GCP VPN maršrutas veikia tik viename regione: patikrinkite dinaminį maršrutizavimą

JAV darbo krūvis per HA VPN pasiekia biuro prefiksą be problemų, o tame pačiame VPC esantis Europos darbo krūvis negauna nieko. Jo maršrutų lentelėje nėra jokio įrašo šiam prefiksui, nė vienas tunelis nenukrito ir nė viena ugniasienės taisyklė nepasikeitė. Tunelis ir jo BGP sesija sveiki abiem kryptimis. VPC, apimantis regionus, nėra tas pats, kas jo išmokti maršrutai, apimantys regionus, ir būtent šis skirtumas paaiškina visą simptomą.

Čia painiojamos dvi savybės: kur yra potinkliai ir kur galima naudoti išmoktą kitą šuolį.

Iš kur atsiranda regioninė apimtis

Cloud Router įdiegia išmoktus maršrutus su apimtimi, kuri atitinka dinaminį VPC maršrutizavimo režimą. Regioniniu režimu viename regione išmoktą maršrutą gali naudoti tik to regiono ištekliai, todėl Europos lentelė tuščia, o ne rodo sugedusį kitą šuolį. Globaliu režimu tinkami išmokti maršrutai tampa prieinami visų VPC regionų ištekliams. Prieš ką nors keisdami perskaitykite dabartinę reikšmę, nes regioninis yra numatytasis. Nustatymas yra tinkle, o ne tunele ir ne maršrutizatoriuje.

Inventoriaus komanda skirta tik skaitymui ir į tai atsako viena eilute:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Vykdykite ją prieglobos projekte, kai VPC bendrinamas. Tinklas priklauso tam projektui, o peržiūros rolė darbo krūvio projekte gali net nerodyti maršrutizavimo konfigūracijos. Greitas atsakymas iš neteisingo projekto yra blogiau nei jokio atsakymo.

Pakeitimas yra viena komanda ir viena kryptis

Perjungimas yra viso VPC valdymo plokštumos redagavimas, o ne apėjimas kiekvienai VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Jis taip pat vienakryptis, nes tinklas, nustatytas į globalų, negali būti grąžintas į regioninį. Prieš vykdydami dar kartą patikrinkite projekto ir tinklo pavadinimą, nes komanda neprašo patvirtinimo. Šis pakeitimas vertas priežiūros pastabos ir tinklo savininko pritarimo, o ne greito eksperimento bendrinamame VPC.

Kiekvienas to tinklo Cloud Router, VPN ir Interconnect prijungimas iš karto paveldi naują apimtį. Tai apima prijungimus, kurių niekas nepaminėjo pakeitimo prašyme. Regionai, kuriuose anksčiau niekada nebuvo šio maršruto, pradeda jį gauti vos įsigaliojus pakeitimui, todėl šiam perjungimui nėra laipsniško diegimo.

Globalus yra apimtis, o ne garantija

Tinkamumas ir pirmenybė yra atskiri nuo apimties. Maršrutas, kuris konfliktuoja su konkretesniu prefiksu, pralaimi geriausio kelio pasirinkimą arba yra filtruojamas politikos, elgiasi lygiai taip pat kaip anksčiau. Globalus režimas išplečia, kur maršrutą galima naudoti, bet nenusprendžia, kuris maršrutas laimės. Išmoktas maršrutas gali būti apimtyje ir vis tiek pralaimėti statiniam ar konkretesniam keliui tame pačiame VPC.

Šis skirtumas svarbus, nes režimo pakeitimą vėliau lengva kaltinti. Jei Europos potinklis po perjungimo vis dar neturi maršruto, klausimas yra ar maršrutas egzistuoja ir yra tinkamas, o ne ar apimtis įsigaliojo. Prefiksų konfliktai ir kito šuolio būklė yra kiti du dalykai, kuriuos reikia perskaityti.

Tolimoji pusė taip pat skelbia kitaip

Skelbimo elgsena atitinka tą patį nustatymą. Esant numatytajai elgsenai, regioniniu režimu veikiantis maršrutizatorius skelbia savo regiono potinklius, o globalus režimas skelbia VPC potinklius plačiau. Todėl režimo pakeitimas keičia ne tik tai, ką gali naudoti jūsų regionai, bet ir tai, ką įdiegia tolimoji pusė.

Pasirinktinis skelbimo sąrašas neišsiplečia, kai pasikeičia režimas. Jei vietinis maršrutizatorius turi ranka rašytą diapazonų sąrašą, Europos prefikso jame vis tiek nėra. Grįžimo kelias tokiu atveju lieka sugedęs, nors išeinantis maršrutas dabar egzistuoja. Patikrinkite, ką įdiegė tolimoji pusė, o ne ką eksportavote.

Ko režimas niekada nepataisys

Globalus maršrutizavimas nesuteikia prieigos prie viešojo interneto, tranzito tarp nesusijusių VPC ar trūkstamų statinių maršrutų. Jis nekeičia ugniasienės taisyklių ar IAM, todėl politikos atmestas ryšys lieka atmestas.

Šie gedimai iš darbo krūvio vidaus atrodo vienodai ir neturi nieko bendra su maršrutų apimtimi.

Išbandykite iš tolimo regiono į tikrąją paslaugą, tada patvirtinkite, kad atsakymas grįžta numatytu tuneliu. Užsirašykite režimą, skelbimo konfigūraciją ir tikslą, kurį tikrinote. Jei testas vis dar nepavyksta, prieš vėl liesdami režimą palyginkite tolimo maršrutizatoriaus BGP lentelę su VPC maršrutų sąrašu. Tada kita tarpregioninė ataskaita prasidės nuo faktų, o ne nuo režimo pakeitimo.