Ychwanegu isrwydwaith lleol at VPN AWS: VGW yn erbyn Transit Gateway

Mae VPN Site-to-Site presennol yn cario 10.60.0.0/16, mae rhwydwaith gwasanaeth newydd yn ymddangos y tu ôl i’r un porth lleol â 10.70.0.0/16, ac mae rhywun yn gofyn a oes angen procsi. Fel arfer nid oes: gall llwybr wedi’i lwybro gario’r rhagddodiad, ond dim ond os yw tri pheth yn cyd-fynd, ac mae pa dri yn dibynnu ar bensaernïaeth AWS rydych eisoes yn ei rhedeg. Mae gan borth preifat rhithwir un ffin tabl llwybro; mae transit gateway yn ychwanegu ail. Mae cael yr hysbyseb yn iawn a’r tabl yn anghywir yn cynhyrchu sesiwn sy’n edrych yn iach ac yn danfon dim.

Cyhoeddwch ragddodiad y gall y porth ei ddanfon mewn gwirionedd

Mae angen llwybr ymlaen i’r rhwydwaith newydd ar y porth lleol cyn i unrhyw hysbyseb fod yn ystyrlon. Mae hysbysebu 10.70.0.0/16 drwy BGP yn dweud wrth AWS ble i anfon pecynnau ar gyfer yr amrediad hwnnw; nid yw’n creu’r llwybr anfon lleol sy’n gwneud yr amrediad yn gyrraeddadwy yn y pen arall. Cadarnhewch fod gan y porth lwybr ar gyfer y rhagddodiad sy’n pwyntio at y ddyfais sy’n ei ddal, a bod y ddyfais wedi’i ffurfweddu i ateb ar gyfer y cyfeiriadau hynny. Polisi allforio a’r terfynau rhagddodiad a dderbynnir yw’r cyfyngiad nesaf, oherwydd nid yw rhagddodiad y mae’r sesiwn yn ei hidlo yn cyrraedd AWS o gwbl.

Cadwch agregau a llwybrau mwy penodol yn fwriadol. Mae llwybrau sy’n gorgyffwrdd ac yn dod o ddau gyfeiriad yn benderfyniad dylunio, nid yn fanylyn i’w ddarganfod yn ddiweddarach.

Llwybr un: ffin y porth preifat rhithwir

Gyda phorth preifat rhithwir, mae dogfennaeth llwybro AWS VPN yn disgrifio dau fodd dosbarthu, llwybrau statig a hysbysebion BGP, ac mae’r ddau yn dibynnu ar y tabl llwybro isrwydwaith y mae’r rhaglen yn ei ddefnyddio mewn gwirionedd. Mae lledaeniad yn gyfleus pan fyddwch yn rheoli’r amrediad cyfan, ac mae llwybr penodol yn haws ei resymu pan fyddwch am weld y gyrchfan wrth ymyl y targed. Naill ffordd neu’r llall, yr un yw’r prawf: a oes gan dabl isrwydwaith penodol y rhaglen lwybr gweithredol i darged y VPN ar gyfer y rhagddodiad newydd, ac a yw’n ennill yn erbyn unrhyw beth mwy penodol?

Mae sesiwn BGP iach yn profi bod y sianel yn bodoli. Nid yw’n dweud dim am a yw tabl isrwydwaith penodol wedi defnyddio’r llwybr.

Llwybr dau: mae transit gateway yn ychwanegu tabl

Mae transit gateway yn rhannu’r un cwestiwn yn ddau. Rhaid i’r isrwydwaith VPC anfon y gyrchfan i atodiad y transit gateway, ac yna rhaid i dabl llwybro’r transit gateway ddewis atodiad y VPN ar gyfer yr un rhagddodiad. Mae dewisiadau cymdeithasu a lledaenu yn penderfynu pa rwydweithiau atodedig sy’n cael y llwybr, felly gellir hysbysebu rhagddodiad yn gywir gan y VPN ac eto byth yn cyrraedd y VPC nas cysylltwyd ei dabl â’r tabl llwybro cywir.

Y methiant cyffredin yw llwybr sy’n bodoli mewn un tabl ac nid yn y llall, gyda phob tîm yn argyhoeddedig bod ei ochr yn gywir. Pan fyddwch yn cymharu’r ddwy bensaernïaeth, y ffin ychwanegol hon yw’r gwahaniaeth i gyd: mwy o leoedd i edrych, a rheolaeth fwy manwl dros bwy sy’n cael y llwybr.

Nid yw lledaeniad llwybrau yn rhoi’r rhagddodiad i bob atodiad chwaith. Mae’n ei ddosbarthu i’r tablau sydd wedi’u ffurfweddu i’w dderbyn.

Mae’r llwybr dychwelyd yn benderfyniad polisi ar wahân

Dim ond hanner y cyfnewid yw’r traffig sy’n cyrraedd. Mae angen llwybr yn ôl i ragddodiadau ffynhonnell AWS drwy’r porth cywir ar y rhwydwaith lleol newydd, ac mae’n rhaid i’r polisi diogelwch ar y ddau ben ganiatáu’r pâr ffynhonnell a chyrchfan hwnnw. Os yw’r tiwnel yn trafod cwmpas amddiffyn â dewiswyr traffig, rhaid i’r rhagddodiad newydd fod y tu mewn iddo, neu mae’r pecyn yn cael ei ollwng cyn i unrhyw dabl llwybro gael ei ystyried.

Mae gorgyffwrdd cyfeiriadau yw’r fagl arall. Mae amrediadau datgysylltiedig ac eglur eu perchnogaeth yn cadw hyn yn syml; mae amrediadau sy’n gorgyffwrdd yn golygu cyfieithu neu ailddylunio, ac nid yw’r un ohonynt yn amrywiad cyfnewidiol o’r un rysáit.

Profwch gyda ffynhonnell yn y rhwydwaith newydd a chyrchfan yn isrwydwaith y rhaglen, yna ailadroddwch i’r cyfeiriad arall. Mae prawf un cyfeiriad yn profi un cyfeiriad yn unig.

Pan fo’r procsi mewn gwirionedd yn ffin well

Mae procsi yn ennill ei le pan fo’r gofyniad yn rhyngwyneb gwasanaeth cul, pan fo’r rhaglen eisoes yn disgwyl y bensaernïaeth honno, neu pan na ellir gwneud y llwybr rhwydwaith i gario’r rhagddodiad heb gyfieithu nad ydych ei eisiau. Nid ef yw’r ateb wrth gefn ar gyfer cofnod tabl llwybro na wiriwyd gan neb.

Penderfynwch yn y drefn hon: anfon lleol, hysbyseb, ffin y tabl, polisi dychwelyd. Trwsiwch yr un cyntaf sy’n methu, a dim ond wedyn gofynnwch ai’r llwybr wedi’i lwybro yw’r ateb cywir o gwbl.