Por que unha ruta de subrede en AWS VGW non pode escoller un só túnel VPN

Dúas conexións Site-to-Site VPN rematan nunha mesma pasarela privada virtual e anuncian o mesmo prefixo de sucursal. A táboa de rutas da subrede ten unha entrada para ese prefixo, apuntando á pasarela, e ningún campo que nomee un túnel. A preferencia entre as conexións ocorre, xa que logo, nun lugar que a consola non etiqueta como encamiñamento. Saber que capa posúe a decisión é a diferenza entre unha espera que funciona e un cambio que non fai nada.

Hai dúas capas en xogo: a ruta da VPC que di que pasarela, e a escolla de túnel da propia pasarela. Confundilas produce edicións que parecen correctas na táboa de rutas e nunca moven un paquete.

Dúas capas que parecen unha

A ruta de subrede responde a unha soa pregunta: para este destino, que adxunto? O seu destino é a pasarela privada virtual, e a súa métrica compite só con outras rutas da mesma táboa. Nada nesa entrada distingue o túnel un do túnel dous, nin a conexión A da conexión B. Un prefixo máis específico é outra coincidencia de destino, non unha escolla de camiño máis fina.

A pasarela responde á pregunta seguinte: entre os túneles que mantén para ese prefixo, cal transporta tráfico agora. Esa decisión vén da saúde do túnel e dos atributos BGP recibidos da pasarela do cliente, e nunca aparece na táboa de rutas da subrede.

Que compara realmente a VGW

A saúde vai primeiro. Un túnel caído, ou unha sesión BGP que non subiu, perde antes de que se examine calquera atributo. Por iso antepoñer unha ruta nunha conexión que xa falla non cambia nada.

Entre as rutas elixibles para o mesmo prefixo, AWS prefire o AS_PATH máis curto. Cando dúas rutas teñen a mesma lonxitude, compara o MED, suxeito á condición documentada sobre o primeiro AS da ruta. Lea a orde publicada en lugar da versión do folclore, porque o folclore adoita omitir o paso de saúde e a excepción das rutas estáticas. Unha consecuencia: tres anteposicións na conexión de reserva fan que a primaria sexa estritamente máis curta, que é a forma habitual de expresar a preferencia.

Antepoñer, e cando non fai nada

A anteposición ocorre nos anuncios saíntes da pasarela do cliente, non dentro de AWS. Vostede engade o seu propio ASN dúas ou tres veces ao prefixo que quere que AWS evite, e AWS entón ve unha ruta máis longa para esa conexión. A conexión primaria conserva o anuncio sen antepoñer. Se ambas conexións anuncian desde o mesmo ASN co mesmo número de anteposicións, non expresou ningunha preferencia.

Comprobe a ruta recibida no lado de AWS despois do cambio. Unha anteposición que nunca saíu do dispositivo do cliente parece exactamente unha que AWS ignorou.

As rutas estáticas ignoran todo o argumento

Se a conexión usa encamiñamento estático non hai ningún AS_PATH que alongar. AWS documenta as rutas VPN estáticas como prioritarias sobre as rutas aprendidas por BGP para o mesmo prefixo, así que un deseño mixto non se comporta como un totalmente dinámico. Decida primeiro o tipo de encamiñamento e logo escolla o mecanismo de preferencia que existe para ese caso.

Con dúas conexións estáticas que anuncian o mesmo prefixo, a panca útil é o prefixo: anuncie un rango máis específico na conexión que quere usar, e acepte que cambiou que destino coincide en lugar de que ruta gaña.

Por que unha pasarela de tránsito é outra resposta

Unha pasarela de tránsito admite multipath de igual custo entre adxuntos VPN, así que dúas conexións poden compartir tráfico en lugar de que unha quede en reserva. Ese deseño ten outra superficie de fallo: os fluxos repártense entre túneles, e un túnel que cae move só parte da carga. Copiar unha receita de VGW nunha pasarela de tránsito, ou ao revés, xera expectativas que ningunha das dúas plataformas cumpre.

Escolla o modelo antes que o mecanismo: activo e reserva cunha preferencia fixada, ou activo e activo con ECMP.

Que verificar despois de configuralo

Confirme catro cousas en orde. A táboa da subrede segue resolvendo o prefixo cara á pasarela prevista. A pasarela lista ambos túneles como activos. O AS_PATH recibido na conexión que quere evitar é máis longo que o outro. E un fluxo real desde unha instancia desa subrede atravesa o túnel esperado, observado nos dous extremos en lugar de inferido dun estado verde.

Despois execute a proba de conmutación aprobada e mire como a ruta supervivente leva o servizo. Unha preferencia que só existe nun diff de configuración aínda non é unha preferencia.