GCP VPN 경로가 한 리전에서만 작동합니다: 동적 라우팅을 확인하세요

미국의 워크로드는 HA VPN을 통해 사무실 접두사에 문제없이 도달하지만, 같은 VPC의 유럽 워크로드는 아무것도 받지 못합니다. 그 라우팅 테이블에는 이 접두사에 대한 항목이 없습니다, 어떤 터널도 내려가 있지 않고, 어떤 방화벽 규칙도 바뀌지 않았습니다. 터널과 BGP 세션은 양방향으로 정상입니다. 리전에 걸쳐 있는 VPC는 학습된 경로가 리전에 걸쳐 있는 것과 같지 않으며, 바로 그 차이가 전체 증상을 설명합니다.

여기서 두 가지 속성이 혼동됩니다: 서브넷이 어디에 있는지, 그리고 학습된 다음 홉을 어디에서 쓸 수 있는지입니다.

리전 범위는 어디에서 오는가

Cloud Router는 VPC의 동적 라우팅 모드를 따르는 범위로 학습된 경로를 설치합니다. 리전 모드에서는 한 리전에서 학습된 경로를 그 리전의 리소스만 사용할 수 있으므로, 유럽 테이블이 끊어진 다음 홉을 보여주는 대신 비어 있습니다. 글로벌 모드에서는 자격을 갖춘 학습 경로가 VPC의 모든 리전 리소스에서 사용 가능해집니다. 무엇이든 바꾸기 전에 현재 값을 읽으세요, 기본값이 리전이기 때문입니다. 설정은 네트워크에 있고, 터널이나 라우터에 있지 않습니다.

인벤토리 명령은 읽기 전용이며 한 줄로 답합니다:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

VPC가 공유되는 경우 호스트 프로젝트에서 실행하세요. 네트워크는 그 프로젝트에 속하며, 워크로드 프로젝트의 뷰어 역할은 라우팅 구성을 아예 보여주지 않을 수도 있습니다. 잘못된 프로젝트에서 얻은 빠른 답은 답이 없는 것보다 나쁩니다.

변경은 명령 하나와 방향 하나입니다

전환은 VPC 전체의 제어 영역 편집이지 VM별 우회가 아닙니다: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. 또한 단방향이라서, 글로벌로 설정한 네트워크는 리전으로 되돌릴 수 없습니다. 명령이 확인을 요구하지 않으므로 실행 전에 프로젝트와 네트워크 이름을 한 번 더 확인하세요. 이 변경에는 유지보수 기록과 네트워크 소유자의 승인이 필요하며, 공유 VPC에서의 즉흥적인 실험이 아닙니다.

그 네트워크의 모든 Cloud Router, VPN, Interconnect 연결은 새 범위를 한꺼번에 상속합니다. 변경 요청에서 아무도 언급하지 않은 연결도 포함됩니다. 이전에 경로가 없던 리전도 변경이 적용되는 즉시 경로를 받기 시작하므로, 이 전환에는 단계적 롤아웃이 없습니다.

글로벌은 범위이지 보장이 아닙니다

자격과 선호는 범위와 별개입니다. 더 구체적인 접두사와 충돌하거나, 최적 경로 선택에서 지거나, 정책으로 필터링되는 경로는 이전과 똑같이 동작합니다. 글로벌 모드는 경로를 쓸 수 있는 위치를 넓힐 뿐, 어떤 경로가 이기는지는 정하지 않습니다. 학습된 경로는 범위 안에 있어도 같은 VPC의 정적 또는 더 구체적인 경로에 질 수 있습니다.

이 구분이 중요한 이유는 나중에 모드 변경을 탓하기 쉬워서입니다. 전환 후에도 유럽 서브넷에 경로가 없다면, 물어야 할 것은 경로가 존재하고 자격이 있는지이지 범위가 효력을 냈는지가 아닙니다. 접두사 충돌과 다음 홉 상태가 다음에 읽어야 할 두 가지입니다.

원격 측도 다르게 광고합니다

광고 동작은 같은 설정을 따릅니다. 기본 동작에서 리전 모드의 라우터는 자기 리전의 서브넷을 광고하고, 글로벌 모드는 VPC의 서브넷을 더 넓게 광고합니다. 따라서 모드를 바꾸면 여러분의 리전이 쓸 수 있는 것뿐 아니라 원격 측이 설치하는 것도 바뀝니다.

사용자 지정 광고 목록은 모드가 바뀌어도 확장되지 않습니다. 온프레미스 라우터가 손으로 쓴 범위 목록을 가지고 있다면 유럽 접두사는 그대로 빠져 있습니다. 그 경우 외부로 나가는 경로가 생겼어도 돌아오는 경로는 끊긴 채입니다. 내보낸 것이 아니라 원격 측이 설치한 것을 확인하세요.

모드가 결코 고치지 못하는 것

글로벌 라우팅은 공용 인터넷 접근, 무관한 VPC 간 트랜짓, 빠진 정적 경로를 제공하지 않습니다. 방화벽 규칙이나 IAM도 바꾸지 않으므로 정책이 거부한 연결은 거부된 채입니다.

이런 실패는 워크로드 안에서 똑같이 보이며 경로 범위와는 아무 관련이 없습니다.

먼 리전에서 실제 서비스로 시험하고, 응답이 의도한 터널로 돌아오는지 확인하세요. 모드, 광고 구성, 시험한 대상을 기록하세요. 시험이 여전히 실패하면 모드를 다시 건드리기 전에 원격 라우터의 BGP 테이블과 VPC 경로 목록을 비교하세요. 그러면 다음 리전 간 보고서는 모드 변경이 아니라 사실에서 시작합니다.