Shpalljet BGP të VGW kundrejt tabelës së rrugëve të VPC: çfarë ndryshon çfarë

Një prefiks që mungon në tabelën e rrugëve të një nënrrjete VPC dhe një prefiks që mungon në ruterin e klientit janë dy defekte të ndryshme, dhe vetëm njëri prej tyre rregullohet brenda tabelave të rrugëve të AWS. Porta private virtuale shpall blloqet CIDR të lidhura me VPC-në e saj; tabela e rrugëve të nënrrjetës vendos se ku një ngarkesë pune dërgon përgjigjen. Ta trajtosh të dytën si mënyrë për të ndryshuar të parën është kthesa e gabuar më e zakonshme në këtë diagnozë. Kryeni kontrollet më poshtë me radhë dhe mbajini dy drejtimet të ndara.

Emërtoni lidhjen përpara se të lexoni çdo tabelë

Një VPN nga siti në sit përfundon ose në një portë private virtuale ose në një portë tranziti, dhe ID-të e burimeve vendosin cili model rrugëtimi zbatohet. Lexojini fillimisht: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Përgjigjja ju tregon nëse tabela tjetër që duhet ekzaminuar është një tabelë rrugësh e VPC ose një tabelë rrugësh e portës së tranzitit.

Nëse VPN-ja është e lidhur me një portë tranziti, ndaloni trajtimin e tabelës së rrugëve të VPC si plan kontrolli. Atje tabela e VPC tregon lidhjen e portës, dhe shoqërimi dhe përhapja ndodhin në tabelën e rrugëve të portës së tranzitit. Përzierja e dy pamjeve prodhon përfundime të sigurta për objektin e gabuar.

Drejtimi nga AWS në zyrë është një shpallje

Për një lidhje VGW, porta shpall blloqet CIDR të lidhura me VPC-në e saj tek porta e klientit përmes BGP. Shtimi i një rruge të vetme nënrrjete, ose drejtimi i një rruge drejt një VPC të çiftuar ose një pajisjeje, nuk shton një CIDR tjetër të lidhur dhe nuk shfaqet në atë shpallje. Nëse në zyrë mungon një prefiks, krahasoni listën e rrugëve të marra me shoqërimet e VPC përpara se të redaktoni çdo tabelë rrugësh.

Rregulli i thjeshtë ka përjashtime, prandaj mbajeni brenda fushës së tij. Një konfigurim VPN CloudHub mund të rishpallë prefikset e siteve midis portave të klientëve, dhe një portë tranziti ndjek rregullat e veta të përhapjes. Pohimi se një VGW shpall vetëm VPC-në e vet është një parazgjedhje e dobishme, jo një ligj që mbulon çdo topologji që do të hasni.

Drejtimi nga zyra në AWS është përhapje plus përzgjedhje

Në drejtimin e kundërt VGW mëson prefiksin e zyrës, por kjo e vetme nuk lëviz një ngarkesë pune. Tabela e rrugëve të nënrrjetës duhet ose të ketë përhapjen aktive për lidhjen ose të mbajë një rrugë statike drejt të njëjtit destinacion. Kur të dyja ekzistojnë për një prefiks, fiton rruga statike, dhe përputhja e prefiksit më të gjatë ekzekutohet përpara të dyjave.

Lexoni origjinën në vend që ta supozoni: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Zëri me origjinë EnableVgwRoutePropagation erdhi nga BGP; zërin me origjinë CreateRoute e shtypi një njeri dhe do të vazhdojë të fitojë derisa dikush ta fshijë.

Një runbook që mban dy drejtimet të ndara

Shënoni katër fakte në anën e AWS përpara se të ndryshoni çdo gjë: llojin e lidhjes, CIDR-të e lidhura të VPC, origjinën e rrugës së nënrrjetës për prefiksin në fjalë, dhe gjendjen e tunelit dhe BGP. I njëjti thirrje describe kthen VgwTelemetry me numrin e rrugëve të pranuara për tunel, që ju tregon nëse AWS pranoi fare rrugë. Më pas krahasoni atë me atë që pajisja e klientit instaloi në të vërtetë. Një prefiks i pranishëm në BGP por që mungon në tabelën e përcjelljes është problem i importit lokal ose i rrugës më të mirë, jo problem i tabelës së rrugëve të AWS.

Nëse tabelës së nënrrjetës i mungon plotësisht prefiksi, aktivizoni përhapjen ose shtoni një rrugë statike, më pas rilexoni të njëjtin kërkesë pas intervalit të përhapjes në vend që të supozoni se ndryshimi ishte i menjëhershëm. Nëse prefiksi ekziston dhe trafiku vazhdon të dështojë, lini planin e kontrollit të qetë dhe kaloni te rruga e të dhënave.

Çfarë të mos ndryshoni ndërsa jeni atje

Mos aktivizoni ose çaktivizoni përhapjen në tabela rrugësh të palidhura për të rregulluar një prefiks që mungon, dhe mos shtoni një rrugë të parazgjedhur për të mbuluar një CIDR që mungon. Të dyja ndryshimet zgjerojnë fushën e ndikimit dhe e bëjnë diagnozën tjetër më të vështirë. Kufizoni redaktimin vetëm në tabelën që shërben nënrrjetën e ngarkesës së punës në fjalë.

Rruga e të dhënave është e ndarë nga e gjithë kjo. Grupet e sigurisë janë me gjendje, ACL-të e rrjetit nuk janë, dhe një firewall hosti ose një rrugë kthimi asimetrike mund të hedhin poshtë trafikun që rrugëtimi e dorëzoi saktë. Një agregat i shpallur gjithashtu nuk autorizon çdo shërbim brenda tij, prandaj kufizoni aksesin në kufirin e politikës në vend që të mbështeteni në shfaqjen e rastësishme të një adrese në një shpallje BGP.

Ruani gjendjen para dhe pas çdo kërkese të tabelës së rrugëve në regjistrin e ndryshimeve. Nëse ndryshimi i përkeqëson gjërat, rikthejini rrugët e mëparshme dhe konfirmoni me të njëjtin kërkesë, sepse një kthim prapa që nuk mund ta verifikoni është vetëm një hamendësim.