Ένα VPN από τοποθεσία σε τοποθεσία για πολλά VPC στο AWS Transit Gateway

Δύο VPC χρειάζονται το δίκτυο του γραφείου αυτό το τρίμηνο, και στη δεύτερη σήραγγα σπάει η εκτίμηση. Το AWS Transit Gateway μπορεί να λειτουργήσει ως κοινός κόμβος δρομολόγησης: το VPN συνδέεται μία φορά και κάθε VPC συνδέεται στον ίδιο κόμβο. Έτσι το τοπικό δίκτυο φτάνει σε κάθε συνδεδεμένο VPC μέσω μίας σύνδεσης. Αυτό αλλάζει ποιος κατέχει την απόφαση δρομολόγησης, και αυτό είναι το σημείο που τα περισσότερα σχέδια κάνουν λάθος.

Η προσάρτηση του VPN και οι προσαρτήσεις των VPC είναι ξεχωριστά αντικείμενα στην ίδια πύλη, γι' αυτό οι σχέσεις δρομολόγησης πρέπει να χτιστούν μετά.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Γιατί το peering δεν είναι η συντόμευση που ελπίζουν

Η δελεαστική εναλλακτική είναι να τερματίσετε το VPN στο VPC A και να συνδέσετε το VPC B με peering σε αυτό. Το συνηθισμένο peering VPC δεν παρέχει διέλευση από άκρη σε άκρη μέσω της σύνδεσης VPN του A. Ένας peer φτάνει στις διευθύνσεις που παρέχει το ίδιο το peering, και μια άκρη VPN δεν είναι μία από αυτές. Η διέλευση είναι αυτό που δίνει ένας κόμβος· το peering σας δίνει ένα ζεύγος.

Αυτός ο περιορισμός είναι ιδιότητα του peering, όχι όριο που μπορείτε να αυξήσετε.

Η συσχέτιση και η διάδοση κάνουν διαφορετική δουλειά

Μέσα στην πύλη διέλευσης, η συσχέτιση επιλέγει τον πίνακα δρομολόγησης που χρησιμοποιείται για την αναζήτηση κίνησης που φτάνει από μια προσάρτηση. Η διάδοση αποφασίζει ποιοι πίνακες λαμβάνουν τα μαθημένα ή συνδεδεμένα προθέματα μιας προσάρτησης. Μία προσάρτηση μπορεί να συσχετιστεί με έναν πίνακα ενώ διαδίδεται σε πολλούς. Το να μπερδεύετε τα δύο είναι ο τρόπος με τον οποίο ένα σχέδιο καταλήγει με προσβασιμότητα που δεν είχε σχεδιάσει κανείς.

Ένας πλήρως συνδεδεμένος μικρός κόμβος είναι η εύκολη περίπτωση.

Βάλτε κάθε προσάρτηση σε έναν πίνακα και το VPN μαζί με τα δύο προθέματα VPC λύνονται καθαρά. Αυτό επιτρέπει επίσης προσβασιμότητα μεταξύ VPC που ο οργανισμός ίσως να μην είχε ποτέ σκοπό, γιατί ένας κοινός πίνακας δεν γνωρίζει την έννοια της ακτίνας.

Οι διαδρομές των φόρτων εργασίας μένουν αλλού

Κάθε υποδίκτυο φόρτου εργασίας χρειάζεται ακόμη τη δική του διαδρομή προς την πύλη διέλευσης για τα επιδιωκόμενα τοπικά προθέματα. Αυτοί οι πίνακες δρομολόγησης των VPC είναι ξεχωριστά αντικείμενα από τους δικούς τους πίνακες της πύλης διέλευσης. Προσθέστε τα προθέματα που χρειάζεστε και διατηρήστε τις υπάρχουσες διαδρομές αντί να αντικαταστήσετε κάθε προορισμό με ένα νέο default. Μια διαδρομή υποδικτύου επίσης δεν διαφημίζει τίποτα στη συσκευή του πελάτη.

Επιλέξτε δυναμική ή στατική δρομολόγηση συνειδητά· το peering δεν παρέχει καμία από τις δύο.

Απομονώστε τις ακτίνες χωρίς να χάσετε την τοπική πρόσβαση

Όταν το A και το B μπορούν και τα δύο να φτάσουν στο γραφείο αλλά δεν πρέπει να δρομολογούν το ένα στο άλλο, χωρίστε τους πίνακες. Ο συσχετισμένος πίνακας της προσάρτησης VPN κρατά τα προθέματα των VPC. Ο συσχετισμένος πίνακας των προσαρτήσεων VPC κρατά τα τοπικά προθέματα, χωρίς διαδρομή που ενώνει το A με το B. Η διάδοση παράγει αυτή τη σχέση, ώστε να μη χρειάζεται ποτέ να δεχτείτε κάθε προεπιλεγμένη συσχέτιση.

Αυτή είναι απομόνωση δρομολόγησης και δεν είναι εξουσιοδότηση εφαρμογής.

Οι ομάδες ασφαλείας, οι λίστες ελέγχου δικτύου, τα τείχη προστασίας των hosts και τα δικά τους δικαιώματα κάθε υπηρεσίας εξακολουθούν να αποφασίζουν ποια κίνηση γίνεται δεκτή. Αν απαιτείται επιθεώρηση, σχεδιάστε ρητά την υποστηριζόμενη διαδρομή της αντί να υποθέσετε ότι την εκτελεί ο κόμβος.

Τι δεν διορθώνει ο κόμβος

Τα σχέδια διευθύνσεων πρέπει ακόμη να μην επικαλύπτονται, γιατί ο κόμβος δεν επιτρέπει σε ένα πρόθεμα να προσδιορίζει δύο φόρτους εργασίας. Κάθε προσάρτηση VPC χρειάζεται την κάλυψη Availability Zone που περιμένουν οι φόρτοι εργασίας της. Με BGP, οι διαδρομές της συσκευής του πελάτη πίσω σε κάθε απαιτούμενο πρόθεμα πρέπει να ταιριάζουν με το σχέδιο και την πολιτική εισαγωγής του. Μια διαφήμιση που λείπει μοιάζει ακριβώς με σπασμένη σήραγγα.

Η σύνδεση VPN και η πύλη διέλευσης είναι πλέον κοινή υποδομή.

Σχεδιάστε πλεονασμό σηράγγων, χωρητικότητα συσκευών, παρακολούθηση και συντήρηση γύρω από όλα τα εξαρτημένα VPC αντί να αντιμετωπίζετε το καθένα ως ανεξάρτητα συνδεδεμένο.

Η μετάβαση από μια υπάρχουσα διάταξη virtual private gateway αξίζει το ίδιο ρητό σχέδιο. Χτίστε τις προσαρτήσεις και τις πολιτικές, μετακινήστε μία ελεγχόμενη διαδρομή φόρτου εργασίας και επιβεβαιώστε τις επιτρεπόμενες και απορριπτόμενες σχέσεις πριν αποσύρετε την παλιά διαδρομή. Η συγκέντρωση βοηθά όταν δίνει στην ομάδα δικτύου ένα σημείο για τη διαχείριση της κοινής συνδεσιμότητας, και βλάπτει όταν κρύβει ποιος επιτρέπεται να φτάσει ποιον πίσω από έναν μεγάλο πίνακα.