GCP VPN-rute virker bare i én region: sjekk dynamisk ruting

Arbeidsbelastningen i USA når kontorprefikset over HA VPN uten problemer, mens den europeiske arbeidsbelastningen i samme VPC ikke får noe i det hele tatt. Dens rutetabell inneholder ingen oppføring for prefikset, ingen tunnel er nede, og ingen brannmurregel er endret. Tunnelen og BGP-økten er sunn i begge retninger. Et VPC som spenner over regioner er ikke det samme som dets lærte ruter som spenner over regioner, og nettopp det gapet forklarer hele symptomet.

Her forveksles to egenskaper: hvor undernettene bor, og hvor et lært neste hopp kan brukes.

Hvor det regionale omfanget kommer fra

Cloud Router installerer lærte ruter med et omfang som følger VPC-ens dynamiske rutingmodus. I regional modus kan en rute lært i én region bare brukes av ressursene i den regionen, og derfor er den europeiske tabellen tom i stedet for å vise et ødelagt neste hopp. I global modus blir kvalifiserte lærte ruter tilgjengelige for ressurser i hver region i VPC-et. Les gjeldende verdi før du endrer noe, fordi regional er standarden. Innstillingen ligger på nettverket, ikke på tunnelen og ikke på ruteren.

Inventarkommandoen er skrivebeskyttet og svarer på det på én linje:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Kjør den i vertsprosjektet når VPC-et er delt. Nettverket tilhører det prosjektet, og en visningsrolle i arbeidsbelastningsprosjektet viser kanskje ikke rutingkonfigurasjonen i det hele tatt. Et raskt svar fra feil prosjekt er verre enn ikke noe svar.

Endringen er én kommando og én retning

Byttet er en redigering av kontrollplanet for hele VPC-et, ikke en omvei per VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Det er også enveiskjørt, fordi et nettverk satt til globalt ikke kan føres tilbake til regionalt. Sjekk prosjekt- og nettverksnavnet én gang til før du kjører det, siden kommandoen ikke ber om bekreftelse. Endringen fortjener en vedlikeholdsnotat og nettverkseierens godkjenning, ikke et raskt eksperiment på et delt VPC.

Hver Cloud Router-, VPN- og Interconnect-tilkobling i det nettverket arver det nye omfanget på en gang. Det inkluderer tilkoblingene ingen nevnte i endringsforespørselen. Regioner som aldri før hadde ruten begynner å motta den så snart endringen trer i kraft, og derfor er det ingen trinnvis utrulling for dette byttet.

Globalt er et omfang, ikke en garanti

Kvalifikasjon og preferanse er atskilt fra omfang. En rute som kolliderer med et mer spesifikt prefiks, taper valget av beste vei eller filtreres av policy, oppfører seg nøyaktig som før. Global modus utvider hvor en rute kan brukes, men avgjør ikke hvilken rute som vinner. En lært rute kan være innenfor omfanget og likevel tape mot en statisk eller mer spesifikk vei i samme VPC.

Den forskjellen betyr noe fordi modusendringen er lett å skylde på senere. Hvis det europeiske undernettet fortsatt ikke har noen rute etter byttet, er spørsmålet om ruten finnes og er kvalifisert, ikke om omfanget trådte i kraft. Prefikskonflikter og neste hopps helse er de neste to tingene å lese.

Fjernsiden annonserer også annerledes

Annonseringsatferd følger samme innstilling. Med standardatferd annonserer en ruter i regional modus undernettene i sin egen region, mens global modus annonserer VPC-ets undernett bredere. Derfor endrer modusen ikke bare hva dine egne regioner kan bruke, men også hva fjernsiden installerer.

En egendefinert annonseringsliste utvides ikke når modusen endres. Hvis den lokale ruteren har en håndskrevet liste over områder, forblir det europeiske prefikset fraværende i den. Returveien forblir brutt i det tilfellet selv om den utgående ruten nå finnes. Sjekk hva fjernsiden installerte, i stedet for hva du eksporterte.

Hva modusen aldri vil reparere

Global ruting gir ikke tilgang til offentlig internett, transitt mellom urelaterte VPC-er eller manglende statiske ruter. Den endrer ikke brannmurregler eller IAM, så en tilkobling som avvises av policy, forblir avvist.

Disse feilene ser like ut fra innsiden av en arbeidsbelastning og har ingenting med ruteomfanget å gjøre.

Test fra den fjerne regionen til den virkelige tjenesten, og bekreft deretter at svaret kommer tilbake gjennom den tiltenkte tunnelen. Noter modusen, annonseringskonfigurasjonen og destinasjonen du testet. Hvis testen fortsatt feiler, sammenlign fjernruterens BGP-tabell med VPC-ets ruteliste før du rører modusen igjen. Da starter neste rapport på tvers av regioner med fakta i stedet for med en modusendring.