BGP oturumunuz neden VPC yönlendirme tablosunda görünmüyor

Tekrarlanan hikâye şudur: EC2 VPN cihazındaki bir yönlendirme daemon'u, BGP yükselir yükselmez VPC'ye uzak öneklerini öğretecektir. Bunun yarısı doğrudur. Oturum yükselir ve bu yüzden VPC'nin yönlendirme tablosunda hiçbir şey değişmez, ilk belirti genellikle bir alt ağın trafiği sessizce bir kara deliğe atmasıdır.

Burada iki farklı şey karıştırılıyor: bir rota sunucusuyla eşleme ve rotaları bir tabloya kurma.

Mit: BGP'yi yükselt, VPC önekleri öğrenir

BGP iki konuşmacı arasında bir sohbettir ve bu tasarımda konuşmacılar cihazınızdaki yönlendirme daemon'u ile AWS'nin sizin sahip olduğunuz bir alt ağa yerleştirdiği VPC Route Server uç noktasıdır. Bu sohbet önekleri taşır. İş yükü alt ağlarınızın yönlendirme tablosuna dokunmaz, çünkü o tablolar yalnızca her birinde etkinleştirilmesi gereken yayılım yoluyla öğrenir. Bu olana kadar VPC dokusu cihazın ne bildiği hakkında hiçbir şey bilmez.

Kurulum adımları bir nedenle ayrıdır: ilişkilendir, uç noktayı oluştur, eşle, sonra yayılımı etkinleştir.

Route Server bir kontrol düzlemidir, tünel değildir

Route Server tek bir paketi bile şifrelemez, iletmez veya incelemez. Cihazla BGP alışverişi yapmak ve ortaya çıkan önekleri bunları almak üzere yapılandırılmış yönlendirme tablolarına vermek için vardır. Veri düzlemi değişmemiştir: paketler hâlâ cihazın ağ arayüzünden çıkar, VPN'inden geçer ve aynı yoldan geri döner.

Bu, ileten örnek üzerindeki kaynak ve hedef denetiminin hâlâ önemli olduğu anlamına gelir, çünkü örnek artık başkasına adreslenmiş trafiği iletiyor.

Güvenlik grupları ve alt ağ denetimleri iletilen akışa da uygulanır. Route Server trafiği düşüren bir cihazı onu iletmeye zorlamaz ve uzak tarafta eksik bir dönüş rotasını onarmaz.

Yayılım VPC başına değil, her yönlendirme tablosu başınadır

Rota sunucusunu VPC ile ilişkilendirmek ve bir yönlendirme tablosunda yayılımı etkinleştirmek iki karardır ve bir alt ağın ne yaptığını yalnızca ikincisi değiştirir. Altı yönlendirme tablosu olan bir VPC, yayılmış bir öneki birinde alıp diğer beşinde almayabilir; bu, bir hub alt ağı için tam olarak doğrudur ve tam olarak «yarım çalışıyor» şeklindeki kafa karıştırıcı sonucu üretir. Yayılımın açık olduğu yerlerde bile rakip bir rota kazanabilir, çünkü VPC rota seçimi en uzun öneki tercih eder ve eşit uzunlukta yayılmış bir rotaya karşı statik rotayı tercih eder. Bu tercih sessizce uygulanır.

Cihazın duyurduğu önek listesi yerine belirli alt ağın etkin tablosunu kontrol edin. API bu soruyu doğrudan yanıtlar: aws ec2 associate-route-server ve aws ec2 enable-route-server-propagation --route-table-id <id> insanların unuttuğu iki adımdır ve aws ec2 describe-route-tables --route-table-ids <id> önekin route server girdisi olarak gelip gelmediğini gösterir.

Cihaz hâlâ her paketi taşır

Erişilebilirliği duyurmak, ona sahip olmakla aynı şey değildir. Bir BGP oturumu cihazın VPN'i kapalıyken de kurulu kalabilir ve hiç değişmeyen statik bir duyuru trafiği ölü bir yola çekmeye devam eder. Route Server BFD gibi arıza algılamayı destekler, ancak bu eşin canlılığını test eder, arkasındaki her şeyin sağlığını değil.

Duyuruyu gerçek uzak rotaya bağlayın: tünel ve uzak ağ ayaktayken öneki duyurun, ayakta değilken geri çekin.

Bir öneki geri çekin ve ne olduğunu görün

Aşamalı test edin ve son aşamayı kaldırma yapın. Duyurunun ulaştığını, önekin amaçlanan her tabloda göründüğünü, cihazın sonraki atlama olduğunu, iletimin etkin tünelden geçtiğini ve uzak ucun yanıt verdiğini doğrulayın. Sonra bir test önekini geri çekin veya onaylanmış bir tüneli kapatın ve trafiğin tasarımın söylediği yere taşınıp taşınmadığını gözlemleyin. Test hâlâ açıkken önceki ve sonraki tabloları kaydedin.

Bir rotayı ikinci cihaza taşımak, taşıdığı oturumları taşımaz, çünkü NAT ve güvenlik duvarı durumu ilk cihazda kalır.

Bir düzine önekten oluşan sabit bir küme için VPC tablolarındaki statik rotalar daha ucuz yanıt olmaya devam eder. Route Server yerini, önek listesi gerçekten değiştiğinde ve geri çekme politikası nöbetteki kişiye açıklayabileceğiniz bir şey olduğunda kazanır.