Таны BGP сесс яагаад VPC-ийн маршрутын хүснэгтэд харагдахгүй байна

Дахин дахин яригддаг түүх бол EC2 VPN төхөөрөмж дээрх маршрутжуулалтын демон BGP өндийн гармагц VPC-д алслагдсан префиксүүдээ зааж өгнө гэсэн юм. Үүний тал нь үнэн. Сесс өндийн гардаг бөгөөд үүнээс болж VPC-ийн маршрутын хүснэгтэд юу ч өөрчлөгдөхгүй, тиймээс эхний шинж тэмдэг нь ихэвчлэн траффикийг чимээгүйхэн хар нүх рүү хаядаг дэд сүлжээ байдаг.

Энд хоёр өөр зүйлийг хольж байна: маршрутын сервертэй пиринг, маршрутуудыг хүснэгтэд суулгах.

Домог: BGP-г өндийлгө, VPC префиксүүдийг сурна

BGP бол хоёр яригчийн хоорондын яриа бөгөөд энэ дизайн дахь яригчид нь таны төхөөрөмж дээрх маршрутжуулалтын демон ба AWS таны эзэмшлийн дэд сүлжээнд байрлуулдаг VPC Route Server-ийн төгсгөлийн цэг юм. Тэр яриа префиксүүдийг зөөдөг. Энэ нь таны ажлын ачааллын дэд сүлжээний маршрутын хүснэгтэд хүрэхгүй, учир нь тэдгээр хүснэгт нь тус бүр дээр нь идэвхжүүлэх ёстой тархалтаар л сурдаг. Тэр болтол VPC-ийн даавуу төхөөрөмжийн мэддэг зүйлийн талаар юу ч мэдэхгүй.

Тохиргооны алхмууд нэг шалтгаанаар тусдаа байдаг: холбох, төгсгөлийн цэг үүсгэх, пиринг хийх, дараа нь тархалтыг идэвхжүүлэх.

Route Server бол удирдлагын хавтгай, туннель биш

Route Server нэг ч пакетыг шифрлэхгүй, дамжуулахгүй, шалгахгүй. Энэ нь төхөөрөмжтэй BGP солилцож, гарсан префиксүүдийг тэдгээрийг хүлээн авахаар тохируулсан маршрутын хүснэгтэд өгөхөд оршино. Өгөгдлийн хавтгай өөрчлөгдөөгүй: пакетууд төхөөрөмжийн сүлжээний интерфейсээр гарч, түүний VPN-ээр явж, мөн замаар буцаж ирдэг.

Энэ нь дамжуулагч инстанс дээрх эх үүсвэр ба очих газрын шалгалт одоо ч чухал гэсэн үг, учир нь инстанс одоо өөр хэнд нэгэн хаягласан траффикийг дамжуулж байна.

Аюулгүй байдлын бүлгүүд болон дэд сүлжээний хяналтууд дамжуулагдсан урсгалд мөн хамаарна. Route Server траффикийг хаядаг төхөөрөмжийг түүнийг дамжуулахыг албадахгүй, алслагдсан талд дутуу буцах маршрутыг засахгүй.

Тархалт нь маршрутын хүснэгт тус бүрээр, бүх VPC-ээр биш

Маршрутын серверийг VPC-тэй холбох, маршрутын хүснэгт дээр тархалтыг идэвхжүүлэх нь хоёр шийдвэр бөгөөд зөвхөн хоёр дахь нь дэд сүлжээ юу хийдгийг өөрчилдөг. Зургаан маршрутын хүснэгттэй VPC тархсан префиксийг нэгд нь хүлээн авч, бусад тавд нь хүлээн авахгүй байж болох нь төв дэд сүлжээнд яг зөв бөгөөд «хагас ажилладаг» гэсэн будлиантай үр дүнг үүсгэдэг зүйл нь яг энэ юм. Тархалт асаалттай байсан ч өрсөлдөгч маршрут ялж болно, учир нь VPC-ийн маршрутын сонголт хамгийн урт префикст давуу эрх өгдөг, ижил урттай үед тархсанаас статик маршрутыг илүүд үздэг. Энэ давуу эрх чимээгүйхэн хэрэгжинэ.

Төхөөрөмжийн зарласан префиксүүдийн жагсаалтын оронд тухайн дэд сүлжээний үр дүнтэй хүснэгтийг шалгаарай. API энэ асуултад шууд хариулдаг: aws ec2 associate-route-server ба aws ec2 enable-route-server-propagation --route-table-id <id> нь хүмүүсийн мартаж орхидог хоёр алхам бөгөөд aws ec2 describe-route-tables --route-table-ids <id> префикс route server бичлэгээр ирсэн эсэхийг харуулна.

Төхөөрөмж одоо ч пакет бүрийг зөөдөг

Хүртээмжийг зарлах нь түүнийг эзэмшихтэй ижил биш. BGP сесс төхөөрөмжийн VPN унтарсан байхад ч тогтоогдсон хэвээр үлдэж болох бөгөөд хэзээ ч өөрчлөгддөггүй статик зарлал траффикийг үхсэн зам руу татсаар байна. Route Server BFD зэрэг эвдрэл илрүүлэлтийг дэмждэг, гэхдээ энэ нь хамтрагчийн амьдрах чадварыг шалгадаг, түүний араас байгаа бүхний эрүүл мэндийг биш.

Зарлалыг бодит алслагдсан маршруттай холбоорой: туннель болон алслагдсан сүлжээ ажиллаж байхад префиксийг зарлаж, ажиллахгүй үед буцааж ав.

Префиксийг буцааж аваад юу болохыг хар

Үе шаттайгаар туршаад, сүүлийн шатыг устгах болгоорой. Зарлал ирж, префикс төлөвлөсөн хүснэгт бүрт гарч, төхөөрөмж дараагийн хоп болж, дамжуулалт идэвхтэй туннелээр дамжиж, алслагдсан тал хариулж байгааг баталгаажуулаарай. Дараа нь туршилтын префиксийг буцааж ав эсвэл зөвшөөрөгдсөн туннелийг хааж, траффик дизайны хэлсэн газар руу шилжиж байгаа эсэхийг ажиглаарай. Туршилт нээлттэй байхад өмнөх ба дараах хүснэгтүүдийг тэмдэглээрэй.

Маршрутыг хоёр дахь төхөөрөмж рүү зөөх нь түүний зөөж байсан сессүүдийг зөөхгүй, учир нь NAT ба firewall-ын төлөв эхний төхөөрөмж дээр үлддэг.

Арван хоёр префикс бүхий тогтмол багцын хувьд VPC-ийн хүснэгт дэх статик маршрутууд илүү хямд хариулт хэвээр байна. Route Server префиксийн жагсаалт үнэхээр өөрчлөгдөж, буцааж авах бодлогыг жижүүр хүнд тайлбарлаж чадах үед л өөрийн байр сууриа олдог.