VGW'nin BGP duyuruları ile VPC rota tablosu: ne neyi değiştirir

Bir VPC alt ağının rota tablosunda eksik olan önek ile müşteri yönlendiricisinde eksik olan önek iki farklı arızadır ve bunlardan yalnızca biri AWS rota tablolarının içinde onarılır. Sanal özel ağ geçidi, VPC'siyle ilişkili CIDR bloklarını duyurur; alt ağın rota tablosu ise bir iş yükünün yanıtı nereye göndereceğine karar verir. İkincisini birincisini değiştirmenin yolu olarak görmek bu teşhisteki en yaygın yanlış dönüş noktasıdır. Aşağıdaki kontrolleri sırayla yapın ve iki yönü ayrı tutun.

Herhangi bir tabloyu okumadan önce ilişkilendirmeyi adlandırın

Siteden siteye VPN ya sanal özel ağ geçidinde ya da geçiş ağ geçidinde sonlanır ve hangi yönlendirme modelinin geçerli olduğunu kaynak kimlikleri belirler. Önce onları okuyun: aws ec2 describe-vpn-connections --vpn-connection-ids vpn-0123456789abcdef0 --query 'VpnConnections[].{Tunnels:VgwTelemetry,Gateway:GatewayId,Transit:TransitGatewayId}'. Yanıt, incelenecek sıradaki tablonun VPC rota tablosu mu yoksa geçiş ağ geçidi rota tablosu mu olduğunu söyler.

VPN bir geçiş ağ geçidine bağlıysa, VPC rota tablosunu denetim düzlemi olarak görmeyi bırakın. Orada VPC tablosu ağ geçidi ilişkilendirmesini gösterir ve ilişkilendirme ile yayılım geçiş ağ geçidi rota tablosunda gerçekleşir. İki görünümü karıştırmak yanlış nesne hakkında kendinden emin sonuçlar üretir.

AWS'den ofise doğru yön bir duyurudur

Bir VGW ilişkilendirmesinde ağ geçidi, VPC'siyle ilişkili CIDR bloklarını BGP üzerinden müşteri ağ geçidine duyurur. Tek bir alt ağ rotası eklemek veya bir rotayı eşleştirilmiş bir VPC'ye ya da bir cihaza yöneltmek başka bir ilişkili CIDR eklemez ve o duyuruda görünmez. Ofiste bir önek eksikse, herhangi bir rota tablosunu düzenlemeden önce alınan rotaların listesini VPC ilişkilendirmeleriyle karşılaştırın.

Basit kuralın istisnaları vardır, bu yüzden onu kapsamı içinde tutun. Bir VPN CloudHub düzeni, site öneklerini müşteri ağ geçitleri arasında yeniden duyurabilir ve geçiş ağ geçidi kendi yayılım kurallarını izler. VGW'nin yalnızca kendi VPC'sini duyurduğu ifadesi yararlı bir varsayılandır, karşılaşacağınız her topolojiyi kapsayan bir yasa değildir.

Ofisten AWS'ye doğru yön yayılım artı seçimdir

Ters yönde VGW ofisin önekini öğrenir, ancak bu tek başına bir iş yükünü taşımaz. Alt ağın rota tablosunda ya ilişkilendirme için yayılım etkin olmalı ya da aynı hedefe statik bir rota bulunmalıdır. Bir önek için ikisi de varsa statik rota kazanır ve en uzun önek eşleşmesi ikisinden de önce çalışır.

Varsaymak yerine kaynağı okuyun: aws ec2 describe-route-tables --route-table-ids rtb-0123456789abcdef0 --query 'RouteTables[].Routes'. Kaynağı EnableVgwRoutePropagation olan giriş BGP'den geldi; kaynağı CreateRoute olan girişi bir insan yazdı ve biri onu silene kadar kazanmaya devam edecek.

İki yönü ayrı tutan bir çalışma kitabı

Herhangi bir şeyi değiştirmeden önce AWS tarafında dört olguyu kaydedin: ilişkilendirme türü, VPC'nin ilişkili CIDR'leri, söz konusu önek için alt ağ rotasının kaynağı ve tünel ile BGP durumu. Aynı describe çağrısı, tünel başına kabul edilen rota sayısıyla VgwTelemetry döndürür ve bu, AWS'nin herhangi bir rota kabul edip etmediğini söyler. Ardından bunu müşteri cihazının gerçekte kurduğuyla karşılaştırın. BGP'de bulunup iletme tablosunda bulunmayan bir önek yerel içe aktarma veya en iyi yol sorunudur, AWS rota tablosu sorunu değildir.

Alt ağ tablosunda önek hiç yoksa yayılımı etkinleştirin veya statik bir rota ekleyin, sonra değişikliğin anında olduğunu varsaymak yerine yayılım aralığından sonra aynı sorguyu yeniden okuyun. Önek varsa ve trafik hâlâ başarısızsa denetim düzlemini rahat bırakın ve veri yoluna geçin.

Oradayken neleri değiştirmemeli

Tek bir eksik öneği düzeltmek için ilgisiz rota tablolarında yayılımı açıp kapatmayın ve tek bir eksik CIDR'yi örtmek için varsayılan rota eklemeyin. Her iki değişiklik de etki alanını genişletir ve sonraki teşhisi zorlaştırır. Düzenlemeyi yalnızca söz konusu iş yükü alt ağına hizmet eden tabloyla sınırlayın.

Veri yolu tüm bunlardan ayrıdır. Güvenlik grupları durum bilgisi tutar, ağ ACL'leri tutmaz ve bir ana makine güvenlik duvarı ya da asimetrik dönüş yolu, yönlendirmenin doğru teslim ettiği trafiği düşürebilir. Duyurulan bir toplu blok da içindeki her hizmete yetki vermez, bu yüzden erişimi ilke sınırında kısıtlayın, bir adresin BGP duyurusunda tesadüfen görünüp görünmediğine güvenmeyin.

Her rota tablosu sorgusunun öncesini ve sonrasını değişiklik kaydına kaydedin. Değişiklik işleri kötüleştirirse önceki rotaları geri yükleyin ve aynı sorguyla doğrulayın, çünkü doğrulayamadığınız bir geri alma yalnızca bir tahmindir.