Una VPN de lloc a lloc per a diverses VPC a AWS Transit Gateway

Dues VPC necessiten la xarxa de l'oficina aquest trimestre, i és al segon túnel on es trenca l'estimació. AWS Transit Gateway pot fer de concentrador d'encaminament compartit: la VPN s'adjunta una vegada i cada VPC s'adjunta al mateix concentrador. Així la xarxa local arriba a cada VPC adjunta per una sola connexió. Això canvia qui posseeix la decisió d'encaminament, i aquesta és la part que la majoria de dissenys fan malament.

L'adjunció de la VPN i les adjuncions de les VPC són objectes separats a la mateixa passarel·la, i per això les relacions d'encaminament s'han de construir després.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Per què el peering no és la drecera que la gent espera

L'alternativa temptadora és acabar la VPN a la VPC A i fer peering de la VPC B amb ella. El peering normal de VPC no ofereix trànsit d'extrem a extrem a través de la connexió VPN de la A. Un parell arriba a les adreces que el mateix peering proporciona, i una vora VPN no és una d'elles. El trànsit és el que dóna un concentrador; el peering dóna una parella.

Aquesta restricció és una propietat del peering, no una quota que pugueu apujar.

L'associació i la propagació fan feines diferents

Dins de la passarel·la de trànsit, l'associació tria la taula d'encaminament que s'utilitza per buscar el trànsit que arriba d'una adjunció. La propagació decideix quines taules reben els prefixos apresos o connectats d'una adjunció. Una sola adjunció es pot associar a una taula mentre propaga cap a diverses. Confondre les dues és com un disseny acaba amb una abastabilitat que ningú no havia planificat.

Un concentrador petit totalment connectat és el cas fàcil.

Poseu cada adjunció en una taula i la VPN amb tots dos prefixos de VPC es resol netament. Això també permet abastabilitat entre VPC que l'organització potser mai no havia volgut, perquè una taula compartida no té el concepte de radi.

Les rutes de les càrregues de treball viuen en un altre lloc

Cada subxarxa de càrrega de treball encara necessita la seva pròpia ruta cap a la passarel·la de trànsit per als prefixos locals previstos. Aquestes taules d'encaminament de les VPC són objectes separats de les taules pròpies de la passarel·la de trànsit. Afegiu els prefixos que necessiteu i preserveu les rutes existents en lloc de substituir cada destinació per un nou default. Una ruta de subxarxa tampoc no anuncia res al dispositiu del client.

Trieu encaminament dinàmic o estàtic de manera deliberada; el peering no n'ofereix cap dels dos.

Aïlleu els radis sense perdre l'accés local

Quan A i B poden arribar tots dos a l'oficina però no s'han d'encaminar l'un a l'altre, separeu les taules. La taula associada de l'adjunció de la VPN conté els prefixos de les VPC. La taula associada de les adjuncions de les VPC conté els prefixos locals, sense cap ruta que uneixi A amb B. La propagació produeix aquesta relació, així que no cal acceptar mai totes les associacions per defecte.

Això és aïllament d'encaminament, i no és autorització d'aplicació.

Els grups de seguretat, les ACL de xarxa, els tallafocs dels equips i els permisos propis de cada servei encara decideixen quin trànsit s'admet. Si cal inspecció, dissenyeu-ne la ruta admesa explícitament en lloc de suposar que el concentrador la fa.

Què no arregla el concentrador

Els plans d'adreces encara han de no solapar-se, perquè el concentrador no permet que un prefix identifiqui dues càrregues de treball. Cada adjunció de VPC necessita la cobertura d'Availability Zone que esperen les seves càrregues de treball. Amb BGP, les rutes del dispositiu client cap a cada prefix necessari han de coincidir amb el disseny i la seva política d'importació. Un anunci que falta sembla exactament un túnel trencat.

La connexió VPN i la passarel·la de trànsit ara són infraestructura compartida.

Planifiqueu la redundància dels túnels, la capacitat dels dispositius, el monitoratge i el manteniment al voltant de totes les VPC dependents en lloc de tractar cadascuna com a connectada de manera independent.

La migració des d'un disseny existent amb virtual private gateway mereix el mateix pla explícit. Construïu les adjuncions i les polítiques, moveu una ruta de càrrega de treball controlada i confirmeu les relacions permeses i denegades abans de retirar la ruta antiga. La centralització ajuda quan dóna a l'equip de xarxa un sol lloc per gestionar la connectivitat compartida, i perjudica quan amaga qui pot arribar a qui darrere d'una sola taula gran.