BGP-tilkynningar VGW á móti VPC-rútutöflunni: hvað breytir hvað

Vantar forskeyti í rútutöflu VPC-undirnets og vantar forskeyti á beini viðskiptavinarins eru tvenns konar bilun, og aðeins önnur þeirra er gerð við innan AWS-rútutaflna. Sýndar persónulega gáttin tilkynnir CIDR-blokkin sem tengjast VPC hennar; rútutafla undirnetsins ræður því hvar vinnuálag sendir svar. Að meðhöndla hið síðara sem leið til að breyta hinu fyrra er algengasta ranga beygjan í þessari greiningu. Keyrðu prófin hér að neðan í röð og haltu áttunum tveimur aðskildum.

Nefndu tenginguna áður en þú lest hvaða töflu sem er

Site-to-Site VPN endar annaðhvort á sýndar persónulegri gátt eða á flutningsgátt, og auðkenni auðlindanna ákvarða hvaða leiðarlíkan á við. Lestu þau fyrst: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Svarið segir þér hvort næsta taflan sem á að skoða sé VPC-rútutafla eða rútutafla flutningsgáttar.

Ef VPN er tengt flutningsgátt skaltu hætta að meðhöndla VPC-rútutöfluna sem stjórnlagið. Þar vísar VPC-taflan á tengingu gáttarinnar, og samtenging og dreifing eiga sér stað í rútutöflu flutningsgáttarinnar. Að blanda saman báðum sjónarhornum gefur öruggar ályktanir um rangt fyrirbæri.

Áttin frá AWS til skrifstofunnar er tilkynning

Fyrir VGW-tengingu tilkynnir gáttin CIDR-blokkin sem tengjast VPC hennar til gáttar viðskiptavinarins um BGP. Að bæta við einni undirnetsleið, eða beina leið að jafningja-VPC eða tæki, bætir ekki við annarri tengdri CIDR og birtist ekki í þeirri tilkynningu. Ef forskeyti vantar á skrifstofunni skaltu bera saman listann yfir mótteknar leiðir við samtengingar VPC áður en þú breytir einhverri rútutöflu.

Einfalda reglan hefur undantekningar, svo haltu henni innan marka. VPN CloudHub-fyrirkomulag getur tilkynnt staðarforskeyti aftur milli gátta viðskiptavina, og flutningsgátt fylgir eigin dreifingarreglum. Fullyrðingin um að VGW tilkynni aðeins eigið VPC er gagnlegt sjálfgefið gildi, ekki lög sem ná yfir hverja þá grannfræði sem þú mætir.

Áttin frá skrifstofunni til AWS er dreifing auk vals

Í hina áttina lærir VGW forskeyti skrifstofunnar, en það eitt hreyfir ekki vinnuálag. Rútutafla undirnetsins verður annaðhvort að hafa dreifingu virka fyrir tenginguna eða bera kyrra leið að sama áfangastað. Þegar bæði eru til fyrir eitt forskeyti vinnur kyrra leiðin, og samsvörun lengsta forskeytis keyrir á undan hvoru tveggja.

Lestu upprunann í stað þess að gera ráð fyrir honum: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Færsla með uppruna EnableVgwRoutePropagation kom frá BGP; færslu með uppruna CreateRoute skrifaði maður og hún heldur áfram að vinna þar til einhver eyðir henni.

Runbook sem heldur áttunum tveimur aðskildum

Skráðu fjórar staðreyndir á AWS-hliðinni áður en þú breytir einhverju: tegund tengingarinnar, tengdar CIDR VPC, uppruna undirnetsleiðarinnar fyrir viðkomandi forskeyti, og stöðu göngunnar og BGP. Sama describe-kallið skilar VgwTelemetry með fjölda samþykktra leiða á hverja göngu, sem segir þér hvort AWS samþykkti nokkrar leiðir yfirhöfuð. Berðu það svo saman við það sem tæki viðskiptavinarins setti í raun upp. Forskeyti sem er til staðar í BGP en vantar í framsendingartöfluna er staðbundið innflutnings- eða bestu leiðar vandamál, ekki AWS-rútutöflu vandamál.

Ef undirnetstöfluna vantar forskeytið algjörlega skaltu virkja dreifingu eða bæta við kyrrri leið, og lestu svo sömu fyrirspurn aftur eftir dreifingarbilið í stað þess að gera ráð fyrir að breytingin hafi verið tafarlaus. Ef forskeytið er til og umferðin mistekst samt skaltu láta stjórnlagið í friði og fara á gagnaleiðina.

Hvað á ekki að breyta meðan þú ert þar

Ekki kveikja eða slökkva á dreifingu á ótengdum rútutöflum til að laga eitt vantar forskeyti, og ekki bæta við sjálfgefinni leið til að hylja eina fjarverandi CIDR. Báðar breytingarnar víkka áhrifasviðið og gera næstu greiningu erfiðari. Takmarkaðu breytinguna við töfluna sem þjónar viðkomandi undirneti vinnuálagsins.

Gagnaleiðin er aðskilin frá öllu þessu. Öryggishópar eru stöðufestir, net-ACL eru það ekki, og eldveggur á hýsil eða ósamhverf bakleið getur sleppt umferð sem leiðsögnin skilaði rétt. Tilkynnt samsafn heimilar ekki heldur hverja þjónustu innan þess, svo takmarkaðu aðgang við stefnumörkin í stað þess að treysta á hvort vistfang birtist fyrir tilviljun í BGP-tilkynningu.

Geymdu fyrir og eftir hverrar rútutöflufyrirspurnar í breytingaskránni. Ef breytingin gerir ástandið verra skaltu endurheimta fyrri leiðir og staðfesta með sömu fyrirspurn, því afturköllun sem þú getur ekki staðfest er aðeins ágiskun.