BGP oglasi VGW-a naspram VPC tabele ruta: što mijenja što

Prefiks koji nedostaje u tabeli ruta podmreže VPC-a i prefiks koji nedostaje na usmjerivaču korisnika dva su različita kvara, a samo jedan od njih se popravlja unutar AWS tabela ruta. Virtualni privatni pristupnik oglašava CIDR blokove povezane sa svojim VPC-om; tabela ruta podmreže odlučuje gdje radno opterećenje šalje odgovor. Tretirati drugo kao način da se promijeni prvo je najčešći pogrešan skret u ovoj dijagnozi. Provedite provjere u nastavku redom i držite dva smjera odvojeno.

Imenujte priključak prije nego što pročitate bilo koju tabelu

Site-to-Site VPN završava ili na virtualnom privatnom pristupniku ili na tranzitnom pristupniku, a ID-ovi resursa odlučuju koji model usmjeravanja važi. Pročitajte ih prvo: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Odgovor vam kaže je li sljedeća tabela koju treba pregledati tabela ruta VPC-a ili tabela ruta tranzitnog pristupnika.

Ako je VPN priključen na tranzitni pristupnik, prestanite tretirati tabelu ruta VPC-a kao kontrolnu ravan. Tamo tabela VPC-a pokazuje na priključak pristupnika, a asocijacija i propagacija se dešavaju u tabeli ruta tranzitnog pristupnika. Miješanje dva pogleda daje samouvjerene zaključke o pogrešnom objektu.

Smjer od AWS-a prema uredu je oglas

Za priključak VGW-a pristupnik oglašava CIDR blokove povezane sa svojim VPC-om korisnikovom pristupniku preko BGP-a. Dodavanje pojedinačne rute podmreže ili usmjeravanje rute na partnerski VPC ili na uređaj ne dodaje drugi povezani CIDR i ne pojavljuje se u tom oglasu. Ako u uredu nedostaje prefiks, uporedite listu primljenih ruta sa asocijacijama VPC-a prije nego što uredite bilo koju tabelu ruta.

Jednostavno pravilo ima izuzetke, zato ga držite u okvirima. Postavka VPN CloudHub može ponovo oglašavati prefikse lokacija između korisničkih pristupnika, a tranzitni pristupnik slijedi svoja pravila propagacije. Tvrdnja da VGW oglašava samo svoj VPC korisna je zadana vrijednost, a ne zakon koji pokriva svaku topologiju na koju naiđete.

Smjer od ureda prema AWS-u je propagacija plus selekcija

U obrnutom smjeru VGW uči prefiks ureda, ali to samo po sebi ne pomjera radno opterećenje. Tabela ruta podmreže mora ili imati omogućenu propagaciju za priključak ili nositi statičku rutu do istog odredišta. Kada za jedan prefiks postoje oboje, pobjeđuje statička ruta, a podudaranje najdužeg prefiksa izvodi se prije i jedne i druge.

Čitajte porijeklo umjesto da ga pretpostavljate: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Unos s porijeklom EnableVgwRoutePropagation došao je iz BGP-a; unos s porijeklom CreateRoute utipkao je čovjek i nastavit će pobjeđivati dok ga neko ne izbriše.

Runbook koji drži dva smjera odvojeno

Zapišite četiri činjenice na strani AWS-a prije nego što bilo šta promijenite: tip priključka, povezane CIDR blokove VPC-a, porijeklo rute podmreže za dotični prefiks, te stanje tunela i BGP-a. Isti describe poziv vraća VgwTelemetry s brojem prihvaćenih ruta po tunelu, što vam kaže je li AWS uopšte prihvatio ikakve rute. Zatim to uporedite s onim što je korisnički uređaj zaista instalirao. Prefiks prisutan u BGP-u, ali odsutan iz tabele prosljeđivanja, lokalni je problem uvoza ili najbolje putanje, a ne problem tabele ruta AWS-a.

Ako tabeli podmreže prefiks uopšte nedostaje, omogućite propagaciju ili dodajte statičku rutu, pa ponovo pročitajte isti upit nakon intervala propagacije umjesto da pretpostavite da je promjena bila trenutna. Ako prefiks postoji i saobraćaj i dalje ne prolazi, ostavite kontrolnu ravan na miru i pređite na putanju podataka.

Što ne mijenjati dok ste tamo

Ne prebacujte propagaciju na nepovezanim tabelama ruta da biste popravili jedan prefiks koji nedostaje i ne dodajte zadanu rutu da biste prikrili jedan odsutni CIDR. Obje promjene proširuju obim uticaja i otežavaju sljedeću dijagnozu. Ograničite izmjenu na tabelu koja opslužuje dotičnu podmrežu radnog opterećenja.

Putanja podataka odvojena je od svega ovoga. Sigurnosne grupe čuvaju stanje, mrežne ACL liste ne, a host firewall ili asimetrična povratna putanja mogu odbaciti saobraćaj koji je usmjeravanje ispravno dostavilo. Oglašeni agregat takođe ne odobrava svaku uslugu unutar sebe, zato ograničite pristup na granici politike umjesto da se oslanjate na to da li se neka adresa slučajno pojavljuje u BGP oglasu.

Sačuvajte stanje prije i poslije svakog upita tabele ruta u zapisu promjena. Ako promjena pogorša stvari, vratite prethodne rute i potvrdite istim upitom, jer vraćanje koje ne možete provjeriti samo je nagađanje.