AWS VPN-ə lokal subnet əlavə edin: VGW və Transit Gateway müqayisəsi

Mövcud Site-to-Site VPN 10.60.0.0/16 şəbəkəsini daşıyır, eyni lokal gateway arxasında 10.70.0.0/16 kimi yeni bir xidmət şəbəkəsi görünür və kimsə proxy tələb olunub-olunmadığını soruşur. Adətən tələb olunmur: marşrutlaşdırılmış yol prefiksi daşıya bilər, ancaq üç şey üst-üstə düşərsə, hansı üçünün olması isə artıq işlətdiyiniz AWS arxitekturasından asılıdır. Virtual private gateway-in bir marşrut cədvəli sərhədi var; transit gateway ikincisini əlavə edir. Anonsu düzgün, cədvəli səhv etmək sağlam görünən və heç nə çatdırmayan sessiya yaradır.

Gateway-in həqiqətən çatdıra biləcəyi prefiksi yayımlayın

Lokal gateway-in yeni şəbəkəyə doğru yol tapması üçün hər hansı anonsdan əvvəl oraya gedən marşrut lazımdır. 10.70.0.0/16 prefiksini BGP ilə anons etmək AWS-ə həmin aralıq üçün paketləri hara göndərəcəyini deyir; bu, aralığı digər tərəfdə əlçatan edən lokal yönləndirmə yolunu yaratmır. Gateway-in prefiks üçün həmin ünvanları saxlayan cihaza işarə edən marşrutu olduğunu və cihazın bu ünvanlara cavab vermək üçün konfiqurasiya edildiyini təsdiqləyin. İxrac siyasəti və qəbul edilən prefiks limitləri növbəti məhdudiyyətdir, çünki sessiyanın filtrlədiyi prefiks AWS-ə heç vaxt çatmır.

Aqreqatları və daha dəqiq marşrutları qəsdən saxlayın. İki istiqamətdən gələn üst-üstə düşən yollar dizayn qərarıdır, sonradan aşkar ediləcək xırdalıq deyil.

Birinci yol: virtual private gateway sərhədi

Virtual private gateway ilə AWS VPN marşrutlaşdırma sənədləri iki paylama rejimini təsvir edir: statik marşrutlar və BGP anonsları, və hər ikisi tətbiqin həqiqətən istifadə etdiyi subnet marşrut cədvəlindən asılıdır. Bütün aralığa nəzarət etdikdə propagasiya rahatdır, hədəfin yanında təyinatı görmək istədikdə isə açıq marşrut daha asan düşünülür. Hər iki halda yoxlama eynidir: konkret tətbiq subnetinin cədvəlində yeni prefiks üçün VPN hədəfinə işlək yol varmı və o, daha dəqiq hər hansı girişə qalib gəlirmi?

Sağlam BGP sessiyası kanalın mövcud olduğunu sübut edir. Müəyyən subnet cədvəlinin marşrutu qəbul edib-etmədiyi barədə heç nə demir.

İkinci yol: transit gateway bir cədvəl əlavə edir

Transit gateway bu bir sualı ikiyə bölür. VPC subneti təyinatı transit gateway qoşulmasına göndərməlidir, sonra transit gateway marşrut cədvəli həmin prefiks üçün VPN qoşulmasını seçməlidir. Assosiasiya və propagasiya seçimləri hansı qoşulmuş şəbəkələrin marşrutu alacağını müəyyən edir, buna görə prefiks VPN tərəfindən düzgün anons oluna bilər və yenə də cədvəli düzgün marşrut cədvəli ilə əlaqələndirilməmiş VPC-yə çatmaya bilər.

Adi uğursuzluq budur: bir cədvəldə olan, digərində olmayan marşrut, halbuki hər komanda öz tərəfinin doğru olduğuna əmindir. İki arxitekturanı müqayisə etdikdə bu əlavə sərhəd bütün fərqdir: baxmaq üçün daha çox yer və marşrutu kimin alacağına daha dəqiq nəzarət.

Marşrut propagasiyası da hər qoşulmaya prefiksi vermir. Onu yalnız qəbul etmək üçün konfiqurasiya edilmiş cədvəllərə paylayır.

Qayıdış yolu ayrıca siyasət qərarıdır

Gələn trafik mübadilənin yalnız yarısıdır. Yeni lokal şəbəkəyə AWS mənbə prefikslərinə doğru düzgün gateway vasitəsilə qayıdış marşrutu lazımdır və hər iki tərəfdə təhlükəsizlik siyasəti bu mənbə-təyinat cütünə icazə verməlidir. Tünel trafik selektorları ilə mühafizə sahəsi razılaşdırırsa, yeni prefiks onun içində olmalıdır, əks halda paket hər hansı marşrut cədvəlinə baxılmadan atılır.

Ünvan üst-üstə düşməsi digər tələdir. Ayrı və açıq şəkildə sahib olunan aralıqlar bunu sadə saxlayır; üst-üstə düşən aralıqlar isə tərcümə və ya yenidən dizayn deməkdir və heç biri eyni reseptin bir-birini əvəz edən variantı deyil.

Yeni şəbəkədə mənbə və tətbiq subnetində təyinat ilə sınaqdan keçirin, sonra əks istiqamətdə təkrarlayın. Birtərəfli sınaq yalnız bir istiqaməti sübut edir.

Proxy həqiqətən daha yaxşı sərhəd olduqda

Proxy öz yerini o zaman qazanır ki, tələb dar xidmət interfeysidir, tətbiq artıq bu arxitekturanı gözləyir, ya da şəbəkə yolu prefiksi istəmədiyiniz tərcümə olmadan daşıya bilmir. O, heç kimin yoxlamadığı marşrut cədvəli qeydi üçün ehtiyat variant deyil.

Bu sıra ilə qərar verin: lokal yönləndirmə, anons, cədvəl sərhədi, qayıdış siyasəti. İlk uğursuz olanı düzəldin və yalnız bundan sonra marşrutlaşdırılmış yolun ümumiyyətlə düzgün cavab olub-olmadığını soruşun.