GCP VPN маршруту бир аймакта гана иштейт: динамикалык маршруттоону текшериңиз

АКШдагы жумуш жүктөмү HA VPN аркылуу кеңсе префиксине эч кыйынчылыксыз жетет, ал эми ошол эле VPCдеги европалык жүктөм эч нерсе албайт. Анын маршрут таблицасында бул префикс үчүн жазуу жок, бир да туннель өчүрүлгөн эмес жана бир да firewall эрежеси өзгөргөн эмес. Туннель жана анын BGP сессиясы эки тарапта тең соо. Аймактарды камтыган VPC анын аймактарды камтыган үйрөнүлгөн маршруттары менен бирдей нерсе эмес, жана дал ошол ажырым бүт симптомду түшүндүрөт.

Бул жерде эки касиет аралашат: ички тармактар кайда жайгашкан жана үйрөнүлгөн кийинки секирик кайда колдонула алат.

Аймактык камтуу кайдан келет

Cloud Router үйрөнүлгөн маршруттарды VPCнин динамикалык маршруттоо режимине баш ийген камтуу менен орнотот. Аймактык режимде бир аймакта үйрөнүлгөн маршрутту ошол аймактын ресурстары гана колдоно алат, ошондуктан европалык таблица бузулган кийинки секирикти көрсөтүүнүн ордуна бош. Глобалдуу режимде ылайыктуу үйрөнүлгөн маршруттар VPCнин ар бир аймагындагы ресурстарга жеткиликтүү болот. Бир нерсени өзгөртүүдөн мурун учурдагы маанини окуңуз, анткени аймактык режим демейки. Жөндөө тармакта, туннелде да, маршруттагычта да эмес.

Инвентаризация командасы окуу үчүн гана жана ага бир сап менен жооп берет:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

VPC бөлүшүлгөндө аны хост долбоорунда иштетиңиз. Тармак ошол долбоорго таандык, ал эми жумуш жүктөмүнүн долбоорундагы көрүүчү ролу маршруттоо конфигурациясын таптакыр көрсөтпөшү мүмкүн. Туура эмес долбоордон алынган тез жооп жооптун жоктугунан да жаман.

Өзгөртүү бир команда жана бир багыт

Которуу бүт VPC үчүн башкаруу тегиздигин түзөтүү болуп саналат, ар бир VM үчүн айланып өтүү эмес: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Ал ошондой эле бир багыттуу, анткени глобалдууга коюлган тармакты аймактыкка кайтаруу мүмкүн эмес. Иштетүүдөн мурун долбоордун жана тармактын атын дагы бир жолу текшериңиз, анткени команда ырастоону сурабайт. Бул өзгөртүү тейлөө жазуусун жана тармак ээсинин макулдугун талап кылат, жалпы VPCде тез сыноо жасоону эмес.

Ошол тармактагы ар бир Cloud Router, VPN жана Interconnect туташуусу жаңы камтууну бир заматта мурастайт. Буга өзгөртүү суроосунда эч ким эске салбаган туташуулар да кирет. Мурун бул маршрут болбогон аймактар өзгөртүү күчүнө кирген замат аны кабыл ала башташат, ошондуктан бул которуу үчүн этап-этабы менен чыгаруу жок.

Глобалдуу — камтуу, кепилдик эмес

Ылайыктуулук жана артыкчылык камтуудан өзүнчө. Кыйла так префикс менен кайчы келген, эң жакшы жол тандоодо жеңилген же саясат менен чыпкаланган маршрут мурдагыдай эле жүрүм көрсөтөт. Глобалдуу режим маршрутту кайда колдонууга болорун кеңейтет, бирок кайсы маршрут жеңерин чечпейт. Үйрөнүлгөн маршрут камтуунун ичинде болуп, ошол эле VPCдеги статикалык же кыйла так жолго жеңилиши мүмкүн.

Бул айырма маанилүү, анткени режим өзгөртүүсүн кийин күнөөлөө оңой. Эгер которуудан кийин да европалык ички тармакта маршрут болбосо, суроо маршруттун бар-жогунда жана ылайыктуулугунда, камтуунун күчүнө киргенинде эмес. Префикс кагылышуулары жана кийинки секириктин соолугу — окула турган кийинки эки нерсе.

Алыскы тарап да башкача жарыялайт

Жарыялоо жүрүмү ошол эле жөндөөгө баш ийет. Демейки жүрүмдө аймактык режимдеги маршруттагыч өз аймагынын ички тармактарын жарыялайт, ал эми глобалдуу режим VPCнин ички тармактарын кеңири жарыялайт. Ошондуктан режимди өзгөртүү сиздин аймактар эмнени колдоно аларын гана эмес, алыскы тарап эмнени орноторун да өзгөртөт.

Ыңгайлаштырылган жарыялоо тизмеси режим өзгөргөндө кеңейбейт. Эгер жергиликтүү маршруттагычта кол менен жазылган диапазондор тизмеси болсо, европалык префикс анда жок бойдон калат. Бул учурда кайтуу жолу чыгуучу маршрут азыр болсо да бузук бойдон калат. Алыскы тарап эмнени орнотконун текшериңиз, өзүңүз эмнени экспорттогонуңузду эмес.

Режим эч качан оңдобой турган нерсе

Глобалдуу маршруттоо коомдук интернетке жетүүнү, байланышпаган VPCлердин ортосундагы транзитти же жетишпеген статикалык маршруттарды бербейт. Ал firewall эрежелерин же IAMды өзгөртпөйт, ошондуктан саясат менен четке кагылган байланыш четке кагылган бойдон калат.

Бул бузулуулар жумуш жүктөмүнүн ичинен бирдей көрүнөт жана маршрут камтуусуна эч тиешеси жок.

Алыскы аймактан чыныгы кызматка чейин сынаңыз, анан жооптун көздөлгөн туннель аркылуу кайтканын ырастаңыз. Режимди, жарыялоо конфигурациясын жана сиз сынаган багытты жазып алыңыз. Эгер сыноо дагы эле ийгиликсиз болсо, режимге кайра тийүүдөн мурун алыскы маршруттагычтын BGP таблицасын VPC маршрут тизмеси менен салыштырыңыз. Ошондо кийинки аймакаралык отчет режим өзгөртүүсүнөн эмес, фактылардан башталат.