GCP BYOIP: javno oglašavanje nije privatna ruta
Podjela BYOIP prefiksa između lokacije i oblaka zahtijeva dva plana. Odvojite javnu najavu, delegiranje i privatni sljedeći skok.
Dio javnog bloka ostaje na lokaciji, a dio se seli u Google Cloud. Ta rečenica opisuje dva plana, a ne jedan: plan internetske najave i plan privatnog prosljeđivanja. Tretiranje njih kao jednog problema usmjeravanja jest mjesto gdje BYOIP dizajni griješe.
Uključeni objekti odgovaraju na različita pitanja, a samo se jedno od njih tiče toga kamo paketi idu dalje.
Tri objekta, tri pitanja
Javno oglašeni prefiks je jedinica koju Google oglašava na internetu u vaše ime. Javno delegirani prefiks je način na koji se uvezeni prostor dodjeljuje podržanim Cloud resursima. Ruta u VPC-u, uključujući onu naučenu preko Cloud Routera od VPN-a, bira privatni sljedeći skok. Svaki ima svoj opseg, svoj API i svoju poruku o pogrešci.
Tablična verzija je kraća.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Samo se treći red tiče prosljeđivanja unutar vaše mreže.
Što pokriva BYOIP upozorenje na preklapanje
Googleova BYOIP dokumentacija tretira oglašeni prefiks kao jedinicu oglašavanja i upozorava na preklapajuće vanjske najave, uključujući potprefiks oglašen izvan Googlea. To se upozorenje tiče plana javnog oglašavanja. Ono nije tvrdnja o svakoj privatnoj ruti koju biste mogli dodati.
Delegiranje manje dodjele unutar uvezenog prefiksa samo po sebi ne daje vam dopuštenje da ostatak oglašavate s drugog izvora.
Postavite pitanje u smislu tko što oglašava. Ako Google oglašava cijeli uvezeni prefiks, drugi izvor koji oglašava potprefiks stvara upravo ono preklapanje na koje dokumentacija upozorava, koliko god uredne bile vaše VPC rute.
Što odlučuje privatna ruta
Prefiks naučen preko VPN-a nije internetska najava i nikakva količina BGP-a to neće promijeniti. To je unos u tablici ruta VPC-a koji kaže koji tunel ili pristupnik treba nositi promet za to odredište. Je li taj unos podoban, odabran ili upotrebljiv zavisi od vlastitih pravila usmjeravanja VPC-a.
Podudaranje najduljeg prefiksa primjenjuje se unutar tablice ruta, pa dulja VPN ruta može pobijediti lokalno bez promjene bilo čega na javnom rubu.
Podjela prefiksa: odluka koja dolazi prva
Ako arhitektura zahtijeva da se polovica bloka oglašava iz podatkovnog centra, a polovica iz Googlea, riješite plan oglašavanja prije nego što bilo što uvezete. Potvrdite koje raspone Google smije oglašavati, koji ostaju oglašeni negdje drugdje i preklapaju li se ta dva. Zatim projektirajte privatnu putanju za svako odredište i njezinu povratnu putanju. Ako pružatelji usluga ne podržavaju podjelu koju želite, promijenite podjelu umjesto da se nadate da će dulji VPN prefiks nadjačati odluku na javnom rubu.
Taj je redoslijed važan jer drugi plan ne može popraviti prvi.
Provjerite oba plana odvojeno
Provjerite javnu stranu pomoću gcloud compute public-advertised-prefixes list i potvrdite raspone i njihov status. Provjerite privatnu stranu pomoću gcloud compute routes list i gcloud compute routers get-status, što pokazuje što je BGP zaista razmijenio.
Jedan skup izlaza govori vam što internet vidi. Drugi vam govori kamo ide vaš promet. Nijedan ne zamjenjuje drugi.