GCP VPN rotası yalnızca tek bir bölgede çalışıyor: dinamik yönlendirmeyi kontrol edin

ABD'deki iş yükü ofis önekine HA VPN üzerinden sorunsuz ulaşırken aynı VPC'deki Avrupa iş yükü hiçbir şey alamıyor. Yönlendirme tablosunda bu önek için hiçbir kayıt bulunmuyor, hiçbir tünel düşmüş değil ve hiçbir güvenlik duvarı kuralı değişmedi. Tünel ve BGP oturumu her iki yönde de sağlıklı. Bölgeleri kapsayan bir VPC, öğrenilen rotalarının bölgeleri kapsamasıyla aynı şey değildir ve tüm belirtiyi bu fark açıklar.

Burada iki özellik karıştırılıyor: alt ağların nerede olduğu ve öğrenilen sonraki atlamanın nerede kullanılabileceği.

Bölgesel kapsam nereden geliyor

Cloud Router, öğrenilen rotaları VPC'nin dinamik yönlendirme modunu izleyen bir kapsamla kurar. Bölgesel modda bir bölgede öğrenilen rota yalnızca o bölgenin kaynakları tarafından kullanılabilir, bu yüzden Avrupa tablosu bozuk bir sonraki atlama göstermek yerine boştur. Küresel modda uygun öğrenilen rotalar VPC'nin her bölgesindeki kaynaklara sunulur. Herhangi bir şeyi değiştirmeden önce geçerli değeri okuyun, çünkü varsayılan bölgeseldir. Ayar ağ üzerindedir, tünelde veya yönlendiricide değil.

Envanter komutu salt okunurdur ve bunu tek satırda yanıtlar:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

VPC paylaşılıyorsa ana projede çalıştırın. Ağ o projeye aittir ve iş yükü projesindeki görüntüleyici rolü yönlendirme yapılandırmasını göstermeyebilir bile. Yanlış projeden hızlı bir yanıt, yanıt olmamasından daha kötüdür.

Değişiklik tek komut ve tek yöndür

Geçiş, tüm VPC için kontrol düzleminde bir düzenlemedir, VM başına bir geçici çözüm değil: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Aynı zamanda tek yönlüdür, çünkü küresele ayarlanmış bir ağ bölgesele geri döndürülemez. Çalıştırmadan önce proje ve ağ adını bir kez daha kontrol edin, çünkü komut onay istemez. Bu değişiklik bakım notunu ve ağ sahibinin onayını hak eder, paylaşılan bir VPC üzerinde hızlı bir denemeyi değil.

O ağdaki her Cloud Router, VPN ve Interconnect bağlantısı yeni kapsamı aynı anda devralır. Buna değişiklik talebinde kimsenin belirtmediği bağlantılar da dahildir. Bu rotaya daha önce hiç sahip olmayan bölgeler, değişiklik yürürlüğe girer girmez onu almaya başlar, bu yüzden bu geçiş için aşamalı bir kullanıma sunma yoktur.

Küresel bir kapsamdır, garanti değil

Uygunluk ve tercih kapsamdan ayrıdır. Daha belirgin bir önekle çakışan, en iyi yol seçimini kaybeden veya politikaya göre filtrelenen bir rota tam olarak eskisi gibi davranır. Küresel mod, rotanın nerede kullanılabileceğini genişletir, ancak hangi rotanın kazanacağına karar vermez. Öğrenilen bir rota kapsam içinde olup yine de aynı VPC'deki statik veya daha belirgin bir yola yenilebilir.

Bu ayrım önemlidir çünkü mod değişikliğini sonradan suçlamak kolaydır. Geçişten sonra Avrupa alt ağı hâlâ rotasızsa, soru rotanın var olup uygun olup olmadığıdır, kapsamın yürürlüğe girip girmediği değil. Önek çakışmaları ve sonraki atlamanın sağlığı okunacak sonraki iki şeydir.

Uzak taraf da farklı duyurur

Duyuru davranışı aynı ayarı izler. Varsayılan davranışta bölgesel moddaki bir yönlendirici kendi bölgesinin alt ağlarını duyururken küresel mod VPC'nin alt ağlarını daha geniş duyurur. Bu yüzden modu değiştirmek yalnızca bölgelerinizin neleri kullanabileceğini değil, uzak tarafın ne kurduğunu da değiştirir.

Özel bir duyuru listesi mod değiştiğinde genişlemez. Yerel yönlendirici elle yazılmış bir aralık listesi tutuyorsa Avrupa öneki orada yok olarak kalır. Bu durumda dönüş yolu, giden rota artık var olsa bile bozuk kalır. Uzak tarafın ne kurduğunu kontrol edin, ne dışa aktardığınızı değil.

Modun asla onaramayacağı şey

Küresel yönlendirme, genel internete erişim, ilgisiz VPC'ler arasında geçiş veya eksik statik rotalar sağlamaz. Güvenlik duvarı kurallarını veya IAM'i değiştirmez, bu yüzden politikayla reddedilen bir bağlantı reddedilmiş kalır.

Bu arızalar bir iş yükünün içinden aynı görünür ve rota kapsamıyla hiçbir ilgisi yoktur.

Uzak bölgeden gerçek hizmete test edin, ardından yanıtın amaçlanan tünelden geri geldiğini doğrulayın. Modu, duyuru yapılandırmasını ve test ettiğiniz hedefi kaydedin. Test hâlâ başarısız olursa, moda yeniden dokunmadan önce uzak yönlendiricinin BGP tablosunu VPC'nin rota listesiyle karşılaştırın. O zaman bir sonraki bölgeler arası rapor mod değişikliğinden değil, olgulardan başlar.