo no proxecto anfitrión cando a VPC é compartida. A rede pertence a ese proxecto, e un rol de visor no proxecto de carga pode que nin sequera mostre a configuración de enrutamento. Unha resposta rápida do proxecto equivocado é peor que ningunha resposta.

O cambio é un comando e unha dirección

O cambio é unha edición do plano de control en toda a VPC, non unha volta por VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Tamén é nun só sentido, porque unha rede configurada como global non se pode devolver a rexional. Comprobe unha vez máis o nome do proxecto e da rede antes de executalo, xa que o comando non pide confirmación. O cambio merece unha nota de mantemento e a aprobación do propietario da rede, non un experimento rápido nunha VPC compartida.

Cada conexión de Cloud Router, VPN e Interconnect desa rede herda o novo alcance de inmediato. Iso inclúe as conexións que ninguén mencionou na solicitude de cambio. As rexións que nunca antes tiñan a ruta comezan a recibila en canto o cambio entra en vigor, por iso non hai un despregamento por etapas para este cambio.

Global é un alcance, non unha garantía

A elixibilidade e a preferencia son independentes do alcance. Unha ruta que entra en conflito cun prefixo máis específico, perde a selección da mellor ruta ou é filtrada pola política compórtase exactamente como antes. O modo global amplía onde se pode usar unha ruta, pero non decide que ruta gaña. Unha ruta aprendida pode estar dentro do alcance e aínda así perder fronte a unha ruta estática ou máis específica na mesma VPC.

Esa distinción importa porque o cambio de modo é fácil de culpar máis adiante. Se a subrede europea segue sen ruta despois do cambio, a pregunta é se a ruta existe e é elixible, non se o alcance entrou en vigor. Os conflitos de prefixos e a saúde do seguinte salto son as dúas cousas seguintes que hai que ler.

O lado remoto tamén anuncia de forma distinta

O comportamento de anuncio segue o mesmo axuste. Co comportamento predeterminado, un enrutador en modo rexional anuncia as subredes da súa propia rexión, mentres que o modo global anuncia as subredes da VPC de forma máis ampla. Por iso cambiar o modo cambia non só o que poden usar as súas rexións, senón tamén o que instala o lado remoto.

Unha lista de anuncios personalizada non se amplía cando cambia o modo. Se o enrutador local mantén unha lista de rangos escrita a man, o prefixo europeo segue ausente dela. A ruta de volta segue rota nese caso aínda que a ruta de saída xa exista. Comprobe o que instalou o lado remoto en lugar do que exportou.

O que o modo nunca reparará

O enrutamento global non concede acceso a internet público, tránsito entre VPC non relacionadas nin rutas estáticas que falten. Non altera as regras de devasas nin IAM, así que unha conexión rexeitada pola política segue rexeitada.

Eses fallos ven igual desde dentro dunha carga de traballo e non teñen nada que ver co alcance das rutas.

Probe desde a rexión remota cara ao servizo real e despois confirme que a resposta volve polo túnel previsto. Anote o modo, a configuración de anuncios e o destino que probou. Se a proba segue fallando, compare a táboa BGP do enrutador remoto coa lista de rutas da VPC antes de tocar o modo de novo. Así o seguinte informe entre rexións comeza con feitos e non cun cambio de modo.