Адно VPN паміж сайтамі для некалькіх VPC у AWS Transit Gateway

Далучыце VPN адзін раз, а кожны VPC — да аднаго транзітнага шлюза, затым аддзяліце асацыяцыю ад прапагацыі, каб філіялы дасягалі офіса, але не адзін аднаго.

Дзвюм VPC патрэбна сетка офіса ў гэтым квартале, і менавіта на другім тунелі каштарыс ламаецца. AWS Transit Gateway можа выконваць ролю агульнага маршрутнага цэнтра: VPN далучаецца адзін раз, і кожны VPC далучаецца да таго ж цэнтра. Затым лакальная сетка дасягае кожнага далучанага VPC праз адно злучэнне. Гэта мяняе, хто валодае рашэннем аб маршрутызацыі, і менавіта гэтую частку большасць праектаў робіць няправільна.

Далучэнне VPN і далучэнні VPC — асобныя аб'екты на адным шлюзе, таму сувязі маршрутызацыі даводзіцца будаваць пазней.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Чаму пірынг — не той кароткі шлях, на які спадзяюцца

Спакуслівая альтэрнатыва — завяршыць VPN на VPC A і злучыць VPC B з ім праз пірынг. Звычайны пірынг VPC не дае скразнога транзіту праз VPN-злучэнне A. Пір дасягае адрасоў, якія дае сам пірынг, а VPN-край не ўваходзіць у іх лік. Транзіт — гэта тое, што дае цэнтр; пірынг дае пару.

Гэтае абмежаванне — уласцівасць пірынгу, а не квота, якую можна павялічыць.

Асацыяцыя і прапагацыя робяць розную працу

Унутры транзітнага шлюза асацыяцыя выбірае табліцу маршрутаў, па якой шукаецца трафік, што прыходзіць ад далучэння. Прапагацыя вырашае, якія табліцы атрымаюць вывучаныя або падключаныя прэфіксы далучэння. Адно далучэнне можа асацыявацца з адной табліцай і адначасова прапагаваць у некалькі. Блытаніна паміж гэтымі двума паняццямі — гэта шлях да дасяжнасці, якую ніхто не планаваў.

Цалкам злучаны невялікі цэнтр — просты выпадак.

Змясціце ўсе далучэнні ў адну табліцу, і VPN разам з абодвума прэфіксамі VPC выразна развязаваюцца. Гэта таксама дазваляе дасяжнасць паміж VPC, якую арганізацыя, магчыма, не мела на ўвазе, бо агульная табліца не ведае паняцця філіяла.

Маршруты рабочых нагрузак жывуць у іншым месцы

Кожнай падсетцы рабочай нагрузкі ўсё яшчэ патрэбен уласны маршрут да транзітнага шлюза для патрэбных лакальных прэфіксаў. Гэтыя табліцы маршрутаў VPC — асобныя аб'екты ад уласных табліц транзітнага шлюза. Дадайце патрэбныя прэфіксы і захавайце існыя маршруты, замест таго каб замяняць кожны пункт прызначэння новым default. Маршрут падсеткі таксама нічога не абвяшчае кліенцкай прыладзе.

Выбірайце дынамічную або статычную маршрутызацыю свядома; пірынг не дае ні той, ні другой.

Ізалюйце філіялы, не губляючы лакальнага доступу

Калі A і B могуць абодва дасягаць офіса, але не павінны маршрутызавацца адно да аднаго, падзяліце табліцы. Табліца, з якой асацыявана далучэнне VPN, утрымлівае прэфіксы VPC. Табліца, з якой асацыяваны далучэнні VPC, утрымлівае лакальныя прэфіксы, без маршруту, які злучае A з B. Менавіта прапагацыя стварае гэтую сувязь, таму вам не даводзіцца прымаць кожную стандартную асацыяцыю.

Гэта ізаляцыя маршрутызацыі, а не аўтарызацыя на ўзроўні праграм.

Групы бяспекі, сеткавыя спісы кантролю доступу, хатнія фаерволы і ўласныя дазволы кожнай службы ўсё яшчэ вырашаюць, які трафік дапускаецца. Калі патрэбная інспекцыя, праектуйце яе падтрыманы шлях яўна, а не мяркуйце, што цэнтр яе выконвае.

Што цэнтр не выпраўляе

Планы адрасоў па-ранейшаму не павінны перакрывацца, бо цэнтр не дазваляе аднаму прэфіксу азначаць дзве рабочыя нагрузкі. Кожнаму далучэнню VPC патрэбна пакрыццё Availability Zone, якое чакаюць яго рабочыя нагрузкі. З BGP маршруты кліенцкай прылады назад да кожнага патрэбнага прэфікса павінны адпавядаць праекту і яго палітыцы імпарту. Адсутнае аб'ява выглядае зусім як зламаны тунель.

Злучэнне VPN і транзітны шлюз цяпер — агульная інфраструктура.

Плануйце рэзерваванне тунеляў, ёмістасць прылад, маніторынг і абслугоўванне вакол усіх залежных VPC, а не стаўцеся да кожнага з іх як да незалежна злучанага.

Пераход ад існуючай схемы virtual private gateway заслугоўвае такога ж яўнага плана. Пабудуйце далучэнні і палітыкі, перанясіце адзін кантраляваны шлях рабочай нагрузкі і пацвердзіце дазволеныя і забароненыя сувязі, перш чым выводзіць стары шлях. Цэнтралізацыя дапамагае, калі дае камандзе сеткі адно месца для кіравання агульнай злучанасцю, і шкодзіць, калі хавае, хто каго можа дасягаць, за адной вялікай табліцай.

Падобныя артыкулы