GCP BYOIP: openbare aankondiging is geen privéroute
Een BYOIP-prefix verdelen tussen locatie en cloud vraagt twee plannen. Scheid de openbare aankondiging, de delegatie en de privé volgende hop.
Een deel van een openbaar blok blijft op locatie en een deel verhuist naar Google Cloud. Die zin beschrijft twee plannen, niet één: een plan voor aankondiging op internet en een plan voor privé-doorsturen. Ze als één routeringsprobleem behandelen is waar BYOIP-ontwerpen misgaan.
De betrokken objecten beantwoorden verschillende vragen, en slechts één ervan gaat over waar pakketten daarna heen gaan.
Drie objecten, drie vragen
Een openbaar aangekondigde prefix is de eenheid die Google namens jou op internet aankondigt. Een openbaar gedelegeerde prefix is hoe geïmporteerde ruimte aan ondersteunde Cloud-resources wordt toegewezen. Een VPC-route, inclusief een die via Cloud Router van een VPN is geleerd, kiest een privé volgende hop. Elk heeft zijn eigen bereik, zijn eigen API en zijn eigen foutmelding.
De tabelversie is korter.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Alleen de derde rij gaat over doorsturen binnen jouw netwerk.
Wat de BYOIP-overlapwaarschuwing dekt
De BYOIP-documentatie van Google behandelt de aangekondigde prefix als aankondigingseenheid en waarschuwt voor overlappende externe aankondigingen, inclusief een subprefix die buiten Google wordt aangekondigd. Die waarschuwing gaat over het openbare aankondigingsplan. Het is geen uitspraak over elke privéroute die je zou kunnen toevoegen.
Een kleinere toewijzing binnen een geïmporteerde prefix delegeren geeft je op zichzelf niet de toestemming om de rest vanaf een andere oorsprong aan te kondigen.
Stel de vraag in termen van wie wat aankondigt. Als Google de hele geïmporteerde prefix aankondigt, creëert een tweede oorsprong die een subprefix aankondigt precies de overlap waarvoor de documentatie waarschuwt, hoe netjes je VPC-routes er ook uitzien.
Wat een privéroute beslist
Een prefix die via een VPN is geleerd is geen internetaankondiging, en geen enkele hoeveelheid BGP maakt er een. Het is een vermelding in een VPC-routetabel die zegt welke tunnel of gateway het verkeer voor die bestemming moet dragen. Of die vermelding geschikt, geselecteerd of bruikbaar is, hangt af van de eigen routeringsregels van de VPC.
De langste-prefixovereenkomst geldt binnen de routetabel, dus een langere VPN-route kan lokaal winnen zonder iets aan de openbare rand te veranderen.
Een prefix splitsen: de beslissing die eerst komt
Als de architectuur vereist dat de helft van het blok vanaf een datacenter en de helft vanaf Google wordt aangekondigd, beslis dan het aankondigingsplan voordat je iets importeert. Bevestig welke bereiken Google mag aankondigen, welke elders aangekondigd blijven en of de twee overlappen. Ontwerp daarna het privépad voor elke bestemming en het retourpad ervan. Als de providers de splitsing die je wilt niet ondersteunen, wijzig dan de splitsing in plaats van te hopen dat een langere VPN-prefix een beslissing aan de openbare rand overstemt.
Die volgorde is belangrijk omdat het tweede plan het eerste niet kan repareren.
Verifieer beide plannen afzonderlijk
Controleer de openbare kant met gcloud compute public-advertised-prefixes list en bevestig de bereiken en hun status. Controleer de privékant met gcloud compute routes list en gcloud compute routers get-status, wat laat zien wat BGP werkelijk heeft uitgewisseld.
De ene set uitvoer vertelt je wat het internet ziet. De andere vertelt je waar je verkeer heen gaat. Geen van beide vervangt de andere.