VGW-ի BGP հայտարարությունները ընդդեմ VPC երթուղային աղյուսակի՝ ինչն ինչ է փոխում

VPC-ի ենթացանցի երթուղային աղյուսակում բացակայող նախածանցը և հաճախորդի երթուղիչում բացակայող նախածանցը երկու տարբեր անսարքություններ են, և դրանցից միայն մեկն է վերականգնվում AWS-ի երթուղային աղյուսակների ներսում։ Վիրտուալ մասնավոր դարպասը հայտարարում է իր VPC-ին կապված CIDR բլոկները. ենթացանցի երթուղային աղյուսակը որոշում է, թե աշխատանքային բեռը որտեղ է ուղարկում պատասխանը։ Երկրորդը որպես առաջինը փոխելու միջոց դիտարկելը այս ախտորոշման մեջ ամենատարածված սխալ շրջադարձն է։ Կատարեք ստորև նշված ստուգումները հերթականությամբ և երկու ուղղությունները պահեք առանձին։

Աղյուսակներից որևէ մեկը կարդալուց առաջ անվանեք կապակցումը

Կայք-կայք VPN-ը ավարտվում է կա՛մ վիրտուալ մասնավոր դարպասի, կա՛մ տրանզիտ դարպասի վրա, և ռեսուրսների ID-ները որոշում են, թե որ երթուղային մոդելն է կիրառվում։ Նախ կարդացեք դրանք՝ aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'։ Պատասխանը ձեզ ասում է՝ հաջորդ ստուգվող աղյուսակը VPC երթուղային աղյուսակն է, թե տրանզիտ դարպասի երթուղային աղյուսակը։

Եթե VPN-ը կապակցված է տրանզիտ դարպասի հետ, դադարեք VPC երթուղային աղյուսակը դիտարկել որպես կառավարման հարթություն։ Այնտեղ VPC աղյուսակը ցույց է տալիս դարպասի կապակցմանը, իսկ միավորումը և տարածումը տեղի են ունենում տրանզիտ դարպասի երթուղային աղյուսակում։ Երկու տեսքերի խառնումը վստահ եզրակացություններ է տալիս սխալ օբյեկտի մասին։

AWS-ից գրասենյակ ուղղությունը հայտարարություն է

VGW կապակցման դեպքում դարպասը BGP-ով հայտարարում է իր VPC-ին կապված CIDR բլոկները հաճախորդի դարպասին։ Առանձին ենթացանցային երթուղի ավելացնելը կամ երթուղին զուգակցված VPC-ի կամ սարքի վրա ուղղելը չի ավելացնում մեկ այլ կապակցված CIDR և չի հայտնվում այդ հայտարարության մեջ։ Եթե գրասենյակում բացակայում է նախածանց, համեմատեք ստացված երթուղիների ցանկը VPC-ի միավորումների հետ՝ նախքան որևէ երթուղային աղյուսակ խմբագրելը։

Պարզ կանոնն ունի բացառություններ, ուստի պահեք այն իր սահմաններում։ VPN CloudHub դասավորությունը կարող է վերահայտարարել կայքի նախածանցերը հաճախորդի դարպասների միջև, իսկ տրանզիտ դարպասը հետևում է իր տարածման կանոններին։ Այն պնդումը, որ VGW-ն հայտարարում է միայն իր VPC-ն, օգտակար լռելյայն է, ոչ թե օրենք, որն ընդգրկում է ձեր հանդիպած յուրաքանչյուր տոպոլոգիա։

Գրասենյակից AWS ուղղությունը տարածում գումարած ընտրություն է

Հակառակ ուղղությամբ VGW-ն սովորում է գրասենյակի նախածանցը, բայց դա միայնակ չի տեղափոխում աշխատանքային բեռ։ Ենթացանցի երթուղային աղյուսակը պետք է կամ միացված տարածում ունենա կապակցման համար, կամ ստատիկ երթուղի կրի նույն նպատակակետին։ Երբ մեկ նախածանցի համար երկուսն էլ կան, հաղթում է ստատիկ երթուղին, և ամենաերկար նախածանցի համընկնումը կատարվում է դրանցից առաջ։

