BGP огласи са VGW наспрам табеле рута VPC: шта шта мења

Префикс који недостаје у табели рута подмреже VPC и префикс који недостаје на рутеру клијента су два различита квара, и само један од њих се поправља унутар AWS табела рута. Виртуелна приватна капија оглашава CIDR блокове повезане са својим VPC-ом; табела рута подмреже одлучује где радно оптерећење шаље одговор. Третирати друго као начин да се промени прво је најчешћа погрешна скретница у овој дијагнози. Извршите провере испод редом и држите два смера одвојено.

Именујте прикључак пре него што прочитате било коју табелу

Site-to-Site VPN се завршава или на виртуелној приватној капији или на транзитној капији, а ID-ови ресурса одлучују који модел рутирања важи. Прво их прочитајте: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Одговор вам каже да ли је следећа табела коју треба проверити табела рута VPC или табела рута транзитне капије.

Ако је VPN прикључен на транзитну капију, престаните да табелу рута VPC третирате као контролну раван. Тамо табела VPC показује на прикључак капије, а придруживање и пропагација се дешавају у табели рута транзитне капије. Мешање два погледа даје самоуверене закључке о погрешном објекту.

Смер од AWS ка канцеларији је оглас

За прикључак VGW, капија оглашава CIDR блокове повезане са својим VPC-ом капији клијента преко BGP-а. Додавање појединачне руте подмреже или усмеравање руте на партнерски VPC или на уређај не додаје други повезани CIDR и не појављује се у том огласу. Ако у канцеларији недостаје префикс, упоредите листу примљених рута са придруживањима VPC-а пре него што уредите било коју табелу рута.

Једноставно правило има изузетке, зато га држите у његовом оквиру. Поставка VPN CloudHub може поново да оглашава префиксе локација између капија клијената, а транзитна капија следи сопствена правила пропагације. Тврдња да VGW оглашава само сопствени VPC је корисна подразумевана вредност, а не закон који покрива сваку топологију на коју наиђете.

Смер од канцеларије ка AWS-у је пропагација плус избор

У обрнутом смеру VGW учи префикс канцеларије, али то само по себи не помера радно оптерећење. Табела рута подмреже мора или да има омогућену пропагацију за прикључак или да носи статичку руту до истог одредишта. Када за један префикс постоје обоје, побеђује статичка рута, а подударање најдужег префикса се извршава пре обе.

Читајте порекло уместо да га претпостављате: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Унос са пореклом EnableVgwRoutePropagation дошао је из BGP-а; унос са пореклом CreateRoute унео је човек и наставиће да побеђује док га неко не избрише.

Ранбук који држи два смера одвојено

Запишите четири чињенице на страни AWS-а пре него што било шта промените: тип прикључка, повезане CIDR блокове VPC-а, порекло руте подмреже за предметни префикс и стање тунела и BGP-а. Исти describe позив враћа VgwTelemetry са бројем прихваћених рута по тунелу, што вам каже да ли је AWS уопште прихватио икакве руте. Затим то упоредите са оним што је уређај клијента заиста инсталирао. Префикс присутан у BGP-у, али одсутан из табеле прослеђивања, је локални проблем увоза или најбоље путање, а не проблем табеле рута AWS-а.

Ако табели подмреже префикс потпуно недостаје, омогућите пропагацију или додајте статичку руту, па поново прочитајте исти упит након интервала пропагације уместо да претпоставите да је промена била тренутна. Ако префикс постоји и саобраћај и даље не пролази, оставите контролну раван на миру и пређите на путању података.

Шта не мењати док сте тамо

Не пребацујте пропагацију на неповезаним табелама рута да бисте поправили један префикс који недостаје и не додајте подразумевану руту да бисте прикрили један одсутни CIDR. Обе промене проширују обим утицаја и отежавају следећу дијагнозу. Ограничите измену на табелу која опслужује предметну подмрежу радног оптерећења.

Путања података је одвојена од свега овога. Сигурносне групе чувају стање, мрежне ACL листе не, а хост заштитни зид или асиметрична повратна путања могу да одбаце саобраћај који је рутирање исправно доставило. Оглашени агрегат такође не овлашћује сваку услугу унутар себе, зато ограничите приступ на граници политике уместо да се ослањате на то да ли се нека адреса случајно појављује у BGP огласу.

Сачувајте стање пре и после сваког упита табеле рута у запису промена. Ако промена погорша ствари, вратите претходне руте и потврдите истим упитом, јер враћање које не можете да проверите је само нагађање.