Nega BGP seansingiz VPC marshrut jadvalida ko'rinmaydi

Takrorlanadigan hikoya shuki, EC2 VPN qurilmasidagi marshrutlash demoni BGP ko'tarilishi bilanoq VPC ga o'zining uzoq prefikslarini o'rgatadi. Buning yarmi to'g'ri. Seans ko'tariladi va shu sababli VPC marshrut jadvalida hech narsa o'zgarmaydi, shuning uchun birinchi belgi odatda trafikni jimgina qora tuynukka tashlaydigan subnet bo'ladi.

Bu yerda ikki xil narsa aralashtiriladi: marshrut serveri bilan peering va marshrutlarni jadvalga o'rnatish.

Afsona: BGP ni ko'taring va VPC prefikslarni o'rganadi

BGP ikki so'zlovchi o'rtasidagi suhbat, va bu dizaynda so'zlovchilar qurilmangizdagi marshrutlash demoni va AWS sizning mulkingizdagi subnetga joylashtiradigan VPC Route Server so'nggi nuqtasidir. Bu suhbat prefikslarni tashiydi. U sizning ish yukingiz subnetlarining marshrut jadvaliga tegmaydi, chunki bu jadvallar faqat har birida yoqilishi kerak bo'lgan tarqalish orqali o'rganadi. Bu sodir bo'lmaguncha, VPC to'qimasi qurilma bilgan narsa haqida hech narsa bilmaydi.

Sozlash bosqichlari bir sababga ko'ra ajratilgan: bog'lash, so'nggi nuqtani yaratish, peering qilish, so'ngra tarqalishni yoqish.

Route Server bu boshqaruv tekisligi, tunnel emas

Route Server bitta ham paketni shifrlamaydi, uzatmaydi va tekshirmaydi. U qurilma bilan BGP almashish va hosil bo'lgan prefikslarni ularni qabul qilish uchun sozlangan marshrut jadvallariga berish uchun mavjud. Ma'lumotlar tekisligi o'zgarmagan: paketlar hali ham qurilmaning tarmoq interfeysidan chiqadi, uning VPN orqali o'tadi va xuddi shu yo'l bilan qaytadi.

Bu uzatuvchi instansdagi manba va manzil tekshiruvi hali ham muhimligini bildiradi, chunki instans endi boshqa birovga manzillangan trafikni uzatmoqda.

Xavfsizlik guruhlari va subnet boshqaruvlari uzatilayotgan oqimga ham tegishli. Route Server trafikni tashlab yuboradigan qurilmani uni uzatishga majburlamaydi va uzoq tomonda yo'q qaytish marshrutini tuzatmaydi.

Tarqalish har bir marshrut jadvali uchun, butun VPC uchun emas

Marshrut serverini VPC bilan bog'lash va marshrut jadvalida tarqalishni yoqish ikki qaror, va faqat ikkinchisi subnet nima qilishini o'zgartiradi. Olti marshrut jadvali bo'lgan VPC tarqatilgan prefiksni bittasida qabul qilib, qolgan beshtasida qabul qilmasligi mumkin, bu hub subnet uchun aynan to'g'ri va aynan «yarim ishlaydi» degan chalkash natijani keltirib chiqaradi. Tarqalish yoqilgan joylarda ham raqib marshrut g'alaba qozonishi mumkin, chunki VPC marshrut tanlovi eng uzun prefiksni afzal ko'radi va teng uzunlikda tarqatilgandan statik marshrutni afzal ko'radi. Bu afzallik jimgina qo'llaniladi.

Qurilma e'lon qiladigan prefikslar ro'yxati o'rniga aniq subnetning samarali jadvalini tekshiring. API bu savolga to'g'ridan-to'g'ri javob beradi: aws ec2 associate-route-server va aws ec2 enable-route-server-propagation --route-table-id <id> odamlar unutadigan ikki qadam, aws ec2 describe-route-tables --route-table-ids <id> esa prefiks route server yozuvi sifatida kelgan-kelmaganini ko'rsatadi.

Qurilma hali ham har bir paketni tashiydi

Yetib borish imkoniyatini e'lon qilish uni egallash bilan bir xil emas. BGP seansi qurilmaning VPN o'chirilgan paytda ham o'rnatilgan qolishi mumkin, va hech qachon o'zgarmaydigan statik e'lon trafikni o'lik yo'lga tortishda davom etadi. Route Server BFD kabi nosozlik aniqlashni qo'llab-quvvatlaydi, lekin bu sherikning hayotiyligini sinaydi, uning orqasidagi hamma narsaning sog'lig'ini emas.

E'lonni haqiqiy uzoq marshrutga bog'lang: tunnel va uzoq tarmoq ishlab turganda prefiksni e'lon qiling, ishlamaganda uni qaytarib oling.

Prefiksni qaytarib oling va nima bo'lishini ko'ring

Bosqichma-bosqich sinang va oxirgi bosqichni olib tashlash qiling. E'lon yetib borishini, prefiks har bir mo'ljallangan jadvalda paydo bo'lishini, qurilma keyingi hop ekanini, uzatish faol tunneldan o'tishini va uzoq tomon javob berishini tasdiqlang. So'ngra sinov prefiksini qaytarib oling yoki tasdiqlangan tunnelni yoping va trafik dizayn aytgan joyga ko'chishini kuzating. Sinov ochiq turganda oldingi va keyingi jadvallarni yozib oling.

Marshrutni ikkinchi qurilmaga ko'chirish u tashigan seanslarni ko'chirmaydi, chunki NAT va firewall holati birinchi qurilmada qoladi.

O'n ikkita prefiksdan iborat qat'iy to'plam uchun VPC jadvallaridagi statik marshrutlar arzonroq javob bo'lib qoladi. Route Server o'z o'rnini prefikslar ro'yxati haqiqatan o'zgarganda va qaytarib olish siyosati navbatchi odamga tushuntira oladigan narsa bo'lganda egallaydi.