Կարդացեք ծագումը՝ այն ենթադրելու փոխարեն՝ aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'։ EnableVgwRoutePropagation ծագումով գրառումը եկել է BGP-ից. CreateRoute ծագումով գրառումը մարդ է մուտքագրել և կշարունակի հաղթել, քանի դեռ ինչ-որ մեկը չի ջնջել այն։

Ռանբուք, որը երկու ուղղությունները պահում է առանձին

Նախքան որևէ բան փոխելը գրեք չորս փաստ AWS-ի կողմում՝ կապակցման տեսակը, VPC-ի կապակցված CIDR-ները, տվյալ նախածանցի ենթացանցային երթուղու ծագումը, ինչպես նաև թունելի և BGP-ի վիճակը։ Նույն describe կանչը վերադարձնում է VgwTelemetry՝ յուրաքանչյուր թունելի համար ընդունված երթուղիների քանակով, ինչը ձեզ ասում է՝ AWS-ն ընդհանրապես որևէ երթուղի ընդունել է, թե ոչ։ Այնուհետև համեմատեք դա այն բանի հետ, ինչ հաճախորդի սարքն իրականում տեղադրել է։ BGP-ում առկա, բայց փոխանցման աղյուսակում բացակայող նախածանցը տեղական ներմուծման կամ լավագույն ուղու խնդիր է, ոչ թե AWS երթուղային աղյուսակի խնդիր։

Եթե ենթացանցի աղյուսակում նախածանցն ընդհանրապես չկա, միացրեք տարածումը կամ ավելացրեք ստատիկ երթուղի, ապա նույն հարցումը կրկին կարդացեք տարածման միջակայքից հետո՝ փոխարենը ենթադրելու, որ փոփոխությունն անմիջական էր։ Եթե նախածանցը կա, և երթևեկությունը դեռ ձախողվում է, թողեք կառավարման հարթությունը հանգիստ և անցեք տվյալների ուղուն։

Ինչ չփոխել այնտեղ գտնվելիս

Մի՛ միացրեք կամ մի՛ անջատեք տարածումը անկապ երթուղային աղյուսակներում՝ մեկ բացակայող նախածանց ուղղելու համար, և մի՛ ավելացրեք լռելյայն երթուղի՝ մեկ բացակայող CIDR ծածկելու համար։ Երկու փոփոխություններն էլ լայնացնում են ազդեցության շրջանակը և դժվարացնում հաջորդ ախտորոշումը։ Սահմանափակեք խմբագրումը միայն այն աղյուսակով, որը սպասարկում է տվյալ աշխատանքային բեռի ենթացանցը։

Տվյալների ուղին առանձին է այս ամենից։ Անվտանգության խմբերը վիճակային են, ցանցային ACL-ները՝ ոչ, և հոսթի հրային պատը կամ ասիմետրիկ վերադարձի ուղին կարող են գցել այն երթևեկությունը, որը երթուղավորումը ճիշտ է հասցրել։ Հայտարարված ագրեգատը նույնպես չի լիազորում դրա ներսում գտնվող յուրաքանչյուր ծառայություն, ուստի սահմանափակեք մուտքը քաղաքականության սահմանին՝ փոխարենը հենվելու, թե արդյոք հասցեն պատահաբար հայտնվում է BGP հայտարարության մեջ։

Պահեք յուրաքանչյուր երթուղային աղյուսակի հարցման նախքան և հետո վիճակը փոփոխությունների մատյանում։ Եթե փոփոխությունը վատացնում է վիճակը, վերականգնեք նախորդ երթուղիները և հաստատեք նույն հարցումով, որովհետև հետգլորումը, որը չեք կարող ստուգել, ընդամենը ենթադրություն է։