GCP BYOIP: javno oglaševanje ni zasebna pot
Razdelitev predpone BYOIP med lokacijo in oblakom zahteva dva načrta. Ločite javno objavo, delegiranje in zasebni naslednji skok.
Del javnega bloka ostane na lokaciji, del pa se preseli v Google Cloud. Ta stavek opisuje dva načrta, ne enega: načrt oglaševanja na internetu in načrt zasebnega posredovanja. Obravnavati ju kot en sam problem usmerjanja je mesto, kjer načrti BYOIP gredo narobe.
Vključeni objekti odgovarjajo na različna vprašanja in le eden od njih se nanaša na to, kam paketi gredo naprej.
Trije objekti, tri vprašanja
Javno oglašena predpona je enota, ki jo Google oglašuje na internetu v vašem imenu. Javno delegirana predpona je način, kako se uvožen prostor dodeljuje podprtim virom Cloud. Pot v VPC, vključno s tisto, ki se nauči prek Cloud Routerja iz VPN, izbere zasebni naslednji skok. Vsaka ima svoje območje, svoj API in svoje sporočilo o napaki.
Različica s tabelo je krajša.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Samo tretja vrstica se nanaša na posredovanje znotraj vašega omrežja.
Kaj pokriva opozorilo BYOIP o prekrivanju
Google v svoji dokumentaciji BYOIP oglašeno predpono obravnava kot enoto oglaševanja in opozarja na prekrivajoče se zunanje objave, vključno s podpredpono, objavljeno zunaj Googla. To opozorilo se nanaša na načrt javnega oglaševanja. Ni izjava o vsaki zasebni poti, ki bi jo lahko dodali.
Delegiranje manjše dodelitve znotraj uvožene predpone vam samo po sebi ne daje dovoljenja, da preostanek oglašujete iz drugega vira.
Vprašanje postavite tako, kdo kaj oglašuje. Če Google oglašuje celotno uvoženo predpono, drugi vir, ki oglašuje podpredpono, ustvari natanko tisto prekrivanje, pred katerim opozarja dokumentacija, ne glede na to, kako urejene so vaše poti VPC.
Kaj odloči zasebna pot
Predpona, naučena prek VPN, ni internetna objava in nobena količina BGP tega ne bo spremenila. Je vnos v tabeli poti VPC, ki pove, kateri tunel ali prehod naj nosi promet do tega cilja. Ali je ta vnos primeren, izbran ali uporaben, je odvisno od lastnih pravil usmerjanja VPC.
Ujemanje najdaljše predpone velja znotraj tabele poti, zato lahko daljša pot VPN zmaga lokalno, ne da bi se na javnem robu karkoli spremenilo.
Razdelitev predpone: odločitev, ki pride prva
Če arhitektura zahteva, da se polovica bloka oglašuje iz podatkovnega središča, polovica pa iz Googla, odločite načrt oglaševanja, preden karkoli uvozite. Potrdite, katere razpone Google sme oglaševati, kateri ostanejo oglašeni drugje in ali se oba prekrivata. Nato načrtujte zasebno pot za vsak cilj in njeno povratno pot. Če ponudniki ne podpirajo razdelitve, ki jo želite, spremenite razdelitev, namesto da bi upali, da bo daljša predpona VPN razveljavila odločitev na javnem robu.
Ta vrstni red je pomemben, ker drugi načrt ne more popraviti prvega.
Preverite oba načrta ločeno
Preverite javno stran z gcloud compute public-advertised-prefixes list in potrdite razpone in njihovo stanje. Preverite zasebno stran z gcloud compute routes list in gcloud compute routers get-status, kar pokaže, kaj je BGP dejansko izmenjal.
En nabor izhodov vam pove, kaj vidi internet. Drugi vam pove, kam gre vaš promet. Noben ne nadomesti drugega.