Kāpēc jūsu BGP sesija neparādās VPC maršrutēšanas tabulā

Stāsts, kas tiek atkārtots, ir tāds, ka maršrutēšanas dēmons EC2 VPN ierīcē iemācīs VPC tā attālos prefiksus, tiklīdz BGP būs uzgājis. Puse no tā ir patiesība. Sesija uzgāj, un VPC maršrutēšanas tabulā tāpēc nekas nemainās, tāpēc pirmais simptoms parasti ir apakštīkls, kas klusi nosūta datplūsmu melnajā caurumā.

Šeit tiek sajauktas divas dažādas lietas: pirošana ar maršrutēšanas serveri un maršrutu instalēšana tabulā.

Mīts: pacel BGP un VPC iemācīsies prefiksus

BGP ir saruna starp diviem runātājiem, un šajā dizainā runātāji ir maršrutēšanas dēmons jūsu ierīcē un VPC Route Server galapunkts, ko AWS ievieto jums piederošā apakštīklā. Šī saruna pārnēsā prefiksus. Tā neaizskar jūsu darba slodzes apakštīklu maršrutēšanas tabulu, jo šīs tabulas mācās tikai ar izplatīšanu, kas jāieslēdz katrā no tām. Kamēr tas nav noticis, VPC audums nezina neko par to, ko zina ierīce.

Iestatīšanas soļi ir atdalīti iemesla dēļ: saistīt, izveidot galapunktu, veikt pirošanu, pēc tam ieslēgt izplatīšanu.

Route Server ir vadības plakne, nevis tunelis

Route Server nešifrē, nepārsūta un nepārbauda nevienu paketi. Tas pastāv, lai apmainītos ar BGP ar ierīci un nodotu iegūtos prefiksus tām maršrutēšanas tabulām, kas konfigurētas tos saņemt. Datu plakne nav mainījusies: paketes joprojām iziet caur ierīces tīkla saskarni, ceļo pa tās VPN un atgriežas pa to pašu ceļu.

Tas nozīmē, ka avota un galamērķa pārbaude pārsūtošajā instancē joprojām ir svarīga, jo instance tagad pārsūta datplūsmu, kas adresēta kādam citam.

Drošības grupas un apakštīkla vadīklas joprojām attiecas arī uz pārsūtīto plūsmu. Route Server nepiespiedīs ierīci, kas izmet datplūsmu, to pārsūtīt, un nelabos trūkstošo atgriešanās maršrutu attālajā pusē.

Izplatīšana ir pa maršrutēšanas tabulām, nevis pa visu VPC

Maršrutēšanas servera saistīšana ar VPC un izplatīšanas ieslēgšana maršrutēšanas tabulā ir divi lēmumi, un tikai otrais maina to, ko dara apakštīkls. VPC ar sešām maršrutēšanas tabulām var saņemt izplatītu prefiksu vienā un nesaņemt pārējās piecās, kas ir tieši pareizi centrmezgla apakštīklam un tieši tas, kas rada mulsinošo «strādā uz pusi» rezultātu. Pat tur, kur izplatīšana ir ieslēgta, konkurējošs maršruts var uzvarēt, jo VPC maršruta izvēle dod priekšroku garākajam prefiksam un vienāda garuma gadījumā dod priekšroku statiskam maršrutam pār izplatītu. Šī priekšroka tiek piemērota klusi.

Pārbaudiet konkrētā apakštīkla efektīvo tabulu, nevis prefiksu sarakstu, ko ierīce reklamē. API atbild uz šo jautājumu tieši: aws ec2 associate-route-server un aws ec2 enable-route-server-propagation --route-table-id <id> ir divi soļi, ko cilvēki aizmirst, un aws ec2 describe-route-tables --route-table-ids <id> parāda, vai prefikss vispār ieradās kā route server ieraksts.

Ierīce joprojām pārnēsā katru paketi

Reklamēt sasniedzamību nav tas pats, kas to turēt. BGP sesija var palikt nodibināta, kamēr ierīces VPN ir izslēgts, un nekad nemainīga statiska reklāma turpina vilkt datplūsmu uz mirušu ceļu. Route Server atbalsta kļūdu noteikšanu, piemēram, BFD, bet tas pārbauda partnera dzīvotspēju, nevis visa, kas ir aiz tā, veselību.

Piesaistiet reklāmu reālajam attālajam maršrutam: reklamējiet prefiksu, kad tunelis un attālais tīkls darbojas, un atsauciet to, kad nedarbojas.

Atsauciet prefiksu un paskatieties, kas notiek

Testējiet pa posmiem un pēdējo posmu padariet par noņemšanu. Pārliecinieties, ka reklāma ierodas, prefikss parādās katrā paredzētajā tabulā, ierīce ir nākamais lēciens, pārsūtīšana šķērso aktīvo tuneli un attālais gals atbild. Pēc tam atsauciet testa prefiksu vai aizveriet apstiprinātu tuneli un novērojiet, vai datplūsma pārvietojas tur, kur saka dizains. Pierakstiet tabulas pirms un pēc, kamēr tests vēl ir atvērts.

Maršruta pārvietošana uz otru ierīci nepārvieto sesijas, ko tas nesa, jo NAT un ugunsmūra stāvoklis paliek pirmajā ierīcē.

Fiksētam duča prefiksu kopumam statiskie maršruti VPC tabulās joprojām ir lētākā atbilde. Route Server izpelnās savu vietu, kad prefiksu saraksts patiešām mainās un atsaukšanas politika ir kaut kas tāds, ko varat izskaidrot dežurējošajam cilvēkam.