Pot GCP VPN deluje samo v eni regiji: preverite dinamično usmerjanje

Delovna obremenitev v ZDA doseže pisarniško predpono prek HA VPN brez težav, medtem ko evropska obremenitev v istem VPC ne prejme ničesar. Njena usmerjevalna tabela ne vsebuje nobenega vnosa za to predpono, noben tunel ni izpadla in nobeno pravilo požarnega zidu se ni spremenilo. Tunel in njegova seja BGP sta zdrava v obe smeri. VPC, ki sega čez regije, ni isto kot njegove naučene poti, ki segajo čez regije, in prav ta razlika pojasnjuje celoten simptom.

Tu se mešata dve lastnosti: kje so podomrežja in kje se sme uporabiti naučeni naslednji skok.

Od kod izvira regionalni obseg

Cloud Router namesti naučene poti z obsegom, ki sledi dinamičnemu načinu usmerjanja VPC. V regionalnem načinu lahko pot, naučeno v eni regiji, uporabljajo samo viri te regije, zato je evropska tabela prazna, namesto da bi prikazovala pokvarjen naslednji skok. V globalnem načinu postanejo ustrezne naučene poti na voljo virom v vsaki regiji VPC. Preberite trenutno vrednost, preden karkoli spremenite, ker je regionalni način privzet. Nastavitev je na omrežju, ne na tunelu in ne na usmerjevalniku.

Ukaz za popis je samo za branje in odgovori na to v eni vrstici:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Zaženite ga v gostiteljskem projektu, ko je VPC v skupni rabi. Omrežje pripada tistemu projektu, vloga gledalca v projektu obremenitve pa morda sploh ne prikaže konfiguracije usmerjanja. Hiter odgovor iz napačnega projekta je slabši od nobenega odgovora.

Sprememba je en ukaz in ena smer

Preklop je urejanje krmilne ravnine za celoten VPC, ne obhod za vsak VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Je tudi enosmeren, ker omrežja, nastavljenega na globalno, ni mogoče vrniti v regionalno. Pred izvajanjem še enkrat preverite ime projekta in omrežja, saj ukaz ne zahteva potrditve. Sprememba si zasluži opombo o vzdrževanju in odobritev lastnika omrežja, ne pa hitrega poskusa v skupnem VPC.

Vsaka povezava Cloud Router, VPN in Interconnect v tem omrežju podeduje novi obseg takoj. To vključuje povezave, ki jih nihče ni omenil v zahtevi za spremembo. Regije, ki te poti nikoli prej niso imele, jo začnejo prejemati takoj ko sprememba začne veljati, zato za ta preklop ni postopne uvedbe.

Globalno je obseg, ne garancija

Upravičenost in prednost sta ločeni od obsega. Pot, ki je v konfliktu z bolj specifično predpono, izgubi izbiro najboljše poti ali jo politika filtrira, se obnaša natanko kot prej. Globalni način razširi, kje se pot sme uporabljati, ne odloči pa, katera pot zmaga. Naučena pot je lahko znotraj obsega in vseeno izgubi proti statični ali bolj specifični poti v istem VPC.

Ta razlika je pomembna, ker je spremembo načina pozneje lahko kriviti. Če evropsko podomrežje po preklopu še vedno nima poti, je vprašanje, ali pot obstaja in je upravičena, ne pa ali je obseg začel veljati. Konflikti predpon in zdravje naslednjega skoka sta naslednji dve stvari za branje.

Oddaljena stran oglašuje tudi drugače

Vedenje oglaševanja sledi isti nastavitvi. Pri privzetem vedenju usmerjevalnik v regionalnem načinu oglašuje podomrežja svoje regije, medtem ko globalni način oglašuje podomrežja VPC širše. Zato sprememba načina spremeni ne le, kaj smejo uporabljati vaše regije, ampak tudi, kaj namesti oddaljena stran.

Prilagojen seznam oglasov se ob spremembi načina ne razširi. Če ima lokalni usmerjevalnik ročno napisan seznam obsegov, evropska predpona v njem ostane odsotna. Povratna pot v tem primeru ostane pokvarjena, čeprav odhodna pot zdaj obstaja. Preverite, kaj je namestila oddaljena stran, ne kaj ste izvozili.

Česa način ne bo nikoli popravil

Globalno usmerjanje ne daje dostopa do javnega interneta, tranzita med nepovezanimi VPC ali manjkajočih statičnih poti. Ne spreminja pravil požarnega zidu ali IAM, zato povezava, ki jo politika zavrne, ostane zavrnjena.

Te napake so od znotraj obremenitve videti enako in nimajo nobene zveze z obsegom poti.

Preizkusite iz oddaljene regije do prave storitve, nato potrdite, da se odgovor vrne skozi predvideni tunel. Zapišite način, konfiguracijo oglasov in cilj, ki ste ga preizkusili. Če preizkus še vedno ne uspe, primerjajte tabelo BGP oddaljenega usmerjevalnika s seznamom poti VPC, preden se znova dotaknete načina. Takrat se naslednje poročilo med regijami začne z dejstvi, ne s spremembo načina.