BGP inzeráty z VGW verzus smerovacia tabuľka VPC: čo čo mení

Chýbajúca predpona v smerovacej tabuľke podsiete VPC a chýbajúca predpona na routeri zákazníka sú dve rôzne poruchy a v smerovacích tabuľkách AWS sa opravuje len jedna z nich. Virtuálna privátna brána inzeruje bloky CIDR pridružené k jej VPC; smerovacia tabuľka podsiete rozhoduje, kam pracovná záťaž pošle odpoveď. Považovať druhú za spôsob, ako zmeniť prvú je najčastejšie nesprávne odbočenie v tejto diagnostike. Vykonajte nižšie uvedené kontroly v poradí a držte oba smery oddelene.

Pred čítaním akejkoľvek tabuľky pomenujte pripojenie

VPN Site-to-Site končí buď na virtuálnej privátnej bráne, alebo na tranzitnej bráne, a ID prostriedkov rozhodujú, ktorý model smerovania platí. Najprv ich prečítajte: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Odpoveď vám povie, či je ďalšou tabuľkou na kontrolu smerovacia tabuľka VPC alebo smerovacia tabuľka tranzitnej brány.

Ak je VPN pripojená k tranzitnej bráne, prestaňte smerovaciu tabuľku VPC považovať za riadiacu rovinu. Tam tabuľka VPC ukazuje na pripojenie brány a pridruženie a propagácia sa dejú v smerovacej tabuľke tranzitnej brány. Miešanie oboch pohľadov vedie k sebavedomým záverom o nesprávnom objekte.

Smer z AWS do kancelárie je inzerát

Pri pripojení VGW brána inzeruje bloky CIDR pridružené k jej VPC zákazníckej bráne cez BGP. Pridanie jednotlivej trasy podsiete alebo nasmerovanie trasy na partnerskú VPC či zariadenie nepridá ďalší pridružený CIDR a v tomto inzeráte sa neobjaví. Ak kancelárii chýba predpona, porovnajte zoznam prijatých trás s pridruženiami VPC, než začnete upravovať akúkoľvek smerovaciu tabuľku.

Jednoduché pravidlo má výnimky, preto ho držte v jeho rozsahu. Usporiadanie VPN CloudHub môže znovu inzerovať predpony lokalít medzi zákazníckymi bránami a tranzitná brána sa riadi vlastnými pravidlami propagácie. Tvrdenie, že VGW inzeruje iba svoju vlastnú VPC, je užitočný predvolený predpoklad, nie zákon pokrývajúci každú topológiu, na ktorú narazíte.

Smer z kancelárie do AWS je propagácia plus výber

V opačnom smere sa VGW naučí predponu kancelárie, ale to samo o sebe pracovnú záťaž nepresunie. Smerovacia tabuľka podsiete musí mať buď zapnutú propagáciu pre pripojenie, alebo niesť statickú trasu k rovnakému cieľu. Keď pre jednu predponu existujú obe, vyhráva statická trasa a zhoda najdlhšej predpony sa vykoná pred oboma.

Čítajte pôvod, namiesto toho, aby ste ho predpokladali: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Záznam s pôvodom EnableVgwRoutePropagation prišiel z BGP; záznam s pôvodom CreateRoute napísal človek a bude vyhrávať, kým ho niekto neodstráni.

Runbook, ktorý drží oba smery oddelene

Pred akoukoľvek zmenou si na strane AWS zapíšte štyri skutočnosti: typ pripojenia, pridružené bloky CIDR VPC, pôvod trasy podsiete pre dotknutú predponu a stav tunela a BGP. To isté volanie describe vráti VgwTelemetry s počtom prijatých trás na tunel, čo vám povie, či AWS vôbec nejaké trasy prijala. Potom to porovnajte s tým, čo zákaznícke zariadenie skutočne nainštalovalo. Predpona prítomná v BGP, ale chýbajúca v preposielacej tabuľke, je problém miestneho importu alebo najlepšej cesty, nie problém smerovacej tabuľky AWS.

Ak tabuľke podsiete predpona úplne chýba, zapnite propagáciu alebo pridajte statickú trasu a potom znovu prečítajte tú istú požiadavku po intervale propagácie, namiesto predpokladu, že zmena bola okamžitá. Ak predpona existuje a prevádzka stále zlyháva, nechajte riadiacu rovinu na pokoji a prejdite na dátovú cestu.

Čo tam nemeniť

Neprepínajte propagáciu na nesúvisiacich smerovacích tabuľkách, aby ste opravili jednu chýbajúcu predponu, a nepridávajte predvolenú trasu, aby ste zakryli jednu chýbajúcu CIDR. Obe zmeny rozširujú rozsah dopadu a sťažujú ďalšiu diagnostiku. Obmedzte úpravu na tabuľku, ktorá obsluhuje dotknutú podsieť pracovnej záťaže.

Dátová cesta je od toho všetkého oddelená. Bezpečnostné skupiny sú stavové, sieťové ACL nie, a hostiteľský firewall alebo asymetrická spiatočná cesta môžu zahodiť prevádzku, ktorú smerovanie doručilo správne. Inzerovaný agregát tiež neoprávňuje každú službu v ňom, preto obmedzte prístup na hranici politiky namiesto spoliehania sa na to, či sa adresa náhodou objaví v inzeráte BGP.

Uložte stav pred a po každej požiadavke na smerovaciu tabuľku do záznamu zmien. Ak zmena situáciu zhorší, obnovte predchádzajúce trasy a potvrďte to tou istou požiadavkou, pretože vrátenie, ktoré nemôžete overiť, je len odhad.