VGW BGP хабарландырулары VPC маршрут кестесіне қарсы: не нені өзгертеді

VPC ішкі желісінің маршрут кестесінде жоқ префикс пен клиент маршрутизаторында жоқ префикс екі бөлек ақау, және олардың тек біреуі AWS маршрут кестелерінің ішінде түзетіледі. Виртуалды жеке шлюз өзінің VPC-сына байланысты CIDR блоктарын хабарлайды; ішкі желінің маршрут кестесі жүктеменің жауапты қайда жіберетінін анықтайды. Екіншісін біріншісін өзгерту тәсілі ретінде қарау осы диагностикадағы ең көп кездесетін қате бұрылыс. Төмендегі тексерулерді ретімен орындаңыз және екі бағытты бөлек ұстаңыз.

Кез келген кестені оқымас бұрын тіркемені атаңыз

Сайттан сайтқа VPN виртуалды жеке шлюзде немесе транзиттік шлюзде аяқталады, ал ресурс ID-лері қай маршруттау моделі қолданылатынын анықтайды. Алдымен соларды оқыңыз: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Жауап келесі тексерілетін кесте VPC маршрут кестесі ме, әлде транзиттік шлюздің маршрут кестесі ме екенін айтады.

Егер VPN транзиттік шлюзге тіркелген болса, VPC маршрут кестесін басқару жазықтығы ретінде қарауды тоқтатыңыз. Онда VPC кестесі шлюздің тіркемесін көрсетеді, ал біріктіру мен тарату транзиттік шлюздің маршрут кестесінде жүреді. Екі көріністі араластыру қате нысан туралы сенімді қорытындылар береді.

AWS-тен кеңсеге бағыт — бұл хабарландыру

VGW тіркемесі үшін шлюз өзінің VPC-сына байланысты CIDR блоктарын BGP арқылы клиент шлюзіне хабарлайды. Жеке ішкі желі маршрутын қосу немесе маршрутты тең VPC-ға не құрылғыға бағыттау тағы бір байланысты CIDR қоспайды және ол хабарландыруда көрінбейді. Егер кеңседе префикс жетіспесе, кез келген маршрут кестесін өңдеуге дейін қабылданған маршруттар тізімін VPC біріктірулерімен салыстырыңыз.

Қарапайым ереженің ерекшеліктері бар, сондықтан оны өз ауқымында ұстаңыз. VPN CloudHub конфигурациясы сайт префикстерін клиент шлюздері арасында қайта хабарлай алады, ал транзиттік шлюз өзінің тарату ережелерін ұстанады. VGW тек өз VPC-сын хабарлайды деген тұжырым пайдалы әдепкі мән, кездесетін әрбір топологияны қамтитын заң емес.

Кеңседен AWS-ке бағыт — тарату қосу таңдау

Қарсы бағытта VGW кеңсенің префиксін үйренеді, бірақ бұл жалғыз өзі жүктемені жылжытпайды. Ішкі желінің маршрут кестесінде не тіркеме үшін тарату қосылған болуы керек, не сол мақсатқа статикалық маршрут болуы керек. Бір префикс үшін екеуі де болса, статикалық маршрут жеңеді, ал ең ұзын префикстің сәйкестігі екеуінің де алдында орындалады.

Болжаудың орнына шығу тегін оқыңыз: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Шығу тегі EnableVgwRoutePropagation жазба BGP-ден келді; шығу тегі CreateRoute жазбаны адам терген және біреу оны жойғанша жеңіп келеді.

Екі бағытты бөлек ұстайтын рандбук

Бірдеңені өзгертуге дейін AWS жағында төрт фактіні жазыңыз: тіркеме түрі, VPC-ның байланысты CIDR-лері, қарастырылып отырған префикс үшін ішкі желі маршрутының шығу тегі, сондай-ақ туннель мен BGP күйі. Сол describe шақыруы әр туннель бойынша қабылданған маршрут санымен VgwTelemetry қайтарады, бұл AWS қандай да бір маршрут қабылдады ма, жоқ па соны білдіреді. Содан кейін оны клиент құрылғысы нақты орнатқан нәрсемен салыстырыңыз. BGP-де бар, бірақ жіберу кестесінде жоқ префикс — жергілікті импорт немесе ең жақсы жол мәселесі, AWS маршрут кестесінің мәселесі емес.

Егер ішкі желі кестесінде префикс мүлде болмаса, таратуды қосыңыз немесе статикалық маршрут қосыңыз, содан кейін өзгеріс бірден болды деп болжаудың орнына тарату аралығынан кейін сол сұранысты қайта оқыңыз. Егер префикс бар болса және трафик әлі де сәтсіз болса, басқару жазықтығын тыныш қалдырып, деректер жолына өтіңіз.

Онда жүргенде нені өзгертпеу керек

Бір жоқ префиксті түзету үшін байланысы жоқ маршрут кестелерінде таратуды қосып-өшірмеңіз және бір жоқ CIDR-ды жасыру үшін әдепкі маршрут қоспаңыз. Екі өзгеріс те әсер ауқымын кеңейтіп, келесі диагностиканы қиындатады. Өңдеуді тек қарастырылып отырған жүктеме ішкі желісіне қызмет ететін кестемен шектеңіз.

Деректер жолы осының бәрінен бөлек. Қауіпсіздік топтары күйі бар, желілік ACL-дер жоқ, ал хосттың брандмауэры немесе асимметриялық қайтару жолы маршруттау дұрыс жеткізген трафикті тастай алады. Хабарланған агрегат та оның ішіндегі әрбір қызметке рұқсат бермейді, сондықтан мекенжайдың BGP хабарландыруында кездейсоқ пайда болуына сенудің орнына қатынасты саясат шекарасында шектеңіз.

Әрбір маршрут кестесі сұранысының алдындағы және кейінгі күйін өзгерістер журналында сақтаңыз. Егер өзгеріс жағдайды нашарлатса, алдыңғы маршруттарды қалпына келтіріп, сол сұраныспен растаңыз, өйткені тексере алмайтын кері қайтару тек болжам ғана.