Firwat Är BGP-Sessioun net an der VPC-Routentabell erschéngt

D’Geschicht déi ëmmer erëm erzielt gëtt ass, datt en Routing-Daemon op enger EC2 VPN-Appliance der VPC hir remote Präfixer bäibréngt, soubal BGP eropkënnt. D’Halschent dovun ass wouer. D’Sessioun kënnt erop, an an der VPC-Routentabell ännert sech duerch si näischt, dofir ass dat éischt Symptom meeschtens en Subnetz, deen de Verkéier stëll a säi schwaarzt Lach schéckt.

Hei ginn zwee verschidde Saachen duercherneen geholl: Peering mat engem Route Server, an d’Installatioun vu Routen an eng Tabell.

De Mythos: bréng BGP erop an d’VPC léiert d’Präfixer

BGP ass eng Konversatioun tëscht zwee Spriecher, an an dësem Design sinn d’Spriecher den Routing-Daemon op Ärer Appliance an en Endpunkt vum VPC Route Server, deen AWS an engem Subnetz placéiert, deen Dir besëtzt. Déi Konversatioun dréit Präfixer. Si beréiert d’Routentabell vun Ären Aarbechtslaascht-Subnetzer net, well déi Tabelle léiere nëmmen duerch d’Propagatioun, déi op jidderee muss ageschalt ginn. Bis dat geschitt, weess de VPC-Stoff näischt vun deem, wat d’Appliance weess.

D’Konfiguratiounsschrëtt sinn aus engem Grond getrennt: associéieren, den Endpunkt erstellen, peeren, dann d’Propagatioun aschalten.

Route Server ass eng Kontrollfläch, keen Tunnel

Route Server verschlësselt, leet weider oder inspectéiert net een eenzegen Pak. En existéiert, fir BGP mat der Appliance auszetauschen an déi resultéierend Präfixer un déi Routentabellen ze ginn, déi konfiguréiert sinn, se ze empfänken. D’Datefläch ass onverännert: Paken verloossen nach ëmmer duerch d’Netzwierkinterface vun der Appliance, reesen duerch hir VPN a komme mam selwechte Wee zréck.

Dat heescht, datt d’Quell- an Destinatiounskontroll op der weiderleeender Instanz nach ëmmer wichteg ass, well d’Instanz elo Verkéier weiderleet, deen un een aneren adresséiert ass.

Sécherheetsgruppen an Subnetz-Kontrolle gëllen och fir de weidergeleet Floss. Route Server forcéiert eng Appliance, déi Verkéier fält, net, en weiderzeleeden, an en reparéiert och keng fehlend Réckroute op der wäiter Säit net.

D’Propagatioun ass pro Routentabell, net pro VPC

De Route Server mat der VPC associéieren an d’Propagatioun op enger Routentabell aschalten sinn zwee Entscheedungen, an nëmmen déi zweet ännert, wat en Subnetz mécht. Eng VPC mat sechs Routentabellen kann e propagéierte Präfix an enger kréien an an deenen aneren fënnef net, wat genee richteg ass fir en Hub-Subnetz a genee dat ass, wat dat verwierend «funktionéiert hallef»-Resultat produzéiert. Och wou d’Propagatioun un ass, kann eng konkurréierend Route gewannen, well d’VPC-Routeauswiel de längste Präfix preferéiert an, bei gläicher Längt, eng statesch Route virun enger propagéierter. Déi Preferenz gëtt stëll ugewannt.

Kuckt d’effektiv Tabell fir de konkreten Subnetz amplaz vun der Lëscht vun de Präfixer, déi d’Appliance annoncéiert. D’API beäntwert déi Fro direkt: aws ec2 associate-route-server an aws ec2 enable-route-server-propagation --route-table-id <id> sinn déi zwou Schrëtt, déi d’Leit vergiessen, an aws ec2 describe-route-tables --route-table-ids <id> weist, ob de Präfix iwwerhaapt als Route-Server-Andrag ukomm ass.

D’Appliance dréit nach ëmmer all Pak

Erreechbarkeet annoncéieren ass net datselwecht wéi se hunn. Eng BGP-Sessioun kann etabléiert bleiwen, wärend d’VPN vun der Appliance erof ass, an eng statesch Annonce, déi ni ännert, zitt de Verkéier weider op e doudege Wee. Route Server ënnerstëtzt Feelerkennung wéi BFD, awer dat test d’Liewendegkeet vum Peer, net d’Gesondheet vun allem hannendrun.

Bind d’Annonce un déi richteg wäit Route: annoncéier de Präfix, wann den Tunnel an d’wäit Netzwierk erop sinn, a zitt en zréck, wann se et net sinn.

Zitt e Präfix zréck a kuckt wat geschitt

Test a Phase, a maacht déi lescht Phase zu enger Ewechhuelung. Bestätegt, datt d’Annonce ukommt, de Präfix an all virgesiener Tabell erschéngt, d’Appliance den nächsten Hop ass, d’Weiderleeung duerch den aktiven Tunnel geet an de wäiten Enn äntwert. Zitt dann e Testpräfix zréck, oder maacht en approuvéierten Tunnel zou, a beobacht, ob de Verkéier dohinner geet, wou den Design seet. Notéiert d’Tabelle virun an duerno, wärend den Test nach op ass.

Eng Route op eng zweet Appliance ze verréckelen verréckelt net d’Sessiounen, déi se gedroen huet, well den NAT- an de Firewall-Zoustand bei der éischter Apparatur bleiwen.

Fir eng fix Sait vun engem Dutzend Präfixer bleiwen statesch Routen an den VPC-Tabellen déi méi bëlleg Äntwert. Route Server verdéngt säi Plaz, wann d’Präfixlëscht wierklech ännert an d’Zréckzuchs-Politik eppes ass, wat Dir der Persoun am Bereetschaftsdéngscht erkläre kënnt.