GCP BYOIP: verejné inzerovanie nie je privátna trasa
Rozdelenie prefixu BYOIP medzi lokalitu a cloud si vyžaduje dva plány. Oddeľte verejné oznámenie, delegovanie a privátny ďalší skok.
Časť verejného bloku zostáva na lokalite a časť sa presúva do Google Cloud. Tá veta opisuje dva plány, nie jeden: plán inzerovania na internete a plán privátneho preposielania. Považovať ich za jediný problém smerovania je miesto, kde sa návrhy BYOIP pokazia.
Zúčastnené objekty odpovedajú na rôzne otázky a len jeden z nich sa týka toho, kam pakety idú ďalej.
Tri objekty, tri otázky
Verejne inzerovaný prefix je jednotka, ktorú Google inzeruje na internete vo vašom mene. Verejne delegovaný prefix je spôsob, akým sa importovaný priestor prideľuje podporovaným prostriedkom Cloud. Trasa vo VPC, vrátane tej naučenej cez Cloud Router z VPN, vyberá privátny ďalší skok. Každá má svoj rozsah, svoje API a svoju chybovú správu.
Tabuľková verzia je kratšia.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Len tretí riadok sa týka preposielania vnútri vašej siete.
Čo pokrýva upozornenie BYOIP na prekrytie
Google vo svojej dokumentácii BYOIP považuje inzerovaný prefix za jednotku inzerovania a upozorňuje na prekrývajúce sa externé oznámenia, vrátane subprefixu inzerovaného mimo Google. Toto upozornenie sa týka plánu verejného inzerovania. Nie je to tvrdenie o každej privátnej trase, ktorú by ste mohli pridať.
Delegovanie menšej alokácie vnútri importovaného prefixu vám samo o sebe nedáva oprávnenie inzerovať zvyšok z iného zdroja.
Položte otázku tak, kto čo inzeruje. Ak Google inzeruje celý importovaný prefix, druhý zdroj inzerujúci subprefix vytvára presne to prekrytie, pred ktorým dokumentácia varuje, nech už vaše trasy VPC vyzerajú akokoľvek upratane.
Čo rozhoduje privátna trasa
Prefix naučený cez VPN nie je internetové inzerovanie a žiadne množstvo BGP z neho inzerovanie neurobí. Je to záznam v tabuľke trás VPC, ktorý hovorí, ktorý tunel alebo brána má niesť prevádzku pre dané cieľové umiestnenie. Či je tento záznam spôsobilý, vybraný alebo použiteľný, závisí od vlastných pravidiel smerovania VPC.
Zhoda najdlhšieho prefixu platí vnútri tabuľky trás, takže dlhšia trasa VPN môže lokálne vyhrať bez toho, aby sa na verejnom okraji čokoľvek zmenilo.
Rozdelenie prefixu: rozhodnutie, ktoré prichádza prvé
Ak architektúra vyžaduje, aby polovica bloku bola inzerovaná z dátového centra a polovica z Google, vyriešte plán inzerovania skôr, než čokoľvek importujete. Potvrďte, ktoré rozsahy Google smie inzerovať, ktoré zostávajú inzerované inde a či sa oba prekrývajú. Potom navrhnite privátnu cestu pre každé cieľové umiestnenie a jej spiatočnú cestu. Ak poskytovatelia nepodporujú rozdelenie, ktoré chcete, zmeňte rozdelenie namiesto toho, aby ste dúfali, že dlhší prefix VPN prebije rozhodnutie na verejnom okraji.
Na tomto poradí záleží, pretože druhý plán nemôže opraviť prvý.
Overte oba plány oddelene
Skontrolujte verejnú stranu pomocou gcloud compute public-advertised-prefixes list a potvrďte rozsahy a ich stav. Skontrolujte privátnu stranu pomocou gcloud compute routes list a gcloud compute routers get-status, čo ukazuje, čo BGP skutočne vymenil.
Jedna sada výstupov vám hovorí, čo vidí internet. Druhá vám hovorí, kam ide vaša prevádzka. Ani jedna nenahrádza druhú.