Avviżi BGP tal-VGW kontra t-tabella tar-rotot tal-VPC: x'ibiddel xiex

Prefiss nieqes f'tabella tar-rotot ta' subnetwork tal-VPC u prefiss nieqes fuq ir-router tal-klijent huma żewġ ħsarat differenti, u waħda biss minnhom tiġi msewwija ġewwa t-tabelli tar-rotot tal-AWS. Il-gateway privat virtwali jħabbar il-blokki CIDR assoċjati mal-VPC tiegħu; it-tabella tar-rotot tas-subnetwork tiddeċiedi fejn xogħol jibgħat tweġiba. Li tittratta t-tieni bħala mod kif tbiddel l-ewwel huwa l-iżball l-aktar komuni f'dan id-dijanjosi. Mexxi l-kontrolli hawn taħt fl-ordni u żomm iż-żewġ direzzjonijiet separati.

Semmi l-konnessjoni qabel ma taqra kwalunkwe tabella

VPN minn sit għal sit jispiċċa jew fuq gateway privat virtwali jew fuq gateway tat-trażitu, u l-ID tar-riżorsi jiddeċiedu liema mudell ta' routing japplika. Aqrahom l-ewwel: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. It-tweġiba tgħidlek jekk it-tabella li jmiss li trid tiġi spezzjonata hijiex tabella tar-rotot tal-VPC jew tabella tar-rotot tal-gateway tat-trażitu.

Jekk il-VPN hija konnessa ma' gateway tat-trażitu, ieqaf milli tittratta t-tabella tar-rotot tal-VPC bħala l-pjan ta' kontroll. Hemmhekk it-tabella tal-VPC tindika l-konnessjoni tal-gateway, u l-assoċjazzjoni u l-propagazzjoni jsiru fit-tabella tar-rotot tal-gateway tat-trażitu. Li tħallat iż-żewġ perspettivi jipproduċi konklużjonijiet konfidenti dwar l-oġġett ħażin.

Id-direzzjoni mill-AWS għall-uffiċċju hija avviż

Għal konnessjoni VGW, il-gateway iħabbar il-blokki CIDR assoċjati mal-VPC tiegħu lill-gateway tal-klijent permezz tal-BGP. Li żżid rotta waħda tas-subnetwork, jew li tħejji rotta lejn VPC imqabbel jew apparat, ma żżidx CIDR assoċjat ieħor u ma tidhirx f'dan l-avviż. Jekk fl-uffiċċju jonqos prefiss, qabbel il-lista tar-rotot li waslu mal-assoċjazzjonijiet tal-VPC qabel ma teditja kwalunkwe tabella tar-rotot.

Ir-regola sempliċi għandha eċċezzjonijiet, għalhekk żommha fl-ambitu tagħha. Konfigurazzjoni VPN CloudHub tista' terġa' tħabbar prefissi tas-sit bejn il-gateways tal-klijenti, u gateway tat-trażitu jsegwi r-regoli tal-propagazzjoni tiegħu stess. Id-dikjarazzjoni li VGW iħabbar biss il-VPC tiegħu huwa default utli, mhux liġi li tkopri kull topoloġija li tiltaqa' magħha.

Id-direzzjoni mill-uffiċċju għall-AWS hija propagazzjoni flimkien ma' għażla

Fid-direzzjoni opposta l-VGW jitgħallem il-prefiss tal-uffiċċju, iżda dan waħdu ma jiċċaqlaqx xogħol. It-tabella tar-rotot tas-subnetwork trid jew ikollha l-propagazzjoni attivata għall-konnessjoni jew iġġorr rotta statika lejn l-istess destinazzjoni. Meta t-tnejn jeżistu għal prefiss wieħed, tirbaħ ir-rotta statika, u t-tqabbil tal-akbar prefiss jitmexxa qabel it-tnejn.

Aqra l-oriġini minflok ma tassumiha: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Entrata bl-oriġini EnableVgwRoutePropagation ġiet mill-BGP; entrata bl-oriġini CreateRoute kitibha bniedem u se tkompli tirbaħ sakemm xi ħadd iħassarha.

Runbook li jżomm iż-żewġ direzzjonijiet separati

Innota erba' fatti fuq in-naħa tal-AWS qabel ma tibdel xejn: it-tip tal-konnessjoni, is-CIDR assoċjati tal-VPC, l-oriġini tar-rotta tas-subnetwork għall-prefiss inkwistjoni, u l-istat tat-tunnel u tal-BGP. L-istess sejħa describe tirritorna VgwTelemetry b'għadd ta' rotot aċċettati għal kull tunnel, li tgħidlek jekk l-AWS aċċettatx xi rotot xejn. Imbagħad qabbel dan ma' dak li l-apparat tal-klijent fil-fatt installa. Prefiss preżenti fil-BGP iżda nieqes mit-tabella tal-ipproċessar hija problema ta' import lokali jew ta' l-aħjar rotta, mhux problema tat-tabella tar-rotot tal-AWS.

Jekk it-tabella tas-subnetwork m'għandhiex il-prefiss xejn, attiva l-propagazzjoni jew żid rotta statika, imbagħad erġa' aqra l-istess mistoqsija wara l-intervall tal-propagazzjoni minflok ma tassumi li l-bidla kienet immedjata. Jekk il-prefiss jeżisti u t-traffiku xorta jonqos, ħalli l-pjan ta' kontroll kwiet u mur għall-passa tad-data.

X'ma għandekx tibdel waqt li tkun hemm

Tixgħelx jew titfixx il-propagazzjoni fuq tabelli tar-rotot mhux relatati biex issewwi prefiss nieqes wieħed, u żżidx rotta default biex tgħatti CIDR wieħed nieqes. Iż-żewġ bidliet iwessgħu l-ambitu tal-impatt u jagħmlu d-dijanjosi li jmiss aktar diffiċli. Illimita l-editjar għat-tabella li sservi s-subnetwork tax-xogħol inkwistjoni.

Il-passa tad-data hija separata minn dan kollu. Il-gruppi tas-sigurtà huma stateful, l-ACL tan-netwerk mhumiex, u firewall tal-host jew passa tar-ritorn asimmetrika jistgħu jwarrbu traffiku li r-routing wassal b'mod korrett. Aggregat imħabbar lanqas ma jawtorizza kull servizz ġo fih, għalhekk illimita l-aċċess fil-fruntiera tal-politika minflok ma tiddependi fuq jekk indirizz jidhirx b'kumbinazzjoni f'avviż BGP.

Issalva l-qabel u wara ta' kull mistoqsija tat-tabella tar-rotot fir-rekord tal-bidliet. Jekk il-bidla tagħmel l-affarijiet agħar, erġa' stabbilixxi r-rotot preċedenti u kkonferma bl-istess mistoqsija, għax rollback li ma tistax tivverifika huwa biss suppożizzjoni.