GCP BYOIP: јавно оглашавање није приватна рута
Подела BYOIP префикса између локације и облака захтева два плана. Одвојте јавну најаву, делегирање и приватни следећи скок.
Део јавног блока остаје на локацији, а део се сели у Google Cloud. Та реченица описује два плана, а не један: план интернетске најаве и план приватног прослеђивања. Третирање њих као једног проблема усмеравања је место где BYOIP дизајни греше.
Укључени објекти одговарају на различита питања, а само се једно од њих тиче тога куда пакети иду даље.
Три објекта, три питања
Јавно оглашени префикс је јединица коју Google оглашава на интернету у ваше име. Јавно делегирани префикс је начин на који се увезени простор додељује подржаним Cloud ресурсима. Рута у VPC-у, укључујући ону научену преко Cloud Router-а од VPN-а, бира приватни следећи скок. Свака има свој опсег, свој API и своју поруку о грешци.
Табеларна верзија је краћа.
| Object | Question it answers |
|---|---|
| Public advertised prefix | Which authorized range Google announces publicly |
| Public delegated prefix | How imported space is allocated to Cloud resources |
| VPN or Cloud Router route | Which private next hop carries a destination |
Само се трећи ред тиче прослеђивања унутар ваше мреже.
Шта покрива BYOIP упозорење на преклапање
Google-ова BYOIP документација третира оглашени префикс као јединицу оглашавања и упозорава на преклапајуће спољне најаве, укључујући потпрефикс оглашен изван Google-а. То упозорење се тиче плана јавног оглашавања. Оно није тврдња о свакој приватној рути коју бисте могли додати.
Делегирање мање доделе унутар увезеног префикса само по себи вам не даје дозволу да остатак оглашавате са другог извора.
Поставите питање у смислу ко шта оглашава. Ако Google оглашава цео увезени префикс, други извор који оглашава потпрефикс ствара управо оно преклапање на које документација упозорава, колико год уредне биле ваше VPC руте.
Шта одлучује приватна рута
Префикс научен преко VPN-а није интернетска најава и никаква количина BGP-а то неће променити. То је унос у табели рута VPC-а који каже који тунел или приступник треба да носи саобраћај за то одредиште. Да ли је тај унос подобан, изабран или употребљив зависи од сопствених правила усмеравања VPC-а.
Подударање најдужег префикса примењује се унутар табеле рута, па дужа VPN рута може победити локално без промене било чега на јавној ивици.
Подела префикса: одлука која долази прва
Ако архитектура захтева да се половина блока оглашава из дата центра, а половина из Google-а, решите план оглашавања пре него што било шта увезете. Потврдите које распоне Google сме да оглашава, који остају оглашени негде другде и да ли се та два преклапају. Затим пројектујте приватну путању за свако одредиште и њену повратну путању. Ако пружаоци услуга не подржавају поделу коју желите, промените поделу уместо да се надате да ће дужи VPN префикс надјачати одлуку на јавној ивици.
Тај редослед је важан јер други план не може да поправи први.
Проверите оба плана одвојено
Проверите јавну страну помоћу gcloud compute public-advertised-prefixes list и потврдите распоне и њихов статус. Проверите приватну страну помоћу gcloud compute routes list и gcloud compute routers get-status, што показује шта је BGP заиста разменио.
Један скуп излаза вам говори шта интернет види. Други вам говори куда иде ваш саобраћај. Ниједан не замењује други.