AWS Site-to-Site VPN i NAT Gateway: VGW yn erbyn Transit Gateway

Mae pawb yn tynnu'r un diagram y tro cyntaf: VPN i mewn i'r VPC, NAT gateway allan i'r rhyngrwyd, gorffen. Nid yw AWS yn cefnogi'r llwybr hwnnw pan fo'r VPN yn terfynu ar borth preifat rhithwir, ac mae'r methiant mor dawel nes bod timau'n ei ailadeiladu fwy nag unwaith. Mae'r dyluniad sy'n gweithio angen transit gateway, sy'n newid y porth a'r tablau llwybr ar y ddwy ochr. Cymharwch y ddau siâp cyn tynnu unrhyw beth.

Y topoleg sy'n edrych yn amlwg ac nad yw'n cael ei chefnogi

Mae dogfennaeth NAT gateway AWS yn tynnu llinell sy'n synnu unrhyw un sydd ond wedi adeiladu dyluniadau un VPC: ni ellir llwybro traffig o gysylltiad Site-to-Site VPN i NAT gateway trwy borth preifat rhithwir. Y math o borth lle mae'r VPN yn terfynu sy'n penderfynu a oes llwybr cyfieithu o gwbl. Mae'r camgymeriad yn goroesi oherwydd bod statws y twnnel yn UP ac mae achos EC2 yn yr un isrwyd yn cyrraedd y rhyngrwyd heb drafferth. Nid yw'r naill arsylwad na'r llall yn profi'r cyfeiriad sydd wedi torri.

Yn ymarferol mae'r pecyn yn cyrraedd gyda chyfeiriad ffynhonnell o'r safle lleol ac ni chaiff neb gam nesaf a gefnogir a fyddai'n ei gyfieithu. Yn dibynnu ar y tablau, caiff ei ollwng ar y ffin allan, ac oherwydd bod y twnnel yn aros UP tra bod achos yn yr un isrwyd yn cyrraedd y rhyngrwyd, adroddir y methiant fel problem mur tân ar y safle lleol.

Porth preifat rhithwir yn erbyn transit gateway

Mae porth preifat rhithwir yn perthyn i un VPC. Mae'n terfynu'r VPN, yn gosod llwybrau yn nhablau llwybr y VPC hwnnw, ac yn stopio yno. Nid oes ganddo fodel atodiad, felly ni all drosglwyddo traffig i VPC arall nac i segment allan a rennir. Y cwmpas un-VPC hwnnw yw'r cyfyngiad cyfan, ac nid oes unrhyw lwybr a ychwanegwch y tu mewn i'r VPC yn ei newid.

Mae transit gateway yn hyb rhanbarthol lle mae'r VPN, pob spoke VPC a VPC gwasanaethau a rennir i gyd yn ymddangos fel atodiadau. Mae ganddo ei dablau llwybr ei hun, sy'n dewis pa atodiad sy'n derbyn rhagddodiad penodol.

Yr hyb hwnnw sy'n gwneud allan canolog yn bosibl. Mae'r VPN yn glanio fel un atodiad, mae'r VPC allan yn glanio fel un arall, ac mae tabl llwybr transit gateway yn anfon rhagddodiadau tuag at y rhyngrwyd o'r cyntaf i'r ail. Gyda phorth preifat rhithwir nid oes ail atodiad i anfon unrhyw beth iddo, a dyna pam na ellir clytio'r dyluniad i fodolaeth.

Y llwybr allan a gefnogir, cam wrth gam

Mae gan y dyluniad cyfeirio bum cam, ac mae pob saeth yn benderfyniad llwybro y mae'n rhaid i chi ei ffurfweddu. Mae traffig yn gadael y rhwydwaith lleol i mewn i atodiad Site-to-Site VPN. Mae tabl llwybr transit gateway yn ei anfon ymlaen i atodiad y VPC allan, lle mae tabl yr isrwyd yn ei anfon i NAT gateway cyhoeddus. Mae'r NAT gateway yn cyfieithu'r ffynhonnell ac mae'r porth rhyngrwyd yn cario'r pecyn allan.

On-premises network
  -> Site-to-Site VPN attachment on the transit gateway
  -> transit gateway route table
  -> egress VPC attachment
  -> public NAT gateway in that VPC
  -> internet gateway

Mae dau fanylyn yn penderfynu a yw'r camau olaf yn gweithio. Rhaid i'r NAT gateway fod yn gyhoeddus, gydag elastic IP a llwybr i borth rhyngrwyd, oherwydd mae NAT gateway preifat yn cyfieithu rhwng rhwydweithiau ac yn byth yn dod yn allanfa i'r rhyngrwyd.

