BGP oglasi VGW proti usmerjevalni tabeli VPC: kaj spremeni kaj

Manjkajoča predpona v usmerjevalni tabeli podomrežja VPC in manjkajoča predpona na usmerjevalniku stranke sta dve različni napaki, in samo ena od njiju je odpravljena znotraj usmerjevalnih tabel AWS. Virtualna zasebna prehodna točka oglašuje bloke CIDR, povezane z njenim VPC; usmerjevalna tabela podomrežja odloči, kam delovna obremenitev pošlje odgovor. Obravnavati drugo kot način za spremembo prve je najpogostejša napačna smer v tej diagnostiki. Izvedite spodnje preglede po vrsti in držite obe smeri ločeni.

Pred branjem katere koli tabele poimenujte priključitev

VPN od mesta do mesta se konča bodisi na virtualni zasebni prehodni točki bodisi na tranzitni prehodni točki, ID-ji virov pa odločijo, kateri model usmerjanja velja. Najprej jih preberite: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Odgovor pove, ali je naslednja tabela za pregled usmerjevalna tabela VPC ali usmerjevalna tabela tranzitne prehodne točke.

Če je VPN priključen na tranzitno prehodno točko, prenehajte usmerjevalno tabelo VPC obravnavati kot krmilno ravnino. Tam tabela VPC kaže na priključitev prehodne točke, povezovanje in širjenje pa potekata v usmerjevalni tabeli tranzitne prehodne točke. Mešanje obeh pogledov daje samozavestne sklepe o napačnem objektu.

Smer od AWS do pisarne je oglas

Pri priključitvi VGW prehodna točka oglašuje bloke CIDR, povezane z njenim VPC, prehodni točki stranke prek BGP. Dodajanje posamezne usmeritve podomrežja ali usmerjanje poti na partnerski VPC ali napravo ne doda drugega povezanega CIDR in se v tem oglasu ne pojavi. Če v pisarni manjka predpona, primerjajte seznam prejetih poti s povezavami VPC, preden urejate katero koli usmerjevalno tabelo.

Preprosto pravilo ima izjeme, zato ga držite v njegovem obsegu. Nastavitev VPN CloudHub lahko znova oglašuje predpone lokacij med prehodnimi točkami strank, tranzitna prehodna točka pa sledi svojim pravilom širjenja. Trditev, da VGW oglašuje samo svoj VPC, je koristna privzeta vrednost, ne zakon, ki pokriva vsako topologijo, na katero boste naleteli.

Smer od pisarne do AWS je širjenje plus izbira

V obratni smeri se VGW nauči predpone pisarne, a to samo po sebi ne premakne delovne obremenitve. Usmerjevalna tabela podomrežja mora imeti omogočeno širjenje za priključitev ali vsebovati statično pot do istega cilja. Ko za eno predpono obstajata oba, zmaga statična pot, ujemanje najdaljše predpone pa se izvede pred obema.

Berite izvor, namesto da bi ga predpostavljali: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Vnos z izvorom EnableVgwRoutePropagation je prišel iz BGP; vnos z izvorom CreateRoute je vnesel človek in bo zmagoval, dokler ga nekdo ne izbriše.

Runbook, ki drži obe smeri ločeni

Preden karkoli spremenite, na strani AWS zapišite štiri dejstva: vrsto priključitve, povezane bloke CIDR VPC, izvor usmeritve podomrežja za zadevno predpono ter stanje tunela in BGP. Isti klic describe vrne VgwTelemetry s številom sprejetih poti na tunel, kar pove, ali je AWS sploh sprejel kakšne poti. Nato to primerjajte s tem, kar je naprava stranke dejansko namestila. Predpona, ki je v BGP, a je ni v tabeli posredovanja, je težava lokalnega uvoza ali najboljše poti, ne težava usmerjevalne tabele AWS.

Če tabeli podomrežja predpone sploh manjka, omogočite širjenje ali dodajte statično pot, nato pa isto poizvedbo znova preberite po intervalu širjenja, namesto da bi predpostavili, da je bila sprememba takojšnja. Če predpona obstaja in promet še vedno ne uspe, pustite krmilno ravnino pri miru in preidite na podatkovno pot.

Česa ne spreminjati, medtem ko ste tam

Ne preklapljajte širjenja na nepovezanih usmerjevalnih tabelah, da bi odpravili eno manjkajočo predpono, in ne dodajajte privzete poti, da bi prikrili en sam manjkajoč CIDR. Obe spremembi razširita obseg vpliva in otežita naslednjo diagnostiko. Omejite urejanje na tabelo, ki služi zadevnemu podomrežju delovne obremenitve.

Podatkovna pot je ločena od vsega tega. Varnostne skupine so z vezanim stanjem, omrežni ACL-ji niso, gostiteljski požarni zid ali asimetrična povratna pot pa lahko zavrže promet, ki ga je usmerjanje pravilno dostavilo. Oglašeni agregat tudi ne pooblasti vsake storitve v njem, zato omejite dostop na meji politike, namesto da bi se zanašali na to, ali se naslov slučajno pojavi v oglasu BGP.

Shranite stanje pred in po vsaki poizvedbi usmerjevalne tabele v dnevnik sprememb. Če sprememba poslabša stanje, obnovite prejšnje poti in potrdite z isto poizvedbo, ker je razveljavitev, ki je ne morete preveriti, le ugibanje.