Неліктен BGP сессиясы VPC маршрут кестесінде көрінбейді

Қайталанатын әңгіме — EC2 VPN құрылғысындағы маршруттау демоны BGP көтерілген бойда VPC-ге өзінің қашықтағы префикстерін үйретеді деген. Оның жартысы рас. Сессия көтеріледі, бірақ соның салдарынан VPC маршрут кестесінде ештеңе өзгермейді, сондықтан бірінші белгі әдетте трафикті үнсіз қара шұңқырға тастайтын қосымша желі болады.

Мұнда екі түрлі нәрсе шатастырылады: маршруттау серверімен пиринг және маршруттарды кестеге орнату.

Аңыз: BGP-ны көтер, VPC префикстерді үйренеді

BGP — екі сөйлеуші арасындағы әңгіме, және бұл дизайнда сөйлеушілер — сіздің құрылғыңыздағы маршруттау демоны және AWS сіздің меншігіңіздегі қосымша желіге орналастыратын VPC Route Server шеткі нүктесі. Бұл әңгіме префикстерді тасымалдайды. Ол сіздің жұмыс жүктемесі қосымша желілерінің маршрут кестесіне тимейді, өйткені ол кестелер тек әрқайсысында қосу керек тарату арқылы ғана үйренеді. Бұл болмайынша, VPC матасы құрылғы білетін нәрсе туралы ештеңе білмейді.

Баптау қадамдары бір себеппен бөлінген: байланыстыру, шеткі нүктені жасау, пиринг жасау, содан кейін таратуды қосу.

Route Server — басқару жазықтығы, туннель емес

Route Server бірде-бір пакетті шифрламайды, жібермейді және тексермейді. Ол құрылғымен BGP алмасу және алынған префикстерді оларды қабылдауға конфигурацияланған маршрут кестелеріне беру үшін бар. Деректер жазықтығы өзгерген жоқ: пакеттер әлі де құрылғының желілік интерфейсі арқылы шығады, оның VPN арқылы жүреді және сол жолмен қайтады.

Бұл жіберуші инстанциядағы көз бен межелікті тексеру әлі де маңызды дегенді білдіреді, өйткені инстанция енді басқа біреуге арналған трафикті жібереді.

Қауіпсіздік топтары мен қосымша желі бақылаулары жіберілетін ағынға да қолданылады. Route Server трафикті тастайтын құрылғыны оны жіберуге мәжбүрлемейді және қашықтағы жақта жоқ қайтару маршрутын жөндемейді.

Тарату әр маршрут кестесі бойынша, бүкіл VPC бойынша емес

Маршруттау серверін VPC-ге байланыстыру және маршрут кестесінде таратуды қосу — екі шешім, және тек екіншісі қосымша желінің не істейтінін өзгертеді. Алты маршрут кестесі бар VPC таратылған префиксті біреуінде қабылдап, қалған бесеуінде қабылдамауы мүмкін, бұл хаб қосымша желісі үшін дәл дұрыс және дәл «жартылай жұмыс істейді» деген шатастыратын нәтижені тудырады. Тарату қосулы жерде де бәсекелес маршрут жеңуі мүмкін, өйткені VPC маршрут таңдауы ең ұзын префиксті қалайды, ал тең ұзындықта таратылғаннан статикалық маршрутты қалайды. Бұл басымдық үнсіз қолданылады.

Құрылғы жариялайтын префикстер тізімінің орнына нақты қосымша желінің тиімді кестесін тексеріңіз. API бұл сұраққа тікелей жауап береді: aws ec2 associate-route-server және aws ec2 enable-route-server-propagation --route-table-id <id> — адамдар ұмытып кететін екі қадам, ал aws ec2 describe-route-tables --route-table-ids <id> префикстің route server жазбасы ретінде келіп-келмегенін көрсетеді.

Құрылғы әлі де әр пакетті тасымалдайды

Қолжетімділікті жариялау оны иеленумен бірдей емес. BGP сессиясы құрылғының VPN өшіп тұрғанда да орнатылған күйде қала алады, ал ешқашан өзгермейтін статикалық хабарландыру трафикті өлі жолға қарай тартуды жалғастырады. Route Server BFD сияқты ақауларды анықтауды қолдайды, бірақ бұл серіктестің тіршілігін тексереді, оның артындағының бәрінің денсаулығын емес.

Хабарландыруды нақты қашықтағы маршрутқа байлаңыз: туннель мен қашықтағы желі жұмыс істеп тұрғанда префиксті жариялаңыз, ал жұмыс істемегенде кері қайтарып алыңыз.

Префиксті кері қайтарып алып, не болатынын көріңіз

Кезең-кезеңімен тексеріңіз және соңғы кезеңді жою етіңіз. Хабарландырудың жеткенін, префикстің әрбір көзделген кестеде пайда болғанын, құрылғының келесі хоп екенін, жіберудің белсенді туннельден өткенін және қашықтағы жақтың жауап бергенін растаңыз. Содан кейін сынақ префиксін кері қайтарып алыңыз немесе бекітілген туннельді жабыңыз және трафиктің дизайн айтқан жерге жылжығанын бақылаңыз. Сынақ ашық кезде кестелерді дейін және кейін жазып алыңыз.

Маршрутты екінші құрылғыға жылжыту ол тасымалдаған сессияларды жылжытпайды, өйткені NAT және firewall күйі бірінші құрылғыда қалады.

Он шақты префикстен тұратын тұрақты жиын үшін VPC кестелеріндегі статикалық маршруттар арзанырақ жауап болып қала береді. Route Server өз орнын префикстер тізімі шынымен өзгергенде және кері қайтарып алу саясатын кезекші адамға түсіндіре алатын кезде алады.