GCP VPN рутата работи само во еден регион: проверете динамично рутирање

Работното оптоварување во САД стигнува до канцеларискиот префикс преку HA VPN без проблем, додека европското оптоварување во истиот VPC не добива ништо. Неговата табела за рутирање не содржи запис за тој префикс, ниту еден тунел не е паднат и ниту едно правило за огнената брана не е променето. Тунелот и неговата BGP сесија се здрави во двете насоки. VPC што опфаќа региони не е исто со неговите научени рути што опфаќаат региони, и токму овој јаз го објаснува целиот симптом.

Овде се мешаат две својства: каде живеат подмрежите и каде смее да се користи научениот следен скок.

Од каде доаѓа регионалниот опсег

Cloud Router ги инсталира научените рути со опсег што го следи динамичниот режим на рутирање на VPC. Во регионален режим, рута научена во еден регион е употреблива само од ресурсите на тој регион, затоа европската табела е празна наместо да прикажува скршен следен скок. Во глобален режим, соодветните научени рути стануваат достапни за ресурсите во секој регион на VPC. Прочитајте ја тековната вредност пред да промените нешто, бидејќи регионалниот е стандарден. Поставката се наоѓа на мрежата, не на тунелот и не на рутерот.

Командата за попис е само за читање и одговара на тоа во еден ред:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Извршете ја во проект домаќин кога VPC е споделен. Мрежата му припаѓа на тој проект, а улогата на набљудувач во проектот на оптоварувањето може дури и да не ја прикаже конфигурацијата за рутирање. Брз одговор од погрешен проект е полош од нема одговор.

Промената е една команда и една насока

Префрлањето е уредување на контролната рамнина за целиот VPC, а не заобиколен пат за секој VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Исто така е еднонасочно, бидејќи мрежа поставена на глобална не може да се врати на регионална. Проверете го уште еднаш името на проектот и мрежата пред да ја извршите, бидејќи командата не бара потврда. Промената заслужува белешка за одржување и одобрување од сопственикот на мрежата, а не брз експеримент на споделен VPC.

Секој приклучок Cloud Router, VPN и Interconnect во таа мрежа го наследува новиот опсег веднаш. Тоа ги вклучува и приклучоците што никој не ги спомена во барањето за промена. Регионите што претходно никогаш ја немале оваа рута почнуваат да ја добиваат штом промената стапи на сила, затоа за ова префрлање нема постепено воведување.

Глобалното е опсег, а не гаранција

Подобноста и преференцијата се одделни од опсегот. Рута што се судира со поспецифичен префикс, ја губи селекцијата на најдобар пат или е филтрирана со политика се однесува точно како порано. Глобалниот режим го проширува местото каде рутата смее да се користи, но не одлучува која рута победува. Научена рута може да биде во опсегот и сепак да загуби од статичен или поспецифичен пат во истиот VPC.

Оваа разлика е важна затоа што промената на режимот лесно може да се обвини подоцна. Ако европската подмрежа сѐ уште нема рута по префрлањето, прашањето е дали рутата постои и е соодветна, а не дали опсегот стапил на сила. Судирите на префикси и здравјето на следниот скок се следните две работи што треба да се прочитаат.

Далечната страна исто така најавува поинаку

Однесувањето при најавување го следи истото поставување. При стандардно однесување, рутер во регионален режим ги најавува подмрежите на својот регион, додека глобалниот режим ги најавува подмрежите на VPC пошироко. Затоа промената на режимот менува не само што смеат да користат вашите региони, туку и што инсталира далечната страна.

Прилагодената листа за најавување не се шири кога режимот се менува. Ако локалниот рутер држи рачно напишана листа на опсези, европскиот префикс останува отсутен од неа. Повратниот пат останува скршен во тој случај, иако излезната рута сега постои. Проверете што инсталирала далечната страна, а не што сте извезле.

Што режимот никогаш нема да поправи

Глобалното рутирање не дава пристап до јавниот интернет, транзит меѓу неповрзани VPC или рути што недостасуваат. Тоа не ги менува правилата за огнената брана или IAM, така што врската одбиена со политика останува одбиена.

Овие дефекти изгледаат исто од внатрешноста на оптоварувањето и немаат никаква врска со опсегот на рутите.

Тестирајте од далечниот регион до вистинската услуга, потоа потврдете дека одговорот се враќа преку наменетиот тунел. Запишете режимот, конфигурацијата за најавување и дестинацијата што сте ја тестирале. Ако тестот сѐ уште не успева, споредете ја BGP табелата на далечниот рутер со листата на рути на VPC пред повторно да го допрете режимот. Тогаш следниот меѓурегионален извештај започнува од факти, а не од промена на режим.