AWS Transit Gateway üzərində bir neçə VPC üçün bir saytlararası VPN

Bu rübdə iki VPC ofis şəbəkəsinə ehtiyac duyur və təxmin məhz ikinci tuneldə pozulur. AWS Transit Gateway ortaq marşrutlaşdırma mərkəzi rolunu oynaya bilər: VPN bir dəfə qoşulur, hər VPC isə həmin mərkəzə qoşulur. Sonra yerli şəbəkə bütün qoşulmuş VPC-lərə bir bağlantı ilə çatır. Bu, marşrutlaşdırma qərarının kimə aid olduğunu dəyişir və əksər dizaynların səhv saldığı hissə də elə budur.

VPN qoşulması və VPC qoşulmaları eyni gateway üzərində ayrı obyektlərdir, buna görə də marşrutlaşdırma əlaqələri sonradan qurulmalıdır.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Niyə peering insanların ümid etdiyi qısa yol deyil

Cəlbedici alternativ VPN-i VPC A üzərində bitirmək və VPC B-ni ona peer etməkdir. Adi VPC peering A-nın VPN bağlantısı vasitəsilə kənardan-kənara tranzit təmin etmir. Peer yalnız peeringin özünün verdiyi ünvanlara çatır və VPN kənarı onlardan biri deyil. Tranziti mərkəz verir; peering isə sizə bir cüt verir.

Bu məhdudiyyət peeringin xassəsidir, qaldıra biləcəyiniz kvota deyil.

Assosiasiya və propagasiya fərqli işlər görür

Transit Gateway daxilində assosiasiya qoşulmadan gələn trafiki axtarmaq üçün istifadə olunan marşrut cədvəlini seçir. Propagasiya isə qoşulmanın öyrəndiyi və ya birləşdirilmiş prefikslərin hansı cədvəllərə düşəcəyini müəyyən edir. Bir qoşulma bir cədvəllə assosiasiya olunub bir neçəsinə propagasiya edə bilər. İkisini qarışdırmaq dizaynın heç kimin planlaşdırmadığı əlçatanlıqla bitməsinin yoludur.

Tam bağlı kiçik mərkəz asan haldır.

Bütün qoşulmaları bir cədvəldə yerləşdirin və VPN-lə birlikdə hər iki VPC prefiksi təmiz həll olunur. Bu həm də təşkilatın heç vaxt nəzərdə tutmadığı VPC-lər arası əlçatanlığa icazə verir, çünki ortaq cədvəlin spoke anlayışı yoxdur.

İş yükü marşrutları başqa yerdə yaşayır

Hər iş yükü alt şəbəkəsi hədəflənən yerli prefikslər üçün hələ də Transit Gateway-ə doğru öz marşrutuna ehtiyac duyur. Həmin VPC marşrut cədvəlləri Transit Gateway-in öz cədvəllərindən ayrı obyektlərdir. Lazım olan prefiksləri əlavə edin və hər təyinatı yeni default ilə əvəz etmək əvəzinə mövcud marşrutları qoruyun. Alt şəbəkə marşrutu da müştəri cihazına heç nə elan etmir.

Dinamik və ya statik marşrutlaşdırmanı qəsdən seçin; peering heç birini vermir.

Spoke-ları yerli girişi itirmədən təcrid edin

A və B hər ikisi ofisə çata bilirsə, lakin bir-birinə marşrutlaşdırılmamalıdırsa, cədvəlləri ayırın. VPN qoşulmasının assosiasiya olunduğu cədvəl VPC prefikslərini saxlayır. VPC qoşulmalarının assosiasiya olunduğu cədvəl isə yerli prefiksləri saxlayır və A-nı B ilə birləşdirən marşrut yoxdur. Bu əlaqəni propagasiya yaradır, ona görə də bütün default assosiasiyaları qəbul etmək məcburiyyətində deyilsiniz.

Bu marşrutlaşdırma təcrididir və bu, tətbiq səviyyəsində avtorizasiya deyil.

Təhlükəsizlik qrupları, şəbəkə ACL-ləri, host firewall-ları və hər xidmətin öz icazələri hələ də hansı trafikin qəbul olunduğunu müəyyən edir. Yoxlama tələb olunursa, mərkəzin bunu etdiyini güman etmək əvəzinə onun dəstəklənən yolunu açıq şəkildə dizayn edin.

Mərkəzin düzəltmədiyi şeylər

Ünvan planları hələ də üst-üstə düşməməlidir, çünki mərkəz bir prefiksin iki iş yükünü təmsil etməsinə imkan vermir. Hər VPC qoşulması iş yüklərinin gözlədiyi Availability Zone əhatəsini tələb edir. BGP ilə müştəri cihazının hər tələb olunan prefiksə geri marşrutları dizayna və onun import siyasətinə uyğun olmalıdır. Çatışmayan elan qırılmış tunel kimi görünür.

VPN bağlantısı və Transit Gateway artıq ortaq infrastrukturdur.

Tunel artıqlığını planlaşdırın, cihaz tutumunu, monitorinqi və texniki xidməti bütün asılı VPC-lər ətrafında qurun, hər birini ayrıca qoşulmuş kimi qəbul etmək əvəzinə.

Mövcud virtual private gateway quruluşundan miqrasiya eyni açıq planı haqq edir. Qoşulmaları və siyasətləri qurun, bir nəzarət olunan iş yükü marşrutunu köçürün və köhnə marşrutu ləğv etməzdən əvvəl icazə verilən və rədd edilən əlaqələri təsdiqləyin. Mərkəzləşdirmə şəbəkə komandasına ortaq bağlantını idarə etmək üçün bir yer verdikdə kömək edir, kimin kimə çata biləcəyini bir böyük cədvəlin arxasında gizlətdikdə isə zərər verir.