BGP-Annoncen vum VGW géintiwwer der VPC-Routentabell: wat wat ännert

E fehlende Präfix an enger VPC-Subnetz-Routentabell an e fehlende Präfix um Router vum Client sinn zwee verschidde Feeler, a just een dovun gëtt bannent den AWS-Routentabellen reparéiert. De virtuelle private Gateway annoncéiert d'CIDR-Bléck, déi mat sengem VPC verbonne sinn; d'Subnetz-Routentabell entscheet, wou eng Aarbechtslaascht eng Äntwert hinschickt. Déi zweet als Mëttel behandelen, fir déi éischt ze änneren ass de heefegste falschen Tour an dëser Diagnos. Fëllt d'Prüfunge hei drënner an der Rei duerch a haalt déi zwou Richtungen getrennt.

Nennt d'Unhängsel, ier Dir iergendeng Tabell liest

En Site-to-Site-VPN endet entweder op engem virtuelle private Gateway oder op engem Transit-Gateway, an d'Ressourcen-IDen entscheeden, wéi ee Routingmodell gëllt. Liest se fir d'éischt: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. D'Äntwert seet Iech, ob déi nächst Tabell, déi ze kontrolléieren ass, eng VPC-Routentabell oder eng Routentabell vum Transit-Gateway ass.

Wann de VPN un en Transit-Gateway ugeschloss ass, stoppt domat, d'VPC-Routentabell als Kontrollplang ze behandelen. Do weist d'VPC-Tabell op d'Gateway-Unhängsel, an d'Assoziéierung an d'Propagéierung geschéien an der Routentabell vum Transit-Gateway. D'zwou Siichten ze vermëschen gëtt selbstsécher Schlussfolgerungen iwwer dat falscht Objet.

D'Richtung vun AWS op de Büro ass eng Annonce

Fir eng VGW-Unhängsel annoncéiert de Gateway d'CIDR-Bléck, déi mat sengem VPC verbonne sinn, iwwer BGP un de Client-Gateway. Eng eenzel Subnetzroute bäizesetzen oder eng Route op en peerte VPC oder en Apparat riichten, füügt keen aneren associéierten CIDR bäi an erschéngt net an där Annonce. Wann am Büro e Präfix fehlt, vergläicht d'Lëscht vun deene kritt Routen mat den VPC-Associatiounen, ier Dir iergendeng Routentabell ännert.

Déi einfach Regel huet Ausnamen, dofir haalt se an hirem Kader. Eng VPN-CloudHub-Konfiguratioun kann Site-Präfixen tëscht Client-Gateways nei annoncéieren, an en Transit-Gateway follegt sengen eegene Propagéierungsregelen. D'Aussag, datt e VGW just säin eegene VPC annoncéiert, ass eng nëtzlech Standardastellung, keen Gesetz, dat all Topologie deckt, déi Dir begéint.

D'Richtung vum Büro op AWS ass Propagéierung plus Auswiel

An der Géigerichtung léiert de VGW de Präfix vum Büro, awer dat eleng beweegt keng Aarbechtslaascht. D'Subnetz-Routentabell muss entweder d'Propagéierung fir d'Unhängsel aktivéiert hunn oder eng statesch Route op déiselwecht Destinatioun droen. Wann béides fir ee Präfix existéiert, gewënnt déi statesch Route, an de längste-Präfix-Match leeft virun béide.

Liest den Urspronk, amplaz en unzehuelen: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. En Andrag mam Urspronk EnableVgwRoutePropagation koum vum BGP; en Andrag mam Urspronk CreateRoute gouf vun engem Mënsch getippt a wäert weider gewannen, bis een en läscht.

E Runbook, deen déi zwou Richtungen getrennt hält

Notéiert véier Fakten op der AWS-Säit, ier Dir eppes ännert: den Typ vun der Unhängsel, d'associéiert CIDR vum VPC, den Urspronk vun der Subnetzroute fir de betreffende Präfix, an den Zoustand vum Tunnel an BGP. Dee selwechte describe-Aufruff gëtt VgwTelemetry zréck mat enger Zuel vu akzeptéierte Routen pro Tunnel, wat Iech seet, ob AWS iwwerhaapt Routen akzeptéiert huet. Vergläicht dat dann mat deem, wat den Apparat vum Client tatsächlech installéiert huet. E Präfix, deen am BGP ass awer an der Weiderleedungstabell fehlt, ass e lokalt Import- oder Beschten-Wee-Problem, keen AWS-Routentabellproblem.

Wann der Subnetztabell de Präfix komplett fehlt, aktivéiert d'Propagéierung oder füügt eng statesch Route bäi, a liest duerno déiselwecht Query nom Propagéierungsintervall nach eng Kéier, amplaz unzehuelen, d'Ännerung wier direkt gewiescht. Wann de Präfix existéiert an den Traffic trotzdeem feelt, loosst de Kontrollplang a Rou a gitt op de Datenwee.

Wat Dir net änneren, wärend Dir do sidd

Schalt d'Propagéierung net op onverbonne Routentabellen un oder aus, fir ee fehlende Präfix ze reparéieren, a füügt keng Standardroute bäi, fir een eenzegen absenten CIDR ze iwwerdecken. Béid Ännerunge vergréisseren den Impaktberäich a maachen déi nächst Diagnos méi schwéier. Limitéiert d'Ännerung op d'Tabell, déi de betraffene Subnetz vun der Aarbechtslaascht servéiert.

Den Datenwee ass vun deem ganzen getrennt. Sécherheetsgruppe si stateful, Netzwierk-ACLen net, an eng Host-Firewall oder en asymmetresche Réckwee kann Traffic verwerfen, deen d'Routing richteg geliwwert huet. En annoncéierten Aggregat autoriséiert och net all Service dran, dofir limitéiert den Zougang op der Politikgrenz, amplaz drop ze vertrauen, ob eng Adress zoufälleg an enger BGP-Annonce erschéngt.

Späichert de Virun an den Duerno vun all Routentabell-Query am Ännerungsprotokoll. Wann d'Ännerung d'Saach verschlechtert, setzt déi fréier Routen zréck a bestätegt mat der selwechter Query, well en Ofrëllung, deen Dir net kontrolléiere kënnt, just eng Vermuddung ass.