GCP VPN маршруты бір аймақта ғана жұмыс істейді: динамикалық маршруттауды тексеріңіз

АҚШ-тағы жұмыс жүктемесі HA VPN арқылы кеңсе префиксіне еш қиындықсыз жетеді, ал сол VPC-дегі еуропалық жүктеме ештеңе алмайды. Оның маршрут кестесінде бұл префикс үшін жазба жоқ, бірде-бір туннель өшірілмеген және бірде-бір firewall ережесі өзгермеген. Туннель мен оның BGP сессиясы екі бағытта да сау. Аймақтарды қамтитын VPC оның аймақтарды қамтитын үйренген маршруттарымен бірдей нәрсе емес, және дәл осы алшақтық бүкіл симптомды түсіндіреді.

Мұнда екі қасиет шатастырылады: ішкі желілер қайда орналасқан және үйренген келесі секіріс қайда қолданыла алады.

Аймақтық ауқым қайдан келеді

Cloud Router үйренген маршруттарды VPC-нің динамикалық маршруттау режиміне сәйкес келетін ауқыммен орнатады. Аймақтық режимде бір аймақта үйренген маршрутты тек сол аймақтың ресурстары пайдалана алады, сондықтан еуропалық кесте бұзылған келесі секірісті көрсетудің орнына бос. Жаһандық режимде сай үйренген маршруттар VPC-нің әр аймағындағы ресурстарға қолжетімді болады. Бірдеңе өзгертудің алдында ағымдағы мәнді оқыңыз, өйткені аймақтық режим әдепкі. Параметр желіде, туннельде де, маршруттаушыда да емес.

Түгендеу командасы тек оқуға арналған және оған бір жолмен жауап береді:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

VPC ортақ болғанда оны хост жобасында орындаңыз. Желі сол жобаға тиесілі, ал жұмыс жүктемесі жобасындағы көрермен рөлі маршруттау конфигурациясын мүлде көрсетпеуі мүмкін. Дұрыс емес жобадан алынған жылдам жауап жауаптың болмағанынан да нашар.

Өзгеріс бір команда және бір бағыт

Ауыстыру бүкіл VPC үшін басқару жазықтығын өңдеу болып табылады, әр VM үшін айналма жол емес: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Ол сондай-ақ бір бағытты, өйткені жаһандыққа қойылған желіні аймақтыққа қайтару мүмкін емес. Іске қоспас бұрын жоба мен желі атауын тағы бір рет тексеріңіз, өйткені команда растауды сұрамайды. Бұл өзгеріс техникалық қызмет көрсету жазбасын және желі иесінің мақұлдауын қажет етеді, ортақ VPC-де жылдам тәжірибе жасауды емес.

Сол желідегі әрбір Cloud Router, VPN және Interconnect қосылымы жаңа ауқымды бірден мұра етеді. Бұған өзгеріс сұранысында ешкім атап өтпеген қосылымдар да кіреді. Бұрын бұл маршрут болмаған аймақтар өзгеріс күшіне енген бойда оны қабылдай бастайды, сондықтан бұл ауыстыру үшін кезең-кезеңмен шығару жоқ.

Жаһандық — ауқым, кепілдік емес

Сәйкестік пен басымдық ауқымнан бөлек. Неғұрлым нақты префикспен қайшы келетін, үздік жолды таңдауда жеңілетін немесе саясатпен сүзілетін маршрут бұрынғыдай әрекет етеді. Жаһандық режим маршрутты қайда қолдануға болатынын кеңейтеді, бірақ қай маршрут жеңетінін шешпейді. Үйренген маршрут ауқым ішінде болып, сол VPC-дегі статикалық немесе неғұрлым нақты жолға жеңілуі мүмкін.

Бұл айырмашылық маңызды, өйткені режим өзгерісін кейін кінәлау оңай. Егер ауыстырудан кейін де еуропалық ішкі желіде маршрут болмаса, сұрақ маршруттың бар-жоғында және сәйкестігінде, ауқымның күшіне енгенінде емес. Префикс қақтығыстары мен келесі секірістің саулығы — оқылатын келесі екі нәрсе.

Алыс жақ та басқаша хабарлайды

Хабарлау тәртібі сол параметрге бағынады. Әдепкі тәртіпте аймақтық режимдегі маршруттаушы өз аймағының ішкі желілерін хабарлайды, ал жаһандық режим VPC-нің ішкі желілерін кеңірек хабарлайды. Сондықтан режимді өзгерту тек сіздің аймақтарыңыз нені пайдалана алатынын ғана емес, алыс жақтың нені орнататынын да өзгертеді.

Теңшелетін хабарлау тізімі режим өзгергенде кеңеймейді. Егер жергілікті маршруттаушыда қолмен жазылған ауқымдар тізімі болса, еуропалық префикс онда жоқ күйінде қалады. Бұл жағдайда қайту жолы шығыс маршруты енді болса да бұзылған күйінде қалады. Алыс жақ нені орнатқанын тексеріңіз, өзіңіз нені экспорттағаныңызды емес.

Режим ешқашан түзетпейтін нәрсе

Жаһандық маршруттау жалпыға ортақ интернетке қолжетімділік, байланыспаған VPC арасындағы транзит немесе жетіспейтін статикалық маршруттар бермейді. Ол firewall ережелерін немесе IAM-ды өзгертпейді, сондықтан саясатпен қабылданбаған қосылым қабылданбаған күйінде қалады.

Бұл ақаулар жұмыс жүктемесінің ішінен бірдей көрінеді және маршрут ауқымына еш қатысы жоқ.

Алыс аймақтан нақты қызметке дейін тексеріңіз, содан кейін жауаптың көзделген туннель арқылы қайтатынын растаңыз. Режимді, хабарлау конфигурациясын және тексерген межелі орынды жазып алыңыз. Егер тест әлі де сәтсіз болса, режимге қайта тиюдің алдында алыс маршруттаушының BGP кестесін VPC маршрут тізімімен салыстырыңыз. Сонда келесі аймақаралық есеп режим өзгерісінен емес, деректерден басталады.