BGP огласи од VGW наспроти табелата со рути на VPC: што менува што

Недостаток на префикс во табелата со рути на подмрежа во VPC и недостаток на префикс на рутерот на клиентот се два различни дефекти и само еден од нив се поправа во табелите со рути на AWS. Виртуелната приватна порта ги огласува CIDR блоковите поврзани со нејзиниот VPC; табелата со рути на подмрежата одлучува каде работното оптоварување испраќа одговор. Второто да се третира како начин да се смени првото е најчестата погрешна свртница во оваа дијагноза. Извршете ги проверките подолу по ред и држете ги двата правци одвоени.

Именувајте го приклучокот пред да прочитате која било табела

VPN од локација до локација завршува или на виртуелна приватна порта или на транзитна порта, а ID-ата на ресурсите одлучуваат кој модел на рутирање се применува. Прочитајте ги прво: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Одговорот ви кажува дали следната табела што треба да се провери е табела со рути на VPC или табела со рути на транзитната порта.

Ако VPN е приклучен на транзитна порта, престанете да ја третирате табелата со рути на VPC како контролна рамнина. Таму табелата на VPC покажува на приклучокот на портата, а асоцијацијата и пропагацијата се случуваат во табелата со рути на транзитната порта. Мешањето на двата погледи дава уверени заклучоци за погрешниот објект.

Правецот од AWS кон канцеларијата е оглас

За приклучок на VGW, портата ги огласува CIDR блоковите поврзани со нејзиниот VPC на портата на клиентот преку BGP. Додавањето поединечна рута за подмрежа или насочувањето на рута кон партнерски VPC или кон уред не додава друга поврзана CIDR и не се појавува во тој оглас. Ако во канцеларијата недостасува префикс, споредете ја листата на примени рути со асоцијациите на VPC пред да уредите која било табела со рути.

Едноставното правило има исклучоци, затоа држете го во неговиот опсег. Поставката VPN CloudHub може повторно да огласува префикси на локации помеѓу портите на клиентите, а транзитната порта ги следи сопствените правила за пропагација. Тврдењето дека VGW огласува само сопствен VPC е корисна стандардна поставка, а не закон што ја опфаќа секоја топологија што ќе ја сретнете.

Правецот од канцеларијата кон AWS е пропагација плус избор

Во обратниот правец VGW го учи префиксот на канцеларијата, но тоа само по себе не поместува работно оптоварување. Табелата со рути на подмрежата мора или да има овозможена пропагација за приклучокот или да носи статична рута до истото одредиште. Кога за еден префикс постојат двете, победува статичната рута, а совпаѓањето на најдолгиот префикс се извршува пред двете.

Читајте го потеклото наместо да го претпоставувате: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Записот со потекло EnableVgwRoutePropagation дојде од BGP; записот со потекло CreateRoute го внел човек и ќе продолжува да победува додека некој не го избрише.

Ранбук што ги држи двата правци одвоени

Запишете четири факти на страната на AWS пред да промените нешто: типот на приклучокот, поврзаните CIDR на VPC, потеклото на рутата на подмрежата за предметниот префикс и состојбата на тунелот и BGP. Истиот повик describe враќа VgwTelemetry со број на прифатени рути по тунел, што ви кажува дали AWS воопшто прифатил некакви рути. Потоа споредете го тоа со она што уредот на клиентот навистина го инсталирал. Префиксот присутен во BGP, но отсутен од табелата за препраќање, е локален проблем со увоз или најдобра патека, а не проблем со табелата со рути на AWS.

Ако табелата на подмрежата воопшто го нема префиксот, овозможете пропагација или додадете статична рута, потоа прочитајте го истиот барање повторно по интервалот на пропагација наместо да претпоставите дека промената била моментална. Ако префиксот постои, а сообраќајот сѐ уште не успева, оставете ја контролната рамнина на мира и преминете на патеката на податоци.

Што да не менувате додека сте таму

Не вклучувајте или исклучувајте пропагација на неповрзани табели со рути за да поправите еден префикс што недостасува и не додавајте стандардна рута за да покриете една отсутна CIDR. Двете промени го прошируваат опсегот на влијание и ја отежнуваат следната дијагноза. Ограничете ја измената само на табелата што ја опслужува предметната подмрежа на работното оптоварување.

Патеката на податоци е одделена од сето ова. Безбедносните групи се состојни, мрежните ACL не се, а хост-оганомет или асиметрична повратна патека може да го отфрли сообраќајот што рутирањето правилно го доставило. Огласениот агрегат исто така не го овластува секој сервис во него, затоа ограничете го пристапот на границата на политиката наместо да се потпирате на тоа дали адресата случајно се појавува во BGP оглас.

Зачувајте ја состојбата пред и по секое барање на табелата со рути во записот за промени. Ако промената ги влоши работите, вратете ги претходните рути и потврдете со истото барање, зашто враќањето што не можете да го проверите е само претпоставка.