Anuncios BGP do VGW fronte á táboa de rutas da VPC: que cambia que

Un prefixo ausente na táboa de rutas dunha subrede da VPC e un prefixo ausente no router do cliente son dous fallos distintos, e só un deles se repara dentro das táboas de rutas de AWS. A pasarela privada virtual anuncia os bloques CIDR asociados á súa VPC; a táboa de rutas da subrede decide a onde envía unha carga de traballo a resposta. Tratar o segundo como unha forma de cambiar o primeiro é o xiro equivocado máis habitual neste diagnóstico. Executa as comprobacións seguintes en orde e mantén as dúas direccións separadas.

Nomea o anexo antes de ler calquera táboa

Unha VPN de sitio a sitio remata nunha pasarela privada virtual ou nunha pasarela de tránsito, e os ID de recursos deciden que modelo de encamiñamento se aplica. Léeos primeiro: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. A resposta dinos se a seguinte táboa que cómpre inspeccionar é unha táboa de rutas de VPC ou unha táboa de rutas da pasarela de tránsito.

Se a VPN está asociada a unha pasarela de tránsito, deixa de tratar a táboa de rutas da VPC como o plano de control. Alí a táboa da VPC apunta ao anexo da pasarela, e a asociación e a propagación ocorren na táboa de rutas da pasarela de tránsito. Mesturar as dúas vistas produce conclusións seguras sobre o obxecto equivocado.

A dirección de AWS á oficina é un anuncio

Para un anexo VGW, a pasarela anuncia os bloques CIDR asociados á súa VPC á pasarela do cliente por BGP. Engadir unha ruta de subrede individual, ou apuntar unha ruta a unha VPC emparellada ou a un dispositivo, non engade outro CIDR asociado nin aparece nese anuncio. Se á oficina lle falta un prefixo, compara a lista de rutas recibidas coas asociacións de VPC antes de editar calquera táboa de rutas.

A regra simple ten excepcións, así que mantena dentro do seu alcance. Unha disposición VPN CloudHub pode volver anunciar prefixos de sitio entre pasarelas de cliente, e unha pasarela de tránsito segue as súas propias regras de propagación. A afirmación de que un VGW só anuncia a súa propia VPC é un valor predeterminado útil, non unha lei que cubra todas as topoloxías que atopes.

A dirección da oficina a AWS é propagación máis selección

Na dirección inversa o VGW aprende o prefixo da oficina, pero iso por si só non move unha carga de traballo. A táboa de rutas da subrede debe ter a propagación activada para o anexo ou levar unha ruta estática ao mesmo destino. Cando ambas existen para un prefixo, gaña a ruta estática, e a coincidencia de prefixo máis longo execútase antes ca calquera das dúas.

Le o orixe en lugar de supoñelo: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Unha entrada con orixe EnableVgwRoutePropagation veu de BGP; unha entrada con orixe CreateRoute escribiuna unha persoa e seguirá gañando ata que alguén a elimine.

Un runbook que mantén as dúas direccións separadas

Anota catro feitos no lado de AWS antes de cambiar nada: o tipo de anexo, os CIDR asociados da VPC, a orixe da ruta de subrede para o prefixo en cuestión e o estado do túnel e de BGP. A mesma chamada describe devolve VgwTelemetry cun reconto de rutas aceptadas por túnel, o que che di se AWS aceptou algunha ruta. Despois compara iso co que o dispositivo do cliente instalou realmente. Un prefixo presente en BGP pero ausente da táboa de reenvío é un problema de importación local ou de mellor ruta, non un problema da táboa de rutas de AWS.

Se á táboa da subrede lle falta por completo o prefixo, activa a propagación ou engade unha ruta estática, e despois volve ler a mesma consulta tras o intervalo de propagación en lugar de supoñer que o cambio foi inmediato. Se o prefixo existe e o tráfico segue fallando, deixa o plano de control en paz e pasa á ruta de datos.

Que non cambiar mentres esteas alí

Non actives nin desactives a propagación en táboas de rutas non relacionadas para arranxar un prefixo ausente, e non engadas unha ruta predeterminada para tapar un único CIDR ausente. Ambos cambios amplían o alcance do impacto e dificultan o seguinte diagnóstico. Limita a edición á táboa que serve a subrede de carga de traballo en cuestión.

A ruta de datos é independente de todo isto. Os grupos de seguridade teñen estado, as ACL de rede non, e un cortalumes de host ou unha ruta de retorno asimétrica poden descartar tráfico que o encamiñamento entregou correctamente. Un agregado anunciado tampouco autoriza cada servizo dentro del, así que restrinxe o acceso no límite da política en lugar de confiar en que un enderezo apareza por casualidade nun anuncio BGP.

Garda o antes e o despois de cada consulta de táboa de rutas no rexistro de cambios. Se o cambio empeora as cousas, restaura as rutas anteriores e confirma coa mesma consulta, porque unha reversión que non podes verificar só é unha conxectura.