Prečo sa vaša BGP relácia neobjaví v routovacej tabuľke VPC

Príbeh, ktorý sa opakuje, je ten, že routing démon na VPN zariadení v EC2 naučí VPC jeho vzdialené prefixy, hneď ako BGP nabehne. Polovica toho je pravda. Relácia nabehne a v routovacej tabuľke VPC sa kvôli tomu nič nezmení, preto je prvým príznakom zvyčajne podsiet, ktorá potichu posiela prevádzku do čiernej diery.

Miešajú sa tu dve rôzne veci: peering s route serverom a inštalácia trás do tabuľky.

Mýtus: zdvihnite BGP a VPC sa naučí prefixy

BGP je rozhovor medzi dvoma hovoriacimi a v tomto návrhu sú hovoriacimi routing démon na vašom zariadení a koncový bod VPC Route Server, ktorý AWS umiestni do podsiete, ktorú vlastníte. Ten rozhovor prenáša prefixy. Nedotýka sa routovacej tabuľky vašich pracovných podsietí, pretože tie tabuľky sa učia len prostredníctvom propagácie, ktorú treba zapnúť na každej z nich. Kým sa tak nestane, tkanivo VPC nevie nič o tom, čo zariadenie vie.

Kroky nastavenia sú oddelené z nejakého dôvodu: priradiť, vytvoriť koncový bod, nadviazať peering a potom zapnúť propagáciu.

Route Server je riadiaca rovina, nie tunel

Route Server nešifruje, nepreposiela ani neprehliada jediný paket. Existuje preto, aby si vymieňal BGP so zariadením a odovzdal výsledné prefixy routovacím tabuľkám nakonfigurovaným na ich príjem. Dátová rovina sa nemení: pakety stále odchádzajú cez sieťové rozhranie zariadenia, cestujú jeho VPN a vracajú sa tou istou cestou.

To znamená, že kontrola zdroja a cieľa na preposielajúcej inštancii je stále dôležitá, pretože inštancia teraz preposiela prevádzku adresovanú niekomu inému.

Bezpečnostné skupiny a ovládacie prvky podsiete platia aj pre preposielaný tok. Route Server neprinúti zariadenie, ktoré prevádzku zahadzuje, aby ju preposielalo, a neopraví chýbajúcu spätnú trasu na vzdialenej strane.

Propagácia je pre každú routovaciu tabuľku, nie pre celú VPC

Priradenie route servera k VPC a zapnutie propagácie v routovacej tabuľke sú dve rozhodnutia a len to druhé mení správanie podsiete. VPC so šiestimi routovacími tabuľkami môže prijať propagovaný prefix v jednej a nie v ostatných piatich, čo je presne správne pre hub podsiet a presne to vytvára mätúci výsledok «funguje na polovicu». Aj tam, kde je propagácia zapnutá, môže vyhrať konkurenčná trasa, pretože výber trás vo VPC uprednostňuje najdlhší prefix a pri rovnakej dĺžke dáva prednosť statickej trase pred propagovanou. Táto preferencia sa uplatňuje potichu.

Kontrolujte efektívnu tabuľku pre konkrétnu podsiet, nie zoznam prefixov, ktoré zariadenie inzeruje. API odpovedá na túto otázku priamo: aws ec2 associate-route-server a aws ec2 enable-route-server-propagation --route-table-id <id> sú dva kroky, na ktoré ľudia zabúdajú, a aws ec2 describe-route-tables --route-table-ids <id> ukazuje, či prefix vôbec dorazil ako záznam route server.

Zariadenie stále nesie každý paket

Inzerovať dostupnosť nie je to isté ako ju mať. Relácia BGP môže zostať nadviazaná, aj keď je VPN zariadenia mimo prevádzky, a statický inzerát, ktorý sa nikdy nemení, neustále ťahá prevádzku k mŕtvej ceste. Route Server podporuje detekciu porúch, napríklad BFD, ale tá testuje životaschopnosť partnera, nie zdravie všetkého za ním.

Zviažte inzerát so skutočnou vzdialenou trasou: inzerujte prefix, keď sú tunel a vzdialená sieť v prevádzke, a stiahnite ho, keď nie sú.

Stiahnite prefix a sledujte, čo sa stane

Testujte po fázach a poslednú fázu urobte odstránením. Overte, že inzerát dorazí, prefix sa objaví v každej zamýšľanej tabuľke, zariadenie je ďalší hop, preposielanie prechádza aktívnym tunelom a vzdialená strana odpovedá. Potom stiahnite testovací prefix alebo vypnite schválený tunel a sledujte, či sa prevádzka presúva tam, kde návrh hovorí. Zapíšte tabuľky pred a po, kým je test ešte otvorený.

Presun trasy na druhé zariadenie nepresunie relácie, ktoré niesla, pretože stav NAT a firewallu zostáva na prvom zariadení.

Pre pevnú sadu tuctu prefixov zostávajú statické trasy v tabuľkách VPC lacnejšou odpoveďou. Route Server si svoje miesto zaslúži, keď sa zoznam prefixov skutočne mení a politika sťahovania je niečo, čo dokážete vysvetliť človeku na pohotovosti.