Kodėl AWS VGW potinklio maršrutas negali pasirinkti vieno VPN tunelio

Dvi Site-to-Site VPN jungtys baigiasi vienuose virtualiuosiuose privačiuose tinklų vartuose ir skelbia tą patį filialo prefiksą. Potinklio maršrutų lentelėje yra vienas įrašas tam prefiksui, nukreiptas į vartus, ir nėra jokio lauko, kuris įvardytų tunelį. Todėl pirmenybė tarp jungčių atsiranda ten, ko konsolė nevadina maršrutizavimu. Žinojimas, kuris sluoksnis turi sprendimą, yra skirtumas tarp veikiančio rezervo ir pakeitimo, kuris nieko nepadaro.

Žaidime du sluoksniai: VPC maršrutas, nurodantis, kurie vartai, ir pačių vartų tunelio pasirinkimas. Sumaišius juos gaunami pakeitimai, kurie maršrutų lentelėje atrodo teisingi ir niekada neperkelia nė vieno paketo.

Du sluoksniai, atrodantys kaip vienas

Potinklio maršrutas atsako į vieną klausimą: šiam tikslui kuri jungtis? Jo taikinys yra virtualieji privatūs tinklų vartai, o metrika konkuruoja tik su kitais tos pačios lentelės maršrutais. Niekas tame įraše neišskiria tunelio vienas nuo tunelio du ar jungties A nuo jungties B. Konkretesnis prefiksas yra kitas tikslo atitikimas, o ne smulkesnis kelio pasirinkimas.

Vartai atsako į kitą klausimą: iš tunelių, kuriuos jie laiko tam prefiksui, kuris dabar neša srautą. Šis sprendimas kyla iš tunelio būklės ir BGP atributų, gautų iš kliento vartų, ir jis niekada neatsiranda potinklio maršrutų lentelėje.

Ką VGW iš tikrųjų lygina

Būklė pirmiausia. Tunelis, kuris yra išjungtas, arba BGP sesija, kuri nebuvo pakelta, pralaimi prieš tai, kai bus nagrinėjamas bet kuris atributas. Todėl kelio pridėjimas priekyje jungtyje, kuri jau nepavyksta, nieko nekeičia.

Tarp tinkamų kelių tam pačiam prefiksui AWS teikia pirmenybę trumpesniam AS_PATH. Kai du keliai vienodo ilgio, ji lygina MED, laikydamasi dokumentuotos sąlygos dėl pirmojo AS kelyje. Skaitykite paskelbtą tvarką, o ne folkloro versiją, nes folkloras paprastai praleidžia būklės žingsnį ir statinių maršrutų išimtį. Viena pasekmė: trys pridėjimai priekyje atsarginėje jungtyje padaro pagrindinę griežtai trumpesnę, ir tai įprastas būdas išreikšti pirmenybę.

Pridėjimas priekyje, ir kada jis nieko nepadaro

Pridėjimas priekyje vyksta kliento vartų siunčiamuose paskelbimuose, o ne AWS viduje. Jūs pridedate savo ASN du ar tris kartus prie prefikso, kurio norite, kad AWS vengtų, ir tada AWS mato ilgesnį kelią tai jungčiai. Pagrindinė jungtis išlaiko paskelbimą be pridėjimo. Jei abi jungtys skelbia iš to paties ASN su tuo pačiu pridėjimų skaičiumi, jūs neišreiškėte jokios pirmenybės.

Po pakeitimo patikrinkite gautą kelią AWS pusėje. Pridėjimas, kuris niekada nepaliko kliento įrenginio, atrodo lygiai taip pat kaip tas, kurio AWS nepaisė.

Statiniai maršrutai nepaiso viso argumento

Jei jungtis naudoja statinį maršrutizavimą, nėra ko ilginti, nėra AS_PATH. AWS dokumentuoja, kad statiniai VPN maršrutai turi pirmenybę prieš per BGP išmoktus maršrutus tam pačiam prefiksui, todėl mišrus dizainas nesielgia kaip visiškai dinaminis. Pirmiausia nuspręskite maršrutizavimo tipą, tada pasirinkite pirmenybės mechanizmą, kuris tam egzistuoja.

Su dviem statinėmis jungtimis, skelbiančiomis tą patį prefiksą, naudinga svirtis yra prefiksas: skelbkite konkretesnį diapazoną toje jungtyje, kurią norite naudoti, ir sutikite, kad pakeitėte tai, kuris tikslas atitinka, o ne kuris kelias laimi.

Kodėl tranzitiniai vartai yra kitas atsakymas

Tranzitiniai vartai palaiko vienodos kainos kelių kelią per VPN jungtis, todėl dvi jungtys gali dalytis srautu, o ne viena stovėti rezerve. Šis dizainas turi kitą gedimo paviršių: srautai pasklinda per tunelius, ir vieno tunelio kritimas perkelia tik dalį apkrovos. VGW recepto kopijavimas į tranzitinius vartus arba atvirkščiai sukuria lūkesčius, kurių nė viena platforma neišpildo.

Pasirinkite modelį prieš mechanizmą: aktyvus ir rezervinis su fiksuota pirmenybe, arba aktyvus ir aktyvus su ECMP.

Ką patikrinti nustačius

Patvirtinkite keturis dalykus iš eilės. Potinklio lentelė vis dar išsprendžia prefiksą į numatytus vartus. Vartai rodo abu tunelius kaip veikiančius. Gautas AS_PATH jungtyje, kurios norite vengti, yra ilgesnis nei kitas. Ir tikras srautas iš egzemplioriaus tame potinklyje praeina numatytu tuneliu, stebimas abiejuose galuose, o ne nuspręstas iš žalios būsenos.

Tada paleiskite patvirtintą perjungimo testą ir stebėkite, kaip išlikęs kelias neša paslaugą. Pirmenybė, kuri egzistuoja tik konfigūracijos skirtume, dar nėra pirmenybė.