Дадаць лакальную падсетку да AWS VPN: VGW супраць Transit Gateway

Існуючы Site-to-Site VPN перадае 10.60.0.0/16, за той жа лакальнай брамай з’яўляецца новая службовая сетка 10.70.0.0/16, і хтосьці пытае, ці патрэбны проксі. Звычайна не: маршрутызаваны шлях можа перадаць прэфікс, але толькі калі супадуць тры рэчы, і якія менавіта тры залежыць ад архітэктуры AWS, якую вы ўжо выкарыстоўваеце. Віртуальная прыватная брама мае адну мяжу табліцы маршрутаў; transit gateway дадае другую. Калі аб’ява правільная, а табліца няправільная, сеанс выглядае здаровым і нічога не дастаўляе.

Апублікуйце прэфікс, які брама сапраўды можа даставіць

Лакальнай браме патрэбны маршрут да новай сеткі, перш чым любая аб’ява набудзе сэнс. Аб’ява 10.70.0.0/16 праз BGP паведамляе AWS, куды адпраўляць пакеты для гэтага дыяпазону; яна не стварае лакальны шлях перасылкі, які робіць дыяпазон даступным на іншым канцы. Пераканайцеся, што брама мае маршрут для прэфікса, які паказвае на прыладу, што ім валодае, і што прылада настроена адказваць за гэтыя адрасы. Палітыка экспарту і дапушчальныя ліміты прэфіксаў — наступнае абмежаванне, бо прэфікс, які сеанс адфільтроўвае, не дасягае AWS зусім.

Трымайце агрэгаты і больш канкрэтныя маршруты свядомымі. Перасякальныя шляхі, што прыходзяць з двух кірункаў, — гэта рашэнне праектавання, а не дэталь, якую выявяць пазней.

Шлях першы: мяжа віртуальнай прыватнай брамы

З віртуальнай прыватнай брамай дакументацыя AWS VPN па маршрутызацыі апісвае два рэжымы размеркавання — статычныя маршруты і аб’явы BGP, і абодва залежаць ад табліцы маршрутаў падсеткі, якую рэальна выкарыстоўвае праграма. Распаўсюджванне зручнае, калі вы кантралюеце ўвесь дыяпазон, а яўны маршрут прасцей абдумаць, калі вы хочаце бачыць прызначэнне побач з мэтай. У любым выпадку праверка адна: ці ёсць у табліцы канкрэтнай падсеткі праграмы працоўны шлях да мэты VPN для новага прэфікса, і ці перамагае ён над чымсьці больш канкрэтным?

Здаровы сеанс BGP даказвае, што канал існуе. Ён нічога не кажа пра тое, ці спажыла пэўная табліца падсеткі гэты маршрут.

Шлях другі: transit gateway дадае табліцу

Transit gateway дзеліць адно пытанне на два. Падсетка VPC павінна адправіць прызначэнне на далучэнне transit gateway, а затым табліца маршрутаў transit gateway павінна выбраць далучэнне VPN для таго ж прэфікса. Выбар асацыяцыі і распаўсюджвання вырашае, якія далучаныя сеткі атрымаюць маршрут, таму прэфікс можа быць правільна аб’яўлены праз VPN і ўсё роўна ніколі не дасягнуць VPC, чыя табліца ніколі не была звязана з патрэбнай табліцай маршрутаў.

Тыповая няўдача — маршрут, які ёсць у адной табліцы і адсутнічае ў другой, прычым кожная каманда ўпэўнена, што яе бок правільны. Калі параўнаць дзве архітэктуры, гэтая дадатковая мяжа і ёсць уся розніца: больш месцаў для праверкі і дакладнейшы кантроль над тым, хто атрымае маршрут.

Распаўсюджванне маршрутаў таксама не дае кожнаму далучэнню прэфікс. Яно размяркоўвае яго ў табліцы, настроеныя яго прымаць.

Зваротны шлях — асобнае палітычнае рашэнне

Трафік, які прыходзіць, — гэта толькі палова абмену. Новай лакальнай сетцы патрэбны маршрут назад да зыходных прэфіксаў AWS праз правільную браму, і палітыка бяспекі на абодвух канцах павінна дазваляць гэтую пару крыніцы і прызначэння. Калі тунель узгадняе зону абароны з селектарамі трафіку, новы прэфікс павінен быць унутры яе, інакш пакет адкідаецца да таго, як будзе прачытана любая табліца маршрутаў.

Перакрыццё адрасоў — іншая пастка. Неперасякальныя, яўна ўласныя дыяпазоны трымаюць гэта простым; перакрывальныя дыяпазоны азначаюць трансляцыю або перапраектаванне, і ні адно з гэтага не з’яўляецца ўзаемазаменным варыянтам таго ж рэцэпту.

Праверце з крыніцай у новай сетцы і прызначэннем у падсетцы праграмы, затым паўтарыце ў адваротным кірунку. Аднабаковы тэст даказвае адзін кірунак.

Калі проксі сапраўды лепшая мяжа

Проксі апраўдвае сябе, калі патрабаванне — вузкі інтэрфейс службы, калі праграма ўжо чакае такую архітэктуру, або калі сеткавы шлях нельга прымусіць перадаваць прэфікс без трансляцыі, якой вы не хочаце. Ён не з’яўляецца запасным варыянтам для запісу ў табліцы маршрутаў, якога ніхто не праверыў.

Вырашайце ў такім парадку: лакальная перасылка, аб’ява, мяжа табліцы, палітыка вяртання. Выпраўце першае, што не спрацуе, і толькі потым пытайцеся, ці маршрутызаваны шлях наогул правільны адказ.