GCP VPN maršruts darbojas tikai vienā reģionā: pārbaudiet dinamisko maršrutēšanu

ASV darba slodze caur HA VPN sasniedz biroja prefiksu bez problēmām, bet Eiropas darba slodze tajā pašā VPC nesaņem neko. Tās maršrutēšanas tabulā nav neviena ieraksta šim prefiksam, neviens tunelis nav kritušas un neviens ugunsmūra noteikums nav mainījies. Tunelis un tā BGP sesija ir veselīga abos virzienos. VPC, kas aptver reģionus, nav tas pats, kas tā apgūtie maršruti, kas aptver reģionus, un tieši šī atšķirība izskaidro visu simptomu.

Šeit tiek sajauktas divas īpašības: kur atrodas apakštīkli un kur drīkst izmantot apgūto nākamo lēcienu.

No kurienes nāk reģionālais tvērums

Cloud Router instalē apgūtos maršrutus ar tvērumu, kas seko VPC dinamiskajam maršrutēšanas režīmam. Reģionālajā režīmā vienā reģionā apgūtu maršrutu var izmantot tikai tā reģiona resursi, tāpēc Eiropas tabula ir tukša, nevis rāda salauztu nākamo lēcienu. Globālajā režīmā piemēroti apgūtie maršruti kļūst pieejami resursiem katrā VPC reģionā. Pirms kaut ko mainīt, izlasiet pašreizējo vērtību, jo reģionālais ir noklusējums. Iestatījums atrodas tīklā, nevis tunelī un nevis maršrutētājā.

Inventarizācijas komanda ir tikai lasāma un atbild uz to vienā rindā:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Palaidiet to resursdatora projektā, kad VPC ir koplietots. Tīkls pieder tam projektam, un skatītāja loma darba slodzes projektā var pat neparādīt maršrutēšanas konfigurāciju. Ātra atbilde no nepareizā projekta ir sliktāka par atbildes neesamību.

Izmaiņa ir viena komanda un viens virziens

Pārslēgšana ir visa VPC vadības plaknes rediģēšana, nevis apiešana katrai VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Tā ir arī vienvirziena, jo tīklu, kas iestatīts uz globālo, nevar atgriezt reģionālajā. Pirms palaišanas vēlreiz pārbaudiet projekta un tīkla nosaukumu, jo komanda neprasa apstiprinājumu. Šī izmaiņa ir pelnījusi uzturēšanas piezīmi un tīkla īpašnieka apstiprinājumu, nevis ātru eksperimentu koplietotā VPC.

Katrs šī tīkla Cloud Router, VPN un Interconnect pievienojums uzreiz manto jauno tvērumu. Tas ietver pievienojumus, kurus neviens nebija pieminējis izmaiņu pieprasījumā. Reģioni, kuros iepriekš nekad nebija šī maršruta, sāk to saņemt līdzko izmaiņa stājas spēkā, tāpēc šai pārslēgšanai nav pakāpeniskas ieviešanas.

Globāls ir tvērums, nevis garantija

Atbilstība un priekšroka ir atsevišķi no tvēruma. Maršruts, kas konfliktē ar konkrētāku prefiksu, zaudē labākā ceļa izvēli vai tiek filtrēts ar politiku, uzvedas tieši tāpat kā iepriekš. Globālais režīms paplašina, kur maršrutu drīkst izmantot, bet neizlemj, kurš maršruts uzvarēs. Apgūts maršruts var būt tvērumā un tomēr zaudēt statiskam vai konkrētākam ceļam tajā pašā VPC.

Šī atšķirība ir svarīga, jo režīma maiņu vēlāk ir viegli vainot. Ja Eiropas apakštīklam arī pēc pārslēgšanas nav maršruta, jautājums ir, vai maršruts pastāv un ir piemērots, nevis vai tvērums stājās spēkā. Prefiksu konflikti un nākamā lēciena veselība ir nākamās divas lietas, kas jāizlasa.

Tālā puse arī sludina citādi

Sludināšanas uzvedība seko tam pašam iestatījumam. Noklusētajā uzvedībā maršrutētājs reģionālajā režīmā sludina sava reģiona apakštīklus, bet globālais režīms sludina VPC apakštīklus plašāk. Tāpēc režīma maiņa maina ne tikai to, ko drīkst izmantot jūsu reģioni, bet arī to, ko instalē tālā puse.

Pielāgots sludināšanas saraksts nepaplašinās, kad režīms mainās. Ja vietējam maršrutētājam ir ar roku rakstīts diapazonu saraksts, Eiropas prefikss tajā joprojām nav. Atgriešanās ceļš šajā gadījumā paliek salauzts, lai gan izejošais maršruts tagad pastāv. Pārbaudiet, ko instalēja tālā puse, nevis ko jūs eksportējāt.

Ko režīms nekad nesalabos

Globālā maršrutēšana nepiešķir piekļuvi publiskajam internetam, tranzītu starp nesaistītiem VPC vai trūkstošus statiskus maršrutus. Tā nemaina ugunsmūra noteikumus vai IAM, tāpēc politiku noraidīts savienojums paliek noraidīts.

Šie bojājumi no darba slodzes iekšpuses izskatās vienādi, un tiem nav nekāda sakara ar maršrutu tvērumu.

Pārbaudiet no tālā reģiona uz īsto pakalpojumu, pēc tam apstipriniet, ka atbilde atgriežas pa paredzēto tuneli. Pierakstiet režīmu, sludināšanas konfigurāciju un galamērķi, ko pārbaudījāt. Ja tests joprojām neizdodas, pirms vēlreiz aiztikt režīmu salīdziniet tālā maršrutētāja BGP tabulu ar VPC maršrutu sarakstu. Tad nākamais starpreģionu ziņojums sāksies ar faktiem, nevis ar režīma maiņu.