Чому маршрут підмережі в AWS VGW не може вибрати один тунель VPN

Два з'єднання Site-to-Site VPN завершуються на одному віртуальному приватному шлюзі й анонсують той самий префікс філії. Таблиця маршрутів підмережі має один запис для цього префікса, що вказує на шлюз, і жодного поля, яке б називало тунель. Тому перевага між з'єднаннями виникає там, де консоль не називає це маршрутизацією. Знання того, який рівень володіє рішенням, — це різниця між робочим резервом і зміною, що нічого не робить.

У грі два рівні: маршрут у VPC, що вказує шлюз, і власний вибір тунелю самим шлюзом. Їх змішування дає зміни, які в таблиці маршрутів виглядають правильно і ніколи не переміщують пакет.

Два рівні, що виглядають як один

Маршрут підмережі відповідає на одне питання: для цього призначення яке приєднання? Його ціль — віртуальний приватний шлюз, а метрика конкурує лише з іншими маршрутами тієї самої таблиці. Ніщо в цьому записі не відрізняє тунель один від тунелю два чи з'єднання A від з'єднання B. Конкретніший префікс — це інший збіг призначення, а не тонший вибір шляху.

Шлюз відповідає на наступне питання: серед тунелів, які він тримає для цього префікса, який зараз несе трафік. Це рішення походить зі стану тунелю й атрибутів BGP, отриманих від клієнтського шлюзу, і воно ніколи не з'являється в таблиці маршрутів підмережі.

Що VGW насправді порівнює

Стан іде першим. Тунель, який опущено, або сесія BGP, що не піднялася, програє перш ніж буде розглянуто будь-який атрибут. Тому додавання шляху спереду на з'єднанні, яке вже збоїть, нічого не змінює.

Серед придатних шляхів для одного префікса AWS надає перевагу коротшому AS_PATH. Коли два шляхи однакової довжини, він порівнює MED, з урахуванням задокументованої умови про перший AS у шляху. Читайте опублікований порядок, а не фольклорну версію, бо фольклор зазвичай пропускає крок стану й виняток для статичних маршрутів. Один наслідок: три додавання спереду на резервному з'єднанні роблять основне строго коротшим, і це звичний спосіб висловити перевагу.

Додавання спереду, і коли воно нічого не робить

Додавання спереду відбувається у вихідних анонсах клієнтського шлюзу, не всередині AWS. Ви додаєте свій ASN два або три рази до префікса, якого AWS має уникати, і тоді AWS бачить довший шлях для цього з'єднання. Основне з'єднання зберігає анонс без додавання. Якщо обидва з'єднання анонсують з одного ASN з однаковою кількістю додавань, ви не висловили жодної переваги.

Перевірте отриманий шлях на боці AWS після зміни. Додавання, яке так і не покинуло пристрій клієнта, виглядає точно так само, як те, що AWS проігнорував.

Статичні маршрути ігнорують весь аргумент

Якщо з'єднання використовує статичну маршрутизацію, немає AS_PATH, який можна подовжити. AWS документує статичні VPN-маршрути як пріоритетні над маршрутами, вивченими через BGP, для того самого префікса, тож змішаний дизайн не поводиться як повністю динамічний. Спершу визначте тип маршрутизації, потім виберіть механізм переваги, що існує для нього.

За двох статичних з'єднань, що анонсують один префікс, корисний важіль — це префікс: анонсуйте конкретніший діапазон на тому з'єднанні, яке хочете використовувати, і прийміть, що ви змінили те, яке призначення збігається, а не те, який шлях перемагає.

Чому транзитний шлюз — інша відповідь

Транзитний шлюз підтримує багатошляховість з рівною вартістю між VPN-приєднаннями, тож два з'єднання можуть ділити трафік замість того, щоб одне стояло в резерві. Такий дизайн має іншу поверхню відмов: потоки розподіляються тунелями, і падіння одного тунелю переносить лише частину навантаження. Копіювання рецепта VGW на транзитний шлюз або навпаки створює очікування, яких не виконує жодна з платформ.

Виберіть модель до механізму: активний і резервний із закріпленою перевагою, або активний і активний з ECMP.

Що перевірити після налаштування

Підтвердьте чотири речі по порядку. Таблиця підмережі досі розв'язує префікс у передбачуваний шлюз. Шлюз показує обидва тунелі як активні. Отриманий AS_PATH на з'єднанні, якого ви хочете уникати, довший за інший. І реальний потік з екземпляра в цій підмережі проходить очікуваним тунелем, спостережений з обох боків, а не виведений із зеленого статусу.

Потім запустіть затверджений тест перемикання і спостерігайте, як уцілілий шлях несе сервіс. Перевага, що існує лише в різниці конфігурації, ще не перевага.