Rute GCP VPN hanya berfungsi di satu region: periksa perutean dinamis

Beban kerja di AS mencapai prefiks kantor melalui HA VPN tanpa masalah, sementara beban kerja Eropa di VPC yang sama tidak mendapat apa pun. Tabel rutenya tidak memuat entri untuk prefiks tersebut, tidak ada terowongan yang mati, dan tidak ada aturan firewall yang berubah. Terowongan dan sesi BGP-nya sehat di kedua arah. VPC yang mencakup beberapa region tidak sama dengan rute yang dipelajarinya yang mencakup beberapa region, dan celah itulah yang menjelaskan seluruh gejala.

Di sini dua properti dicampur: di mana subnet berada, dan di mana hop berikutnya yang dipelajari boleh digunakan.

Dari mana cakupan regional berasal

Cloud Router memasang rute yang dipelajari dengan cakupan yang mengikuti mode perutean dinamis VPC. Dalam mode regional, rute yang dipelajari di satu region hanya dapat digunakan oleh sumber daya region itu, karena itu tabel Eropa kosong alih-alih menampilkan hop berikutnya yang rusak. Dalam mode global, rute yang dipelajari dan memenuhi syarat menjadi tersedia bagi sumber daya di setiap region VPC. Baca nilai saat ini sebelum mengubah apa pun, karena regional adalah default. Pengaturan itu berada di jaringan, bukan di terowongan atau di router.

Perintah inventaris bersifat hanya-baca dan menjawabnya dalam satu baris:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Jalankan di proyek host saat VPC dibagikan. Jaringan milik proyek itu, dan peran penampil di proyek beban kerja mungkin bahkan tidak menampilkan konfigurasi perutean. Jawaban cepat dari proyek yang salah lebih buruk daripada tidak ada jawaban.

Perubahan itu satu perintah dan satu arah

Peralihan ini adalah penyuntingan bidang kendali untuk seluruh VPC, bukan akal-akalan per VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Sifatnya juga satu arah, karena jaringan yang disetel ke global tidak dapat dikembalikan ke regional. Periksa lagi nama proyek dan jaringan sebelum menjalankannya, karena perintah itu tidak meminta konfirmasi. Perubahan ini pantas mendapat catatan pemeliharaan dan persetujuan pemilik jaringan, bukan eksperimen cepat pada VPC bersama.

Setiap lampiran Cloud Router, VPN, dan Interconnect di jaringan itu mewarisi cakupan baru sekaligus. Itu termasuk lampiran yang tidak disebutkan siapa pun dalam permintaan perubahan. Region yang sebelumnya tidak pernah memiliki rute itu mulai menerimanya begitu perubahan berlaku, karena itu tidak ada peluncuran bertahap untuk peralihan ini.

Global adalah cakupan, bukan jaminan

Kelayakan dan preferensi terpisah dari cakupan. Rute yang bertabrakan dengan prefiks yang lebih spesifik, kalah dalam pemilihan jalur terbaik, atau disaring oleh kebijakan berperilaku persis seperti sebelumnya. Mode global memperluas di mana rute boleh digunakan, tetapi tidak menentukan rute mana yang menang. Rute yang dipelajari bisa berada dalam cakupan dan tetap kalah dari jalur statis atau yang lebih spesifik di VPC yang sama.

Pembedaan itu penting karena perubahan mode mudah disalahkan nanti. Jika subnet Eropa tetap tanpa rute setelah peralihan, pertanyaannya adalah apakah rutenya ada dan memenuhi syarat, bukan apakah cakupannya berlaku. Konflik prefiks dan kesehatan hop berikutnya adalah dua hal berikutnya yang perlu dibaca.

Sisi jauh juga mengiklankan secara berbeda

Perilaku pengiklanan mengikuti pengaturan yang sama. Dengan perilaku default, router dalam mode regional mengiklankan subnet regionnya sendiri, sedangkan mode global mengiklankan subnet VPC lebih luas. Karena itu mengubah mode tidak hanya mengubah apa yang boleh digunakan region Anda, tetapi juga apa yang dipasang sisi jauh.

Daftar pengiklanan khusus tidak meluas saat mode berubah. Jika router lokal menyimpan daftar rentang yang ditulis tangan, prefiks Eropa tetap tidak ada di dalamnya. Jalur kembali tetap rusak dalam kasus itu meskipun rute keluar sekarang ada. Periksa apa yang dipasang sisi jauh, bukan apa yang Anda ekspor.

Apa yang tidak akan pernah diperbaiki mode ini

Perutean global tidak memberikan akses internet publik, transit antara VPC yang tidak terkait, atau rute statis yang hilang. Perutean ini tidak mengubah aturan firewall atau IAM, jadi koneksi yang ditolak kebijakan tetap ditolak.

Kegagalan itu terlihat sama dari dalam beban kerja dan tidak ada hubungannya dengan cakupan rute.

Uji dari region jauh ke layanan sebenarnya, lalu pastikan balasannya kembali melalui terowongan yang dimaksud. Catat mode, konfigurasi pengiklanan, dan tujuan yang Anda uji. Jika pengujian masih gagal, bandingkan tabel BGP router jauh dengan daftar rute VPC sebelum menyentuh mode lagi. Dengan begitu laporan lintas region berikutnya dimulai dari fakta, bukan dari perubahan mode.