Cynlluniwch un NAT gateway fesul Availability Zone rydych chi'n bwriadu ei gwasanaethu, gyda phob tabl isrwyd yn pwyntio at yr un lleol. Cadwch dabl transit gateway a thablau'r VPC yn wrthrychau ar wahân yn eich nodiadau, oherwydd mae un yn dewis atodiad a'r llall yn dewis adnodd y tu mewn i'r VPC. Mae llwybr diofyn yn un ohonynt yn unig yn gadael hanner y llwybr heb ei ddiffinio ac yn cynhyrchu'r methiannau rhannol hynny sy'n anoddaf eu priodoli.

Y llwybr dychwelyd yw lle mae'r dyluniadau hyn yn methu

Mae NAT gateway yn cadw cyflwr ar gyfer fflwyr y mae eisoes wedi'u gweld, felly mae atebion i gysylltiad allanol yn dychwelyd heb reol fewnol newydd. Nid yw'r nodwedd honno'n cyhoeddi gwasanaeth lleol i'r rhyngrwyd, a thrin hynny fel pe bai'n gwneud yw sut mae tîm yn treulio diwrnod yn dadfygio cysylltiad nad oedd byth yn mynd i sefydlu. Ar gyfer traffig sy'n dechrau gyda'r cleient, rhaid i bedair llwybr gytuno: polisi'r safle lleol, tabl transit gateway, tabl isrwyd allan a thabl isrwyd NAT. Os collwch yr un olaf, mae'r cais yn gadael yr adeilad tra bo'r ateb yn marw y tu mewn i AWS.

Dilyswch gyda chleient go iawn y tu ôl i'r VPN a gwiriwch pa gyfeiriad ffynhonnell cyhoeddus y mae'n ei gyflwyno. Os mai elastic IP y NAT gateway yw hi, mae cyfieithu yn digwydd; os mai rhywbeth arall yw hi, rydych chi'n mesur allan gwahanol.

Mae'n werth adnabod fersiwn anghymesur y methiant hwn yn gynnar. Pan fo tabl isrwyd NAT un Availability Zone yn dal y llwybr yn ôl i ragddodiad y cleient ac un arall heb, mae cysylltiadau newydd yn llwyddo neu'n methu yn ôl y parth y mae'r fflwyr yn glanio ynddo, ac mae'r patrwm yn cael ei ddarllen yn anghywir fel rhyngrwyd simsan. Cymharwch y tablau isrwyd ar gyfer pob parth rydych chi'n ei wasanaethu yn lle trwsio'r un lle cafodd y tocyn ei godi, oherwydd y llwybr coll yw'r nam cyfan ac nid oes angen newid dim ar yr ochr arall.

Pryd mae proxy penodol yn ddyluniad gwell

Mae proxy HTTP ar achos yn y VPC allan yn ddewis cyfreithlon ac yn aml yn rhatach. Mae cleientiaid yn cael eu ffurfweddu i'w ddefnyddio, mae'r proxy yn agor ei gysylltiad ei hun allan, ac mae'r llwybr dychwelyd yn broblem iddo ef yn hytrach na phos llwybro cymesur. Ar gyfer nifer fach o gymwysiadau mae hyn yn tynnu'r rhan fwyaf o'r gwaith transit gateway. Mae hefyd yn rhoi cofnodion fesul defnyddiwr na all NAT gateway eu cynhyrchu.

Nid yw'n dryloyw, fodd bynnag. Bydd unrhyw beth sy'n anwybyddu gosodiadau proxy, a phob protocol nad yw'n HTTP, yn peidio â dilyn y llwybr hwnnw.

Mae'r dewis yn dibynnu ar beth mae eich cymwysiadau yn ei siarad mewn gwirionedd a faint o hunaniaeth sydd ei hangen arnoch yn y cofnodion. Lle maen nhw'n siarad HTTP, mae'r proxy yn ennill ei le; lle mae angen allan cyffredinol ar gyfer protocolau mympwyol, y dyluniad transit gateway yw'r un y mae AWS yn ei gefnogi. Mae penderfynu hynny ymlaen llaw yn rhatach na'i ddarganfod ar ôl adeiladu'r tablau llwybr.