Зошто вашата BGP сесија не се појавува во табелата со рути на VPC

Приказната што се повторува е дека демонот за рутирање на EC2 VPN уред ќе го научи VPC на неговите далечни префикси штом BGP се подигне. Половина од тоа е точно. Сесијата се подигнува и ништо во табелата со рути на VPC не се менува поради тоа, затоа првиот симптом обично е подмрежа која тивко го фрла сообраќајот во црна дупка.

Овде се мешаат две различни работи: пиринг со сервер за рути и инсталирање на рути во табела.

Мит: подигнете BGP и VPC ќе ги научи префиксите

BGP е разговор меѓу два соговорници, а во овој дизајн соговорниците се демонот за рутирање на вашиот уред и крајната точка на VPC Route Server што AWS ја става во подмрежа што ви припаѓа. Тој разговор пренесува префикси. Не ја допира табелата со рути на вашите работни подмрежи, бидејќи тие табели учат само преку распространување што мора да се овозможи на секоја од нив. Додека тоа не се случи, ткаенината на VPC не знае ништо за она што го знае уредот.

Чекорите за поставување се одделени од причина: поврзи, создај ја крајната точка, направи пиринг, потоа овозможи распространување.

Route Server е контролна рамнина, а не тунел

Route Server не шифрира, не препраќа и не прегледува ниту еден пакет. Постои за да разменува BGP со уредот и да ги предаде добиените префикси на табелите со рути што се конфигурирани да ги примаат. Рамнината на податоци е непроменета: пакетите сѐ уште излегуваат преку мрежниот интерфејс на уредот, патуваат низ неговиот VPN и се враќаат по истиот пат.

Тоа значи дека проверката на изворот и одредиштето на препраќачката инстанца сѐ уште е важна, бидејќи инстанцата сега препраќа сообраќај адресиран до некој друг.

Безбедносните групи и контролите на подмрежата исто така важат за препратениот тек. Route Server нема да натера уред што го фрла сообраќајот да го препраќа, и нема да поправи рута за враќање што недостасува на далечната страна.

Распространувањето е по табела со рути, не по целиот VPC

Поврзувањето на серверот за рути со VPC и овозможувањето распространување на табела со рути се две одлуки, и само втората менува што прави една подмрежа. VPC со шест табели со рути може да прими распространат префикс во една, а не во другите пет, што е точно правилно за центарска подмрежа и точно тоа што го создава збунувачкиот резултат «работи половина». Дури и таму каде распространувањето е вклучено, конкурентна рута може да победи, бидејќи изборот на рута во VPC претпочита најдолг префикс, а при еднаква должина претпочита статична рута пред распространата. Таа претпочитаност се применува тивко.

Проверете ја ефективната табела за конкретната подмрежа наместо списокот префикси што ги објавува уредот. API директно одговара на ова прашање: aws ec2 associate-route-server и aws ec2 enable-route-server-propagation --route-table-id <id> се двата чекори што луѓето ги забораваат, а aws ec2 describe-route-tables --route-table-ids <id> покажува дали префиксот воопшто пристигнал како запис на route server.

Уредот сѐ уште го носи секој пакет

Објавувањето достапност не е исто како да ја имате. BGP сесијата може да остане воспоставена додека VPN-от на уредот е исклучен, а статичната објава што никогаш не се менува продолжува да го влече сообраќајот кон мртва патека. Route Server поддржува откривање дефекти како BFD, но тоа ја проверува живоста на партнерот, а не здравјето на сѐ зад него.

Поврзете ја објавата со вистинската далечна рута: објавете го префиксот кога тунелот и далечната мрежа работат, и повлечете го кога не работат.

Повлечете префикс и видете што се случува

Тестирајте во фази, и направете ја последната фаза отстранување. Потврдете дека објавата пристигнува, префиксот се појавува во секоја предвидена табела, уредот е следниот хоп, препраќањето минува низ активниот тунел и далечната страна одговара. Потоа повлечете тест префикс или затворете одобрен тунел и набљудувајте дали сообраќајот се движи таму каде што вели дизајнот. Запишете ги табелите пред и потоа додека тестот е сѐ уште отворен.

Преместувањето на рута на втор уред не ги преместува сесиите што ги носела, бидејќи состојбата на NAT и огнениот ѕид останува на првиот уред.

За фиксен сет од десетина префикси, статичните рути во табелите на VPC остануваат поевтиниот одговор. Route Server го заслужува своето место кога списокот префикси навистина се менува и политиката за повлекување е нешто што можете да му го објасните на дежурниот.