Zakaj se vaša seja BGP ne pojavi v usmerjevalni tabeli VPC

Zgodba, ki se ponavlja, je, da bo usmerjevalni demon na napravi VPN v EC2 naučil VPC njegove oddaljene predpone, takoj ko se BGP dvigne. Polovica tega je res. Seja se dvigne in v usmerjevalni tabeli VPC se zaradi tega nič ne spremeni, zato je prvi simptom običajno podomrežje, ki tiho meče promet v črno luknjo.

Tu se mešata dve različni stvari: peering z usmerjevalnim strežnikom in nameščanje poti v tabelo.

Mit: dvignite BGP in VPC se bo naučil predpone

BGP je pogovor med dvema sogovornikoma, in v tej zasnovi sta sogovornika usmerjevalni demon na vaši napravi in končna točka VPC Route Server, ki jo AWS postavi v podomrežje, ki je vaše. Ta pogovor prenaša predpone. Ne dotika se usmerjevalne tabele vaših delovnih podomrežij, ker se te tabele učijo le s širjenjem, ki ga je treba omogočiti na vsakem od njih. Dokler se to ne zgodi, tkanina VPC ne ve ničesar o tem, kar ve naprava.

Koraki nastavitve so ločeni z razlogom: poveži, ustvari končno točko, vzpostavi peering in nato omogoči širjenje.

Route Server je krmilna ravnina, ne tunel

Route Server ne šifrira, ne posreduje in ne pregleduje niti enega paketa. Obstaja zato, da izmenjuje BGP z napravo in preda nastale predpone usmerjevalnim tabelam, ki so nastavljene, da jih sprejmejo. Podatkovna ravnina je nespremenjena: paketi še vedno zapustijo napravo skozi njeno omrežno vmesnik, potujejo skozi njen VPN in se vrnejo po isti poti.

To pomeni, da je preverjanje vira in cilja na posredovalni instanci še vedno pomembno, ker instanca zdaj posreduje promet, naslovljen na nekoga drugega.

Varnostne skupine in kontrolniki podomrežja veljajo tudi za posredovani tok. Route Server ne bo prisilil naprave, ki zavrača promet, da ga posreduje, in ne bo popravil manjkajoče povratne poti na oddaljeni strani.

Širjenje je za vsako usmerjevalno tabelo, ne za celo VPC

Povezava usmerjevalnega strežnika z VPC in omogočitev širjenja v usmerjevalni tabeli sta dve odločitvi, in le druga spremeni, kaj počne podomrežje. VPC s šestimi usmerjevalnimi tabelami lahko prejme razširjeno predpono v eni in ne v drugih petih, kar je natanko pravilno za hub podomrežje in natanko to ustvari zmeden rezultat «deluje na pol». Tudi tam, kjer je širjenje vklopljeno, lahko zmaga konkurenčna pot, ker izbira poti v VPC daje prednost najdaljši predponi, pri enaki dolžini pa daje prednost statični poti pred razširjeno. Ta prednost se uporablja tiho.

Preverite učinkovito tabelo za konkretno podomrežje, ne seznama predpon, ki jih oglašuje naprava. API na to vprašanje odgovori neposredno: aws ec2 associate-route-server in aws ec2 enable-route-server-propagation --route-table-id <id> sta koraka, ki ju ljudje pozabijo, aws ec2 describe-route-tables --route-table-ids <id> pa pokaže, ali je predpona sploh prispela kot vnos route server.

Naprava še vedno nosi vsak paket

Oglaševati dosegljivost ni isto kot jo imeti. Seja BGP lahko ostane vzpostavljena, medtem ko je VPN naprave izklopljen, in statični oglas, ki se nikoli ne spremeni, še naprej vleče promet proti mrtvi poti. Route Server podpira zaznavanje napak, kot je BFD, vendar to preizkuša živost partnerja, ne zdravja vsega za njim.

Oglas povežite z dejansko oddaljeno potjo: predpono oglašujte, ko sta tunel in oddaljeno omrežje vklopljena, in jo umaknite, ko nista.

Umaknite predpono in poglejte, kaj se zgodi

Preizkušajte po stopnjah in zadnjo stopnjo naredite odstranitev. Potrdite, da oglas prispe, da se predpona pojavi v vsaki predvideni tabeli, da je naprava naslednji skok, da posredovanje prečka aktivni tunel in da se oddaljeni konec odzove. Nato umaknite preskusno predpono ali zaprite odobreni tunel in opazujte, ali se promet premakne tja, kamor pravi zasnova. Zapišite tabele pred in po, dokler je preskus še odprt.

Premik poti na drugo napravo ne premakne sej, ki jih je nosila, ker stanje NAT in požarnega zidu ostane na prvi napravi.

Za fiksen nabor ducata predpon ostajajo statične poti v tabelah VPC cenejši odgovor. Route Server si svoje mesto zasluži, ko se seznam predpon resnično spreminja in je politika umika nekaj, kar lahko razložite osebi na dežurstvu.