Προσθήκη τοπικού υποδικτύου σε AWS VPN: VGW ή Transit Gateway

Ένα υπάρχον Site-to-Site VPN μεταφέρει το 10.60.0.0/16, ένα νέο δίκτυο υπηρεσίας εμφανίζεται πίσω από την ίδια τοπική πύλη ως 10.70.0.0/16 και κάποιος ρωτά αν χρειάζεται proxy. Συνήθως όχι: μια δρομολογημένη διαδρομή μπορεί να μεταφέρει το πρόθεμα, αλλά μόνο αν τρία πράγματα ευθυγραμμιστούν, και ποια τρία εξαρτάται από την αρχιτεκτονική AWS που ήδη εκτελείτε. Μια εικονική ιδιωτική πύλη έχει ένα όριο πίνακα δρομολόγησης· ένα transit gateway προσθέτει δεύτερο. Σωστή ανακοίνωση και λάθος πίνακας παράγει συνεδρία που φαίνεται υγιής και δεν παραδίδει τίποτα.

Δημοσιεύστε ένα πρόθεμα που η πύλη μπορεί πραγματικά να παραδώσει

Η τοπική πύλη χρειάζεται διαδρομή προς το νέο δίκτυο πριν αποκτήσει νόημα οποιαδήποτε ανακοίνωση. Η ανακοίνωση του 10.70.0.0/16 μέσω BGP λέει στην AWS πού να στέλνει πακέτα για αυτό το εύρος· δεν δημιουργεί την τοπική διαδρομή προώθησης που κάνει το εύρος προσβάσιμο στο άλλο άκρο. Επιβεβαιώστε ότι η πύλη έχει διαδρομή για το πρόθεμα που δείχνει στη συσκευή που το κρατά και ότι η συσκευή είναι ρυθμισμένη να απαντά για αυτές τις διευθύνσεις. Η πολιτική εξαγωγής και τα αποδεκτά όρια προθεμάτων είναι ο επόμενος περιορισμός, γιατί ένα πρόθεμα που η συνεδρία φιλτράρει δεν φτάνει καθόλου στην AWS.

Κρατήστε τις συναθροίσεις και τις πιο συγκεκριμένες διαδρομές σκόπιμες. Οι επικαλυπτόμενες διαδρομές που έρχονται από δύο κατευθύνσεις είναι απόφαση σχεδιασμού, όχι λεπτομέρεια που ανακαλύπτεται αργότερα.

Διαδρομή πρώτη: το όριο της εικονικής ιδιωτικής πύλης

Με εικονική ιδιωτική πύλη, η τεκμηρίωση δρομολόγησης του AWS VPN περιγράφει δύο τρόπους διανομής, στατικές διαδρομές και ανακοινώσεις BGP, και οι δύο εξαρτώνται από τον πίνακα δρομολόγησης υποδικτύου που χρησιμοποιεί πράγματι η εφαρμογή. Η διάδοση είναι βολική όταν ελέγχετε όλο το εύρος και μια ρητή διαδρομή είναι ευκολότερο να αιτιολογηθεί όταν θέλετε τον προορισμό δίπλα στον στόχο. Σε κάθε περίπτωση ο έλεγχος είναι ίδιος: περιέχει ο πίνακας του συγκεκριμένου υποδικτύου εφαρμογής λειτουργική διαδρομή προς τον στόχο VPN για το νέο πρόθεμα και κερδίζει απέναντι σε κάτι πιο συγκεκριμένο;

Μια υγιής συνεδρία BGP αποδεικνύει ότι το κανάλι υπάρχει. Δεν λέει τίποτα για το αν ένας δεδομένος πίνακας υποδικτύου κατανάλωσε τη διαδρομή.

Διαδρομή δεύτερη: το transit gateway προσθέτει πίνακα

Ένα transit gateway χωρίζει αυτή την ερώτηση σε δύο. Το υποδίκτυο VPC πρέπει να στείλει τον προορισμό στη σύνδεση του transit gateway και μετά ο πίνακας δρομολόγησης του transit gateway πρέπει να επιλέξει τη σύνδεση VPN για το ίδιο πρόθεμα. Οι επιλογές συσχέτισης και διάδοσης καθορίζουν ποια συνδεδεμένα δίκτυα λαμβάνουν τη διαδρομή, οπότε ένα πρόθεμα μπορεί να ανακοινωθεί σωστά από το VPN και παρόλα αυτά να μη φτάσει ποτέ στο VPC του οποίου ο πίνακας δεν συσχετίστηκε ποτέ με τον σωστό πίνακα δρομολόγησης.

Η συνηθισμένη αποτυχία είναι μια διαδρομή που υπάρχει στον ένα πίνακα και όχι στον άλλο, με κάθε ομάδα πεπεισμένη ότι η δική της πλευρά είναι σωστή. Όταν συγκρίνετε τις δύο αρχιτεκτονικές, αυτό το επιπλέον όριο είναι όλη η διαφορά: περισσότερα σημεία ελέγχου και ακριβέστερος έλεγχος του ποιος παίρνει τη διαδρομή.

Ούτε η διάδοση διαδρομών δίνει το πρόθεμα σε κάθε σύνδεση. Το διανέμει στους πίνακες που είναι ρυθμισμένοι να το λαμβάνουν.

Η διαδρομή επιστροφής είναι δική της απόφαση πολιτικής

Η κίνηση που φτάνει είναι μόνο το μισό της ανταλλαγής. Το νέο τοπικό δίκτυο χρειάζεται διαδρομή πίσω στα προθέματα προέλευσης της AWS μέσω της σωστής πύλης και η πολιτική ασφαλείας και στα δύο άκρα πρέπει να επιτρέπει αυτό το ζεύγος προέλευσης και προορισμού. Αν η σήραγγα διαπραγματεύεται εύρος προστασίας με επιλογείς κίνησης, το νέο πρόθεμα πρέπει να είναι μέσα του, αλλιώς το πακέτο απορρίπτεται πριν ερωτηθεί οποιοσδήποτε πίνακας δρομολόγησης.

Η επικάλυψη διευθύνσεων είναι η άλλη παγίδα. Μη επικαλυπτόμενα, ρητά ιδιόκτητα εύρη κρατούν αυτό απλό· τα επικαλυπτόμενα εύρη σημαίνουν μετάφραση ή ανασχεδιασμό, και κανένα από τα δύο δεν είναι εναλλάξιμη παραλλαγή της ίδιας συνταγής.

Δοκιμάστε με προέλευση στο νέο δίκτυο και προορισμό στο υποδίκτυο εφαρμογής και επαναλάβετε στην άλλη κατεύθυνση. Μια μονόδρομη δοκιμή αποδεικνύει μία κατεύθυνση.

Πότε το proxy είναι πραγματικά το καλύτερο όριο

Ένα proxy κερδίζει τη θέση του όταν η απαίτηση είναι στενή διεπαφή υπηρεσίας, όταν η εφαρμογή περιμένει ήδη αυτή την αρχιτεκτονική ή όταν η διαδρομή δικτύου δεν μπορεί να μεταφέρει το πρόθεμα χωρίς μετάφραση που δεν θέλετε. Δεν είναι η εφεδρική λύση για μια καταχώριση πίνακα δρομολόγησης που δεν έλεγξε κανείς.

Αποφασίστε με αυτή τη σειρά: τοπική προώθηση, ανακοίνωση, όριο πίνακα, πολιτική επιστροφής. Διορθώστε το πρώτο που αποτυγχάνει και μόνο τότε ρωτήστε αν η δρομολογημένη διαδρομή είναι καθόλου η σωστή απάντηση.