GCP VPN рута ради само у једном региону: проверите динамичко рутирање

Радно оптерећење у САД без проблема стиже до канцеларијског префикса преко HA VPN-а, док европско оптерећење у истом VPC-у не добија ништа. Његова табела рутирања не садржи ниједан унос за тај префикс, ниједан тунел није пао и ниједно правило заштитног зида није промењено. Тунел и његова BGP сесија су здрави у оба смера. VPC који покрива регионе није исто што и његове научене руте које покривају регионе, и управо тај јаз објашњава цео симптом.

Овде се мешају два својства: где се налазе подмреже и где се научени следећи скок сме користити.

Одакле долази регионални обухват

Cloud Router инсталира научене руте са обухватом који прати динамички режим рутирања VPC-а. У регионалном режиму руту научену у једном региону могу користити само ресурси тог региона, зато је европска табела празна уместо да приказује покварен следећи скок. У глобалном режиму подобне научене руте постају доступне ресурсима у сваком региону VPC-а. Прочитајте тренутну вредност пре него што било шта промените, јер је регионални режим подразумевани. Подешавање се налази на мрежи, не на тунелу и не на рутеру.

Команда за попис је само за читање и одговара на то у једном реду:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Покрените је у пројекту домаћину када је VPC дељен. Мрежа припада том пројекту, а улога посматрача у пројекту оптерећења можда уопште не приказује конфигурацију рутирања. Брз одговор из погрешног пројекта гори је од никаквог одговора.

Промена је једна команда и један смер

Пребацивање је измена контролне равни за цео VPC, а не заобилазно решење по VM-у: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Оно је и једносмерно, јер мрежа постављена на глобално не може се вратити на регионално. Проверите још једном назив пројекта и мреже пре покретања, јер команда не тражи потврду. Промена заслужује напомену о одржавању и одобрење власника мреже, а не брз експеримент на дељеном VPC-у.

Свака Cloud Router, VPN и Interconnect веза у тој мрежи наслеђује нови обухват одмах. То укључује везе које нико није поменуо у захтеву за промену. Региони који никада раније нису имали ту руту почињу да је примају чим промена ступи на снагу, зато за ово пребацивање нема постепеног увођења.

Глобално је обухват, а не гаранција

Подобност и преференција одвојени су од обухвата. Рута која је у сукобу са конкретнијим префиксом, губи избор најбоље путање или је филтрирана политиком понаша се тачно као пре. Глобални режим проширује где се рута сме користити, али не одлучује која рута побеђује. Научена рута може бити у обухвату и ипак изгубити од статичне или конкретније путање у истом VPC-у.

Та разлика је важна јер се промена режима касније лако окриви. Ако европска подмрежа и после пребацивања нема руту, питање је постоји ли рута и је ли подобна, а не је ли обухват ступио на снагу. Сукоби префикса и здравље следећег скока следеће су две ствари за читање.

Далека страна такође најављује другачије

Понашање најављивања прати исто подешавање. У подразумеваном понашању рутер у регионалном режиму најављује подмреже свог региона, док глобални режим најављује подмреже VPC-а шире. Зато промена режима мења не само шта ваши региони смеју да користе, већ и шта далека страна инсталира.

Прилагођена листа најава не шири се када се режим промени. Ако локални рутер држи руком писану листу опсега, европски префикс остаје одсутан из ње. Повратни пут у том случају остаје покварен иако одлазна рута сада постоји. Проверите шта је далека страна инсталирала, а не шта сте извезли.

Шта режим никада неће поправити

Глобално рутирање не даје приступ јавном интернету, транзит између неповезаних VPC-ова или недостајуће статичне руте. Оно не мења правила заштитног зида или IAM, па веза коју политика одбије остаје одбијена.

Ови кварови изгледају исто из унутрашњости оптерећења и немају никакве везе са обухватом рута.

Тестирајте из далеког региона до стварне услуге, затим потврдите да се одговор враћа кроз предвиђени тунел. Забележите режим, конфигурацију најава и одредиште које сте тестирали. Ако тест и даље не пролази, упоредите BGP табелу далеког рутера са листом рута VPC-а пре него што поново дирнете режим. Тада следећи извештај између региона почиње од чињеница, а не од промене режима.