A GCP VPN útvonal csak egy régióban működik: ellenőrizze a dinamikus útvonalválasztást

Az amerikai számítási terhelés probléma nélkül eléri az irodai előtagot a HA VPN-en keresztül, míg az ugyanabban a VPC-ben lévő európai terhelés semmit sem kap. Az útvonaltáblája nem tartalmaz bejegyzést az előtaghoz, egyetlen alagút sem esett ki, és egyetlen tűzfalszabály sem változott. Az alagút és a BGP-munkamenete mindkét irányban egészséges. Egy régiókat átfogó VPC nem ugyanaz, mint a régiókat átfogó tanult útvonalai, és pont ez a rés magyarázza az egész tünetet.

Két tulajdonságot kevernek itt össze: hol találhatók az alhálózatok, és hol használható a tanult következő ugrás.

Honnan származik a regionális hatókör

A Cloud Router a VPC dinamikus útválasztási módját követő hatókörrel telepíti a tanult útvonalakat. Regionális módban az egyik régióban tanult útvonalat csak az adott régió erőforrásai használhatják, ezért az európai tábla üres ahelyett, hogy törött következő ugrást mutatna. Globális módban a jogosult tanult útvonalak a VPC minden régiójának erőforrásai számára elérhetővé válnak. Bármilyen változtatás előtt olvassa ki az aktuális értéket, mert a regionális az alapértelmezett. A beállítás a hálózaton van, nem az alagúton és nem az útválasztón.

A leltárparancs csak olvasható, és egy sorban válaszol rá:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

A gazdaprojektben futtassa, amikor a VPC megosztott. A hálózat ahhoz a projekthez tartozik, és a munkaterhelés-projektben lévő megtekintő szerepkör talán még az útválasztási konfigurációt sem jeleníti meg. A rossz projektből kapott gyors válasz rosszabb, mint a válasz hiánya.

A változtatás egy parancs és egy irány

Az átállítás a vezérlősík szerkesztése az egész VPC-re, nem VM-enkénti kerülő megoldás: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Egyirányú is, mert a globálisra állított hálózat nem állítható vissza regionálisra. Futtatás előtt még egyszer ellenőrizze a projekt és a hálózat nevét, mivel a parancs nem kér megerősítést. A változtatás karbantartási feljegyzést és a hálózat tulajdonosának jóváhagyását érdemli, nem gyors kísérletet egy megosztott VPC-n.

A hálózat minden Cloud Router-, VPN- és Interconnect-csatlakozása egyszerre örökli az új hatókört. Ez magában foglalja azokat a csatlakozásokat is, amelyeket senki nem említett a változtatási kérésben. Azok a régiók, amelyekben korábban soha nem volt meg ez az útvonal, a változtatás hatályba lépésével azonnal elkezdik fogadni, ezért ehhez az átállításhoz nincs fokozatos bevezetés.

A globális hatókör, nem garancia

A jogosultság és a preferencia elkülönül a hatókörétől. Az az útvonal, amely ütközik egy konkrétabb előtaggal, elveszíti a legjobb útvonal kiválasztását vagy szűri a szabályzat, pontosan úgy viselkedik, mint korábban. A globális mód kiterjeszti, hol használható egy útvonal, de nem dönti el, melyik útvonal nyer. Egy tanult útvonal lehet a hatókörön belül, és mégis veszíthet egy statikus vagy konkrétabb útvonallal szemben ugyanabban a VPC-ben.

Ez a megkülönböztetés számít, mert a módváltást később könnyű hibáztatni. Ha az európai alhálózatnak az átállítás után sincs útvonala, a kérdés az, hogy létezik-e és jogosult-e az útvonal, nem az, hogy hatályba lépett-e a hatókör. Az előtagütközések és a következő ugrás állapota a következő két dolog, amit el kell olvasni.

A távoli oldal is másképp hirdet

A hirdetési viselkedés ugyanazt a beállítást követi. Alapértelmezett viselkedés esetén a regionális módban lévő útválasztó a saját régiója alhálózatait hirdeti, míg a globális mód a VPC alhálózatait szélesebben hirdeti. Ezért a mód megváltoztatása nemcsak azt változtatja meg, amit az Ön régiói használhatnak, hanem azt is, amit a távoli oldal telepít.

Az egyéni hirdetési lista nem bővül, amikor a mód megváltozik. Ha a helyszíni útválasztón kézzel írt tartománylista van, az európai előtag továbbra is hiányzik belőle. A visszaút ebben az esetben továbbra is törött, pedig a kimenő útvonal már létezik. Azt ellenőrizze, mit telepített a távoli oldal, és ne azt, mit exportált.

Amit a mód soha nem fog megjavítani

A globális útválasztás nem ad hozzáférést a nyilvános internethez, nem ad átjárást nem kapcsolódó VPC-k között, és nem pótol hiányzó statikus útvonalakat. Nem módosítja a tűzfalszabályokat vagy az IAM-ot, így a szabályzat által elutasított kapcsolat elutasítva marad.

Ezek a hibák egy munkaterhelés belsejéből egyformán néznek ki, és semmi közük az útvonalak hatóköréhez.

Teszteljen a távoli régióból a valódi szolgáltatás felé, majd erősítse meg, hogy a válasz a tervezett alagúton keresztül jön vissza. Jegyezze fel a módot, a hirdetési konfigurációt és a tesztelt célt. Ha a teszt továbbra is sikertelen, hasonlítsa össze a távoli útválasztó BGP-tábláját a VPC útvonallistájával, mielőtt újra hozzányúlna a módhoz. Akkor a következő régiók közötti jelentés tényekből indul ki, nem egy módváltásból.