Маршрут GCP VPN работает только в одном регионе: проверьте динамическую маршрутизацию

Рабочая нагрузка в США без проблем достигает офисного префикса через HA VPN, а европейская нагрузка в том же VPC не получает ничего. Её таблица маршрутизации не содержит записи для этого префикса, ни один туннель не лежит, и ни одно правило брандмауэра не менялось. Туннель и его сессия BGP здоровы в обоих направлениях. VPC, охватывающий регионы, — не то же самое, что его изученные маршруты, охватывающие регионы, и именно этот разрыв объясняет весь симптом.

Здесь путают два свойства: где находятся подсети и где можно использовать изученный следующий переход.

Откуда берётся региональная область действия

Cloud Router устанавливает изученные маршруты с областью действия, которая следует режиму динамической маршрутизации VPC. В региональном режиме маршрут, изученный в одном регионе, могут использовать только ресурсы этого региона, поэтому европейская таблица пуста, а не показывает сломанный следующий переход. В глобальном режиме подходящие изученные маршруты становятся доступны ресурсам в каждом регионе VPC. Прочитайте текущее значение, прежде чем что-либо менять, потому что региональный режим — режим по умолчанию. Настройка находится на сети, а не на туннеле и не на маршрутизаторе.

Команда инвентаризации только для чтения и отвечает на это одной строкой:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Запустите её в проекте-хосте, если VPC общий. Сеть принадлежит этому проекту, а роль просмотрщика в проекте нагрузки может даже не показывать конфигурацию маршрутизации. Быстрый ответ из неправильного проекта хуже, чем отсутствие ответа.

Изменение — это одна команда и одно направление

Переключение — это правка плоскости управления для всего VPC, а не обход для каждой VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Оно также одностороннее, потому что сеть, переведённую в глобальный режим, нельзя вернуть в региональный. Проверьте ещё раз название проекта и сети перед запуском, так как команда не запрашивает подтверждения. Изменение заслуживает заметки об обслуживании и согласия владельца сети, а не быстрого эксперимента в общей VPC.

Каждое подключение Cloud Router, VPN и Interconnect в этой сети наследует новую область действия сразу. Это включает подключения, о которых никто не упомянул в запросе на изменение. Регионы, где этого маршрута никогда не было, начинают получать его, как только изменение вступает в силу, поэтому для этого переключения нет поэтапного развёртывания.

Глобальность — это область действия, а не гарантия

Допустимость и предпочтение отделены от области действия. Маршрут, который конфликтует с более конкретным префиксом, проигрывает выбор лучшего пути или фильтруется политикой, ведёт себя точно так же, как раньше. Глобальный режим расширяет, где маршрут можно использовать, но не решает, какой маршрут победит. Изученный маршрут может быть в области действия и всё равно проиграть статическому или более конкретному пути в том же VPC.

Это различие важно, потому что смену режима легко потом обвинить. Если европейская подсеть после переключения всё ещё без маршрута, вопрос в том, существует ли маршрут и допустим ли он, а не в том, вступила ли область действия в силу. Конфликты префиксов и здоровье следующего перехода — следующие две вещи для чтения.

Удалённая сторона тоже объявляет иначе

Поведение объявлений следует той же настройке. При поведении по умолчанию маршрутизатор в региональном режиме объявляет подсети своего региона, а глобальный режим объявляет подсети VPC шире. Поэтому смена режима меняет не только то, что могут использовать ваши регионы, но и то, что устанавливает удалённая сторона.

Пользовательский список объявлений не расширяется при смене режима. Если локальный маршрутизатор хранит написанный вручную список диапазонов, европейский префикс в нём остаётся отсутствующим. Обратный путь в этом случае остаётся сломанным, хотя исходящий маршрут теперь существует. Проверьте, что установила удалённая сторона, а не то, что вы экспортировали.

Что режим никогда не исправит

Глобальная маршрутизация не даёт доступа в публичный интернет, транзита между несвязанными VPC или недостающих статических маршрутов. Она не меняет правила брандмауэра или IAM, поэтому соединение, отклонённое политикой, остаётся отклонённым.

Эти сбои выглядят одинаково изнутри нагрузки и не имеют ничего общего с областью действия маршрутов.

Проверьте из удалённого региона до реального сервиса, затем подтвердите, что ответ возвращается через нужный туннель. Запишите режим, конфигурацию объявлений и пункт назначения, который вы проверяли. Если тест всё ещё не проходит, сравните таблицу BGP удалённого маршрутизатора со списком маршрутов VPC, прежде чем снова трогать режим. Тогда следующий отчёт между регионами начнётся с фактов, а не со смены режима.