GCP VPN ruta radi samo u jednoj regiji: provjerite dinamičko usmjeravanje

Radno opterećenje u SAD-u stiže do uredskog prefiksa preko HA VPN-a bez problema, dok evropsko radno opterećenje u istom VPC-u ne dobija ništa. Njegova tabela ruta ne sadrži nijedan unos za taj prefiks, nijedan tunel nije pao i nijedno pravilo zaštitnog zida nije promijenjeno. Tunel i njegova BGP sesija su zdravi u oba smjera. VPC koji se proteže kroz regije nije isto što i njegove naučene rute koje se protežu kroz regije, i upravo taj jaz objašnjava cijeli simptom.

Ovdje se miješaju dva svojstva: gdje se nalaze podmreže i gdje se naučeni sljedeći skok smije koristiti.

Odakle dolazi regionalni obuhvat

Cloud Router instalira naučene rute s obuhvatom koji slijedi dinamički način usmjeravanja VPC-a. U regionalnom načinu ruta naučena u jednoj regiji iskoristiva je samo za resurse te regije, zbog čega je evropska tabela prazna umjesto da prikazuje pokvaren sljedeći skok. U globalnom načinu podobne naučene rute postaju dostupne resursima u svakoj regiji VPC-a. Pročitajte trenutnu vrijednost prije bilo kakve promjene, jer je regionalni način zadani. Postavka se nalazi na mreži, ne na tunelu ni na ruteru.

Naredba za popis je samo za čitanje i odgovara na to u jednom redu:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Pokrenite je u matičnom projektu kada je VPC dijeljen. Mreža pripada tom projektu, a uloga pregledača u projektu radnog opterećenja možda uopće ne prikazuje konfiguraciju usmjeravanja. Brz odgovor iz pogrešnog projekta gori je od nikakvog odgovora.

Promjena je jedna naredba i jedan smjer

Prebacivanje je izmjena kontrolne ravnine na razini cijelog VPC-a, a ne zaobilazno rješenje po VM-u: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Ono je i jednosmjerno, jer mreža postavljena na globalno ne može se vratiti na regionalno. Provjerite još jednom naziv projekta i mreže prije pokretanja, jer naredba ne traži potvrdu. Promjena zaslužuje napomenu o održavanju i odobrenje vlasnika mreže, a ne brzi eksperiment na dijeljenom VPC-u.

Svaki Cloud Router, VPN i Interconnect attachment na toj mreži nasljeđuje novi obuhvat odmah. To uključuje i attachment-e koje nitko nije spomenuo u zahtjevu za promjenu. Regije koje nikada prije nisu imale tu rutu počinju je primati čim promjena stupi na snagu, zbog čega za ovo prebacivanje nema postupnog uvođenja.

Globalno je obuhvat, a ne garancija

Prihvatljivost i preferencija odvojeni su od obuhvata. Ruta koja je u sukobu s konkretnijim prefiksom, gubi odabir najboljeg puta ili je filtrirana pravilnikom ponaša se točno kao prije. Globalni način proširuje gdje se ruta smije koristiti, ali ne odlučuje koja ruta pobjeđuje. Naučena ruta može biti u obuhvatu i ipak izgubiti od statične ili konkretnije putanje na istom VPC-u.

Ta razlika je važna jer se promjena načina kasnije lako okrivi. Ako evropska podmreža i nakon prebacivanja nema rutu, pitanje je postoji li ruta i je li prihvatljiva, a ne je li obuhvat stupio na snagu. Sukobi prefiksa i zdravlje sljedećeg skoka sljedeće su dvije stvari za čitanje.

Udaljena strana i najavljuje drugačije

Ponašanje najavljivanja slijedi istu postavku. U zadanom ponašanju ruter u regionalnom načinu najavljuje podmreže svoje regije, dok globalni način najavljuje podmreže VPC-a šire. Zato promjena načina mijenja ne samo što vaše regije smiju koristiti, nego i što udaljena strana instalira.

Prilagođeni popis najava ne širi se kad se način promijeni. Ako lokalni ruter drži ručno napisan popis raspona, evropski prefiks ostaje odsutan iz njega. Povratni put u tom slučaju ostaje pokvaren iako odlazna ruta sada postoji. Provjerite što je udaljena strana instalirala, a ne što ste izvezli.

Što način nikada neće popraviti

Globalno usmjeravanje ne daje pristup javnom internetu, tranzit između nepovezanih VPC-ova ni nedostajuće statične rute. Ono ne mijenja pravila zaštitnog zida ni IAM, pa veza koju pravilnik odbije ostaje odbijena.

Ti kvarovi izgledaju isto iz unutrašnjosti radnog opterećenja i nemaju nikakve veze s obuhvatom ruta.

Testirajte iz udaljene regije prema stvarnoj usluzi, zatim potvrdite da se odgovor vraća kroz predviđeni tunel. Zabilježite način, konfiguraciju najava i odredište koje ste testirali. Ako test i dalje ne prolazi, usporedite BGP tabelu udaljenog rutera s popisom ruta VPC-a prije nego ponovno dirnete način. Tada sljedeće izvješće između regija počinje od činjenica, a ne od promjene načina.