Iklan BGP VGW berbanding jadual laluan VPC: apa mengubah apa

Awalan yang hilang dalam jadual laluan subnet VPC dan awalan yang hilang pada penghala pelanggan ialah dua kerosakan berbeza, dan hanya satu daripadanya dibaiki dalam jadual laluan AWS. Gateway persendirian maya mengiklankan blok CIDR yang berkaitan dengan VPC-nya; jadual laluan subnet menentukan ke mana beban kerja menghantar balasan. Menganggap yang kedua sebagai cara untuk mengubah yang pertama ialah kesilapan paling biasa dalam diagnosis ini. Jalankan pemeriksaan di bawah mengikut urutan dan pisahkan kedua-dua arah.

Namakan lampiran sebelum anda membaca mana-mana jadual

VPN tapak-ke-tapak berakhir sama ada pada gateway persendirian maya atau pada gateway transit, dan ID sumber menentukan model penghalaan mana yang terpakai. Baca dahulu: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Jawapannya memberitahu anda sama ada jadual seterusnya yang perlu diperiksa ialah jadual laluan VPC atau jadual laluan gateway transit.

Jika VPN dilampirkan pada gateway transit, berhenti menganggap jadual laluan VPC sebagai satah kawalan. Di sana jadual VPC menunjuk kepada lampiran gateway, dan persatuan serta penyebaran berlaku dalam jadual laluan gateway transit. Mencampurkan kedua-dua pandangan menghasilkan kesimpulan yakin tentang objek yang salah.

Arah AWS ke pejabat ialah iklan

Untuk lampiran VGW, gateway mengiklankan blok CIDR yang berkaitan dengan VPC-nya kepada gateway pelanggan melalui BGP. Menambah laluan subnet individu, atau menghala laluan ke VPC pasangan atau peranti, tidak menambah CIDR berkaitan yang lain dan tidak muncul dalam iklan itu. Jika pejabat kehilangan awalan, bandingkan senarai laluan yang diterima dengan persatuan VPC sebelum mengedit mana-mana jadual laluan.

Peraturan mudah ini ada pengecualian, jadi kekalkan dalam skopnya. Susunan VPN CloudHub boleh mengiklankan semula awalan tapak antara gateway pelanggan, dan gateway transit mengikut peraturan penyebarannya sendiri. Pernyataan bahawa VGW hanya mengiklankan VPC-nya sendiri ialah lalai yang berguna, bukan undang-undang yang merangkumi setiap topologi yang akan anda temui.

Arah pejabat ke AWS ialah penyebaran campur pemilihan

Dalam arah sebaliknya VGW mempelajari awalan pejabat, tetapi itu sahaja tidak menggerakkan beban kerja. Jadual laluan subnet mesti mempunyai penyebaran diaktifkan untuk lampiran atau membawa laluan statik ke destinasi yang sama. Apabila kedua-duanya wujud untuk satu awalan, laluan statik menang, dan padanan awalan terpanjang berjalan sebelum kedua-duanya.

Baca asalnya dan bukannya menganggapnya: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Entri dengan asal EnableVgwRoutePropagation datang daripada BGP; entri dengan asal CreateRoute ditaip oleh manusia dan akan terus menang sehingga seseorang memadamnya.

Runbook yang memisahkan kedua-dua arah

Catat empat fakta di sebelah AWS sebelum mengubah apa-apa: jenis lampiran, CIDR VPC yang berkaitan, asal laluan subnet untuk awalan berkenaan, serta keadaan terowong dan BGP. Panggilan describe yang sama mengembalikan VgwTelemetry dengan bilangan laluan yang diterima setiap terowong, yang memberitahu anda sama ada AWS menerima sebarang laluan. Kemudian bandingkan dengan apa yang sebenarnya dipasang oleh peranti pelanggan. Awalan yang ada dalam BGP tetapi tiada dalam jadual penghantaran ialah masalah import setempat atau laluan terbaik, bukan masalah jadual laluan AWS.

Jika jadual subnet langsung tiada awalan itu, aktifkan penyebaran atau tambah laluan statik, kemudian baca semula pertanyaan yang sama selepas selang penyebaran dan bukannya menganggap perubahan itu serta-merta. Jika awalan wujud dan trafik masih gagal, biarkan satah kawalan dan beralih ke laluan data.

Apa yang tidak boleh diubah semasa anda di sana

Jangan hidupkan atau matikan penyebaran pada jadual laluan yang tidak berkaitan untuk membaiki satu awalan yang hilang, dan jangan tambah laluan lalai untuk menutupi satu CIDR yang tiada. Kedua-dua perubahan meluaskan skop kesan dan menyukarkan diagnosis seterusnya. Hadkan suntingan kepada jadual yang melayani subnet beban kerja berkenaan.

Laluan data terpisah daripada semua ini. Kumpulan keselamatan bersifat stateful, ACL rangkaian tidak, dan tembok api hos atau laluan balik tak simetri boleh menggugurkan trafik yang dihantar dengan betul oleh penghalaan. Agregat yang diiklankan juga tidak memberi kebenaran kepada setiap perkhidmatan di dalamnya, jadi hadkan akses pada sempadan dasar dan bukannya bergantung pada sama ada sesuatu alamat kebetulan muncul dalam iklan BGP.

Simpan keadaan sebelum dan selepas setiap pertanyaan jadual laluan dalam rekod perubahan. Jika perubahan itu memburukkan keadaan, pulihkan laluan sebelumnya dan sahkan dengan pertanyaan yang sama, kerana pengembalian yang tidak dapat anda sahkan hanyalah tekaan.