Маршрут GCP VPN працює лише в одному регіоні: перевірте динамічну маршрутизацію

Робоче навантаження в США без проблем досягає офісного префікса через HA VPN, а європейське навантаження в тому ж VPC не отримує нічого. Її таблиця маршрутизації не містить жодного запису для цього префікса, жоден тунель не впав і жодне правило брандмауера не змінилося. Тунель і його сесія BGP здорові в обох напрямках. VPC, що охоплює регіони, — не те саме, що його вивчені маршрути, які охоплюють регіони, і саме ця різниця пояснює весь симптом.

Тут плутають дві властивості: де розташовані підмережі та де можна використовувати вивчений наступний перехід.

Звідки береться регіональний обсяг

Cloud Router встановлює вивчені маршрути з обсягом, що відповідає режиму динамічної маршрутизації VPC. У регіональному режимі маршрут, вивчений в одному регіоні, можуть використовувати лише ресурси цього регіону, тому європейська таблиця порожня, а не показує зламаний наступний перехід. У глобальному режимі придатні вивчені маршрути стають доступними ресурсам у кожному регіоні VPC. Прочитайте поточне значення, перш ніж щось змінювати, бо регіональний режим є типовим. Налаштування розташоване в мережі, а не в тунелі й не в маршрутизаторі.

Команда інвентаризації лише для читання і відповідає на це одним рядком:

gcloud compute networks describe VPC_NAME --format='value(routingConfig.routingMode)'

Запустіть її в проєкті-хазяїні, коли VPC спільний. Мережа належить тому проєкту, а роль глядача в проєкті навантаження може навіть не показувати конфігурацію маршрутизації. Швидка відповідь із неправильного проєкту гірша за відсутність відповіді.

Зміна — це одна команда й один напрямок

Перемикання — це редагування площини керування для всього VPC, а не обхід для кожної VM: gcloud compute networks update VPC_NAME --routing-mode=GLOBAL. Воно також одностороннє, бо мережу, переведену в глобальний режим, не можна повернути в регіональний. Перевірте ще раз назву проєкту й мережі перед запуском, оскільки команда не запитує підтвердження. Зміна заслуговує на нотатку про обслуговування й згоду власника мережі, а не на швидкий експеримент у спільній VPC.

Кожне підключення Cloud Router, VPN і Interconnect у цій мережі успадковує новий обсяг одразу. Це включає підключення, які ніхто не згадав у запиті на зміну. Регіони, де цього маршруту ніколи не було, починають його отримувати, щойно зміна набуде чинності, тому для цього перемикання немає поетапного розгортання.

Глобальність — це обсяг, а не гарантія

Придатність і перевага відокремлені від обсягу. Маршрут, що конфліктує з конкретнішим префіксом, програє вибір найкращого шляху або фільтрується політикою, поводиться точно як раніше. Глобальний режим розширює, де маршрут можна використовувати, але не вирішує, який маршрут переможе. Вивчений маршрут може бути в межах обсягу і все одно програти статичному або конкретнішому шляху в тому ж VPC.

Ця відмінність важлива, бо зміну режиму легко потім звинуватити. Якщо європейська підмережа після перемикання все ще без маршруту, питання в тому, чи існує маршрут і чи він придатний, а не в тому, чи набув чинності обсяг. Конфлікти префіксів і здоров'я наступного переходу — наступні дві речі для читання.

Віддалена сторона теж оголошує інакше

Поведінка оголошень відповідає тому самому налаштуванню. За типової поведінки маршрутизатор у регіональному режимі оголошує підмережі свого регіону, а глобальний режим оголошує підмережі VPC ширше. Тому зміна режиму змінює не лише те, що можуть використовувати ваші регіони, а й те, що встановлює віддалена сторона.

Власний список оголошень не розширюється, коли змінюється режим. Якщо локальний маршрутизатор тримає написаний від руки список діапазонів, європейський префікс у ньому залишається відсутнім. Зворотний шлях у такому разі залишається зламаним, хоча вихідний маршрут уже існує. Перевірте, що встановила віддалена сторона, а не те, що ви експортували.

Чого режим ніколи не виправить

Глобальна маршрутизація не дає доступу до публічного інтернету, транзиту між незв'язаними VPC або відсутніх статичних маршрутів. Вона не змінює правила брандмауера чи IAM, тому з'єднання, відхилене політикою, залишається відхиленим.

Ці збої виглядають однаково зсередини навантаження і не мають нічого спільного з обсягом маршрутів.

Перевірте з віддаленого регіону до реального сервісу, потім підтвердьте, що відповідь повертається через потрібний тунель. Запишіть режим, конфігурацію оголошень і пункт призначення, який ви перевіряли. Якщо тест усе ще не проходить, порівняйте таблицю BGP віддаленого маршрутизатора зі списком маршрутів VPC, перш ніж знову торкатися режиму. Тоді наступний звіт між регіонами почнеться з фактів, а не зі зміни режиму.