Trasa GCP VPN funguje len v jednom regióne: skontrolujte dynamické smerovanie

Pracovná záťaž v USA sa dostane na kancelársky prefix cez HA VPN bez problémov, zatiaľ čo európska záťaž v tej istej VPC nedostane vôbec nič. Jej smerovacia tabuľka neobsahuje žiadny záznam pre tento prefix, žiadny tunel nie je mimo prevádzky a žiadne pravidlo firewallu sa nezmenilo. Tunel a jeho relácia BGP sú zdravé v oboch smeroch. VPC, ktorá pokrýva regióny, nie je to isté ako jej naučené trasy pokrývajúce regióny, a práve tento rozdiel vysvetľuje celý príznak.

Zamieňajú sa tu dve vlastnosti: kde žijú podsiete a kde sa smie použiť naučený ďalší skok.

Odkiaľ pochádza regionálny rozsah

Cloud Router inštaluje naučené trasy s rozsahom, ktorý nasleduje režim dynamického smerovania VPC. V regionálnom režime je trasa naučená v jednom regióne použiteľná len pre zdroje tohto regiónu, preto je európska tabuľka prázdna, namiesto toho aby ukazovala nefunkčný ďalší skok. V globálnom režime sú spôsobilé naučené trasy dostupné zdrojom v každom regióne VPC. Pred akoukoľvek zmenou si prečítajte aktuálnu hodnotu, pretože regionálny režim je predvolený. Nastavenie sídli na sieti, nie na tuneli a nie na routeri.

Inventarizačný príkaz je iba na čítanie a odpovedá na to jedným riadkom:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Spustite ho v hostiteľskom projekte, keď je VPC zdieľaná. Sieť patrí tomu projektu a rola prezerajúceho v projekte záťaže nemusí konfiguráciu smerovania vôbec zobraziť. Rýchla odpoveď z nesprávneho projektu je horšia ako žiadna odpoveď.

Zmena je jeden príkaz a jeden smer

Prepnuti je úprava riadiacej roviny pre celú VPC, nie obchádzka pre každú VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Je tiež jednosmerné, pretože sieť nastavenú na globálnu nemožno vrátiť na regionálnu. Pred spustením ešte raz skontrolujte názov projektu a siete, pretože príkaz nežiada potvrdenie. Zmena si zaslúži poznámku o údržbe a schválenie vlastníka siete, nie rýchly experiment na zdieľanej VPC.

Každé pripojenie Cloud Router, VPN a Interconnect v tejto sieti dedí nový rozsah naraz. Zahŕňa to pripojenia, ktoré nikto v žiadosti o zmenu nespomenul. Regióny, ktoré túto trasu nikdy predtým nemali, ju začnú dostávať hneď ako zmena nadobudne účinnosť, preto pre toto prepnutie neexistuje postupné zavádzanie.

Globálne je rozsah, nie záruka

Spôsobilosť a preferencia sú oddelené od rozsahu. Trasa, ktorá koliduje s konkrétnejším prefixom, prehráva výber najlepšej cesty alebo je filtrovaná politikou, sa správa presne ako predtým. Globálny režim rozširuje, kde sa trasa smie použiť, ale nerozhoduje, ktorá trasa vyhrá. Naučená trasa môže byť v rozsahu a napriek tomu prehrať so statickou alebo konkrétnejšou cestou v tej istej VPC.

Tento rozdiel je dôležitý, pretože zmenu režimu je neskôr ľahké obviniť. Ak európska podsieť po prepnutí stále nemá trasu, otázka je, či trasa existuje a je spôsobilá, nie či rozsah nadobudol účinnosť. Konflikty prefixov a zdravie ďalšieho skoku sú ďalšie dve veci na prečítanie.

Vzdialená strana ohlasuje tiež inak

Správanie ohlasovania sa riadi rovnakým nastavením. Pri predvolenom správaní router v regionálnom režime ohlasuje podsiete svojho vlastného regiónu, zatiaľ čo globálny režim ohlasuje podsiete VPC širšie. Preto zmena režimu mení nielen to, čo smú používať vaše regióny, ale aj to, čo inštaluje vzdialená strana.

Vlastný zoznam ohlasovania sa pri zmene režimu nerozšíri. Ak lokálny router drží ručne písaný zoznam rozsahov, európsky prefix v ňom zostáva neprítomný. Spätná cesta v tom prípade zostáva nefunkčná, aj keď odchádzajúca trasa už existuje. Skontrolujte, čo nainštalovala vzdialená strana, nie čo ste exportovali.

Čo režim nikdy neopraví

Globálne smerovanie neposkytuje prístup k verejnému internetu, tranzit medzi nesúvisiacimi VPC ani chýbajúce statické trasy. Nemeni pravidlá firewallu ani IAM, takže spojenie odmietnuté politikou zostáva odmietnuté.

Tieto poruchy vyzerajú zvnútra záťaže rovnako a nemajú nič spoločné s rozsahom trás.

Otestujte to zo vzdialeného regiónu na skutočnú službu a potom potvrďte, že odpoveď sa vracia zamýšľaným tunelom. Zaznamenajte režim, konfiguráciu ohlasovania a cieľ, ktorý ste testovali. Ak test stále zlyháva, porovnajte tabuľku BGP vzdialeného routera so zoznamom trás VPC, skôr než na režim znova siahnete. Potom nasledujúca medziregionálna správa začína od faktov, nie od zmeny režimu.