Pse sesioni juaj BGP nuk shfaqet në tabelën e rrugëve të VPC-së

Historia që përsëritet është se një demon rrugëtimi në një pajisje VPN në EC2 do t'i mësojë VPC-së prefikset e tij të largëta sapo BGP të ngrihet. Gjysma e kësaj është e vërtetë. Sesioni ngrihet, dhe asgjë në tabelën e rrugëve të VPC-së nuk ndryshon për shkak të tij, prandaj simptomi i parë është zakonisht një nënrrjet që e hedh trafikun në heshtje në një vrimë të zezë.

Këtu ngatërrohen dy gjëra të ndryshme: peering me një server rrugësh, dhe instalimi i rrugëve në një tabelë.

Miti: ngri BGP dhe VPC do t'i mësojë prefikset

BGP është një bisedë midis dy folësve, dhe në këtë dizajn folësit janë demoni i rrugëtimit në pajisjen tuaj dhe një pikë fundore VPC Route Server që AWS e vendos në një nënrrjet që ju zotëroni. Kjo bisedë mbart prefikse. Nuk e prek tabelën e rrugëve të nënrrjeteve tuaja të punës, sepse ato tabela mësojnë vetëm përmes përhapjes që duhet aktivizuar në secilën prej tyre. Derisa kjo të ndodhë, indi i VPC-së nuk di asgjë për atë që di pajisja.

Hapat e konfigurimit janë të ndarë për një arsye: lidh, krijo pikën fundore, bëj peering, pastaj aktivizo përhapjen.

Route Server është një plan kontrolli, jo një tunel

Route Server nuk kripton, nuk përcjell dhe nuk inspekton as edhe një paketë të vetme. Ekziston për të shkëmbyer BGP me pajisjen dhe për t'u dhënë prefikset që rezultojnë tabelave të rrugëve të konfiguruara për t'i marrë ato. Plani i të dhënave nuk ka ndryshuar: paketat ende dalin përmes ndërfaqes së rrjetit të pajisjes, udhëtojnë nëpër VPN-në e saj dhe kthehen në të njëjtën rrugë.

Kjo do të thotë që kontrolli i burimit dhe destinacionit në instancën përcjellëse ende ka rëndësi, sepse instanca tani përcjell trafik të adresuar për dikë tjetër.

Grupet e sigurisë dhe kontrollet e nënrrjetit vlejnë gjithashtu për rrjedhën e përcjellë. Route Server nuk do ta detyrojë një pajisje që hedh trafikun ta përcjellë atë, dhe nuk do të riparojë një rrugë kthimi që mungon në anën e largët.

Përhapja është për çdo tabelë rrugësh, jo për të gjithë VPC-në

Lidhja e serverit të rrugëve me VPC-në dhe aktivizimi i përhapjes në një tabelë rrugësh janë dy vendime, dhe vetëm i dyti ndryshon atë që bën një nënrrjet. Një VPC me gjashtë tabela rrugësh mund të marrë një prefiks të përhapur në njërën dhe jo në pesë të tjerat, gjë që është saktësisht e drejtë për një nënrrjet hub dhe saktësisht ajo që prodhon rezultatin e çuditshëm «funksionon gjysmë». Edhe aty ku përhapja është e aktivizuar, një rrugë konkurruese mund të fitojë, sepse zgjedhja e rrugëve në VPC preferon prefiksin më të gjatë dhe, me gjatësi të barabartë, preferon një rrugë statike ndaj një të përhapur. Ky preferencë zbatohet në heshtje.

Kontrollo tabelën efektive për nënrrjetin konkret në vend të listës së prefikseve që shpall pajisja. API i përgjigjet asaj pyetjeje drejtpërdrejt: aws ec2 associate-route-server dhe aws ec2 enable-route-server-propagation --route-table-id <id> janë dy hapat që njerëzit harrojnë, dhe aws ec2 describe-route-tables --route-table-ids <id> tregon nëse prefiksi ka ardhur fare si zë route server.

Pajisja ende mbart çdo paketë

Të shpallësh arritshmërinë nuk është e njëjtë me ta kesh atë. Një sesion BGP mund të mbetet i vendosur ndërsa VPN-ja e pajisjes është jashtë, dhe një njoftim statik që nuk ndryshon kurrë vazhdon ta tërheqë trafikun drejt një rruge të vdekur. Route Server mbështet zbulimin e dështimeve si BFD, por kjo teston gjallërinë e partnerit, jo shëndetin e gjithçkaje pas tij.

Lidhe njoftimin me rrugën reale të largët: shpall prefiksin kur tuneli dhe rrjeti i largët janë lart, dhe tërhiqe kur nuk janë.

Tërhiq një prefiks dhe shiko çfarë ndodh

Testo me faza, dhe faza e fundit le të jetë një heqje. Konfirmo që njoftimi arrin, prefiksi shfaqet në çdo tabelë të synuar, pajisja është hopi tjetër, përcjellja kalon nëpër tunelin aktiv dhe ana e largët përgjigjet. Pastaj tërhiq një prefiks testimi, ose mbyll një tunel të miratuar, dhe vëzhgo nëse trafiku lëviz atje ku thotë dizajni. Shëno tabelat para dhe pas ndërsa testi është ende i hapur.

Zhvendosja e një rruge në një pajisje të dytë nuk i zhvendos sesionet që ajo mbante, sepse gjendja e NAT dhe e firewall-it mbetet në pajisjen e parë.

Për një grup fiks prej një duzine prefiksesh, rrugët statike në tabelat e VPC-së mbeten përgjigjja më e lirë. Route Server e fiton vendin e tij kur lista e prefikseve ndryshon vërtet dhe politika e tërheqjes është diçka që mund t'ia shpjegosh personit në gatishmëri.