Булут VPN үчүн BGP керек: эмне үчүн башка маршруттоо протоколдору иштебейт

IPsec коопсуздук ассоциациясы иштеп жатат, туннелдин эсептегичтери кыймылдайт, ал эми булут префиксине трафик жоголот. Андан кийин оператор кардар маршрутизаторунда OSPFти күйгүзүүгө аракет кылат, кошуна түзүлөт деп күтөт, бирок эч нерсе болбойт. Туннель эч качан жетишпеген бөлүк болгон эмес: башкарылуучу булут VPN такталган маршруттоо келишин сунуштайт, ал эми чоң платформаларда бул келишим BGP болуп саналат. Сессия пайда болуп, префикс кабыл алынмайынча, туннель артында багыттары жок шифрленген жол гана.

Туннель иштеп жатат, маршрут жок

1-жана 2-фазанын аякташы тараптар коргоо боюнча макулдашканын далилдейт, бирок трафикти кайда жөнөтүүнү билгенин эмес. Булар өзүнчө иштеп чыгуу режимдери бар өзүнчө абал машиналары.

Кезеги менен үч суроо бериңиз: префикс жарыяландыбы, кошуна аны кабыл алдыбы, жана ал кайра багыттоо үчүн орнотулдубу? Жарыяланып, чыпкаланган префикс — саясат маселеси. Эч качан жарыяланбаган префикс — сессия же конфигурация маселеси. Кабыл алынып, бирок орнотулбаган префикс — маршрут тандоо маселеси, жана ар бир жооп конфигурациянын башка бөлүгүн көрсөтөт.

Провайдер сизге чындыгында эмне берет

Башкарылуучу VPN шлюзу чексиз маршрутизатор эмес. Провайдер сизге колдоого алынган кошуна даректери, автономдук система жөндөөсү, префикс чектөөлөрү жана такталган иштеп чыгуу жүрүм-туруму бар шлюз берет. Ошол бет — продукт.

Google Cloud HA VPN үчүн динамикалык BGP маршруттоосун документтештирет, мында Cloud Router кошуна маршруттарын үйрөнүп, VPCге ылайыктуу ыңгайлаштырылган динамикалык маршруттарды берет. AWS Site-to-Site VPN статикалык жана динамикалык маршруттоо ортосундагы тандоону документтештирет жана BGP тирүүлүк текшерүүлөрүн туннелди которуу үчүн пайдалуу деп сүрөттөйт, ошондой эле BGP жок түзмөктөр үчүн ден соолук текшерүүлөрүн колдойт. Бир платформанын жүрүм-турумун экинчисинин продукт атынан чыгарууга болбойт.

Практикалык натыйжа — сиз алгач башкарылуучу режимди тандайсыз, анан колдоого алынган параметрлерди окуйсуз. Кызмат сунуштабаган кошуналык түрүн болжолдогон долбоор — кардар маршрутизаторунда чечилүүчү конфигурация маселеси эмес.

Туннелди коргоо жана жеткиликтүүлүк өзүнчө иштер

IPsec туннель үчүн тандалган трафикти коргойт. BGP префиксти ылайыктуу кылган жеткиликтүүлүк маалыматын берет. Иштеп турган туннель күтүлгөн префикстин жарыяланганын, кабыл алынганын же орнотулганын далилдебейт.

Эки ылайыктуу туннель жолу аркылуу 10.42.0.0/16 жарыялаган филиалды элестетиңиз. Бир колдонулуучу жолду алып салыңыз, жана ар бир жумуш жүктөмүнүн маршрутун эч ким оңдобосо да маршрут тандоо өзгөрүшү мүмкүн. Аныктоо, маршрут тандоо жана колдонмону калыбына келтирүү заматта эмес жана жайгаштыруулар боюнча бирдей эмес, ошондуктан которуу сынагы өткөн биринчи пакетти эмес, бүтүндөй ырааттуулукту байкоого тийиш.

Булут префикси жеткиликсиз болгондо, криптографияга тийүүдөн мурун сессия абалын жана үйрөнүлгөн маршруттарды текшериңиз. Артында маршруту жок иштеп турган SA — бул симптомдун эң кеңири тараган түрү.

OSPF божомолдору кайда бузулат

IPsec туннелинин ичинде OSPF, IS-IS же башка протокол өзүн-өзү башкаруучу түзмөктө толук мүмкүн, мында эки учу да, кайра багыттоо долбоору да сиздики. Бул факт динамикалык маршруттоо режими катары BGPни гана сунуштаган башкарылуучу кызмат жөнүндө эч нерсе айтпайт.

Эгер сунушталган долбоор кызмат колдобогон кошуналыкты талап кылса, архитектураны атайын өзгөртүңүз. Варианттарга VPCдеги өзүн-өзү башкаруучу түзмөк, кызмат колдогон жерде статикалык маршруттоо же башка байланыш продуктысы кирет. Протоколду кардар маршрутизаторунда гана конфигурациялоо булут тарапта жок кошунаны кошо албайт жана префикстин пайда болушуна алып келбейт.

Бир жеткирүүчүнүн жообун экинчисинин шлюзуна көчүрбөңүз. Бирдей сөздөр, мисалы динамикалык маршруттоо же туннелди которуу, ар кандай механизмдерди жана ар кандай чектөөлөрдү сүрөттөшү мүмкүн.

Кызматтын талабын окуңуз, анан долбоорлоңуз

Биринчи конфигурация сабынын алдында кошуна даректерин, автономдук системалардын номурларын, жарыялай турган жана кабыл ала турган префикстерди, маршрут чектөөлөрүн жана туннель иштебей калганда күтүлүүчү жүрүм-турумду жазып коюңуз. Ошол беш пункт — сиз долбоорлоп жаткан келишим.

Анан ошол эле тартипте текшериңиз: сессия орнотулду, префикс алынды, маршрут VPC маршрут таблицасында бар жана кызмат дарегине чыныгы агым бар. Мажбурланган которуудан кийин кайталаңыз, анткени кайра орнотулган сессия башка маршруттар топтому менен кайтышы мүмкүн. Эгер долбоор секунддан аз конвергенцияга көз каранды болсо, болжолдоонун ордуна өлчөңүз.

Кызмат келишимин өзгөртүү жазуусу менен бирге сактаңыз. Кийинчерээк бирөө туннель эмне үчүн OSPF иштете албайт деп сураса, жооп — протокол чектөөсү эмес, продукт чеги, жана жазуу ушундай деп айтышы керек.