Δύο λογαριασμοί AWS, ένα τοπικό δίκτυο: ποια διαδρομή;

Το προφανές πλαίσιο είναι peering έναντι VPN, και είναι το λάθος πλαίσιο. Ένα VPC με peering δεν μπορεί να δανειστεί τη σύνδεση VPN του γείτονά του για δρομολόγηση από άκρη σε άκρη, οπότε αυτή η επιλογή δεν ήταν ποτέ στο τραπέζι, ό,τι κι αν υποδεικνύει ένας πίνακας δρομολόγησης. Αυτό που πραγματικά επιλέγετε είναι μεταξύ ενός κοινού κόμβου δικτύου, δύο ανεξάρτητων διαδρομών VPN και μιας στενής εισόδου εφαρμογής. Κάθε μία απαντά σε διαφορετικό ερώτημα για το ποιος κατέχει τη δρομολόγηση.

Τρεις επιλογές και εκείνη που δεν είναι επιλογή

Ξεκινήστε διαγράφοντας την ιδέα του peering και μετά συγκρίνετε ό,τι απομένει με βάση την ιδιοκτησία και όχι την απλότητα του διαγράμματος. Ο πίνακας παρακάτω είναι η απόφαση σε συμπιεσμένη μορφή.

Αν ο λογαριασμός A χρειάζεται προσβασιμότητα σε ολόκληρο τοπικό δίκτυο, η σειρά του proxy έχει λάθος μορφή. Αν ο λογαριασμός A χρειάζεται ένα API, οι δύο πρώτες σειρές είναι περισσότερο δίκτυο απ' ό,τι ζήτησε η απαίτηση.

Πότε κερδίζει το κοινό Transit Gateway

Ένα Transit Gateway συνδέει κάθε VPC και το VPN ως ξεχωριστά δίκτυα, και η κοινή χρήση μεταξύ λογαριασμών επιτρέπει στους ιδιοκτήτες των VPC να χρησιμοποιούν τον κόμβο χωρίς συγχώνευση λογαριασμών. Αυτό είναι το θέλγητρο: ένα σημείο όπου τα τοπικά προθέματα συναντούν τα δίκτυα AWS, και ένα σημείο για να σκεφτεί κανείς ποια προσάρτηση μαθαίνει ποια διαδρομή.

Η σύνδεση όλων δεν σημαίνει άδεια για όλα. Η συσχέτιση και η διάδοση καθορίζουν ποια προσάρτηση χρησιμοποιεί ποιον πίνακα δρομολόγησης, οπότε δύο προθέματα VPC μπορούν το καθένα να φτάσει σε μια τοπική υπηρεσία ενώ η αμοιβαία πρόσβασή τους παραμένει αποκλεισμένη από τον σχεδιασμό του κόμβου. Η τοπική πλευρά χρειάζεται ακόμη διαδρομές επιστροφής για τα προθέματα AWS, και αυτό είναι αλλαγή άλλης ομάδας.

Το κόστος είναι οργανωτικό όσο και οικονομικό. Ο ιδιοκτήτης του κόμβου ελέγχει σχέσεις δρομολόγησης από τις οποίες εξαρτώνται άλλες ομάδες, οπότε μια αλλαγή σε μία προσάρτηση μπορεί να μετακινήσει κίνηση για μια υπηρεσία που ο ιδιοκτήτης του κόμβου δεν έχει ακούσει ποτέ. Ώρες προσάρτησης και επεξεργασία δεδομένων αθροίζονται με κάθε δίκτυο που προσαρτάτε, γι' αυτό οι κόμβοι συνήθως μεγαλώνουν γρηγορότερα από την ομάδα που τους διαχειρίζεται.

Πότε κερδίζουν ξεχωριστά VPN ή ένα στενό proxy

Δύο ανεξάρτητα VPN ταιριάζουν σε μια μικρή ανάπτυξη με πραγματικά επιχειρησιακά όρια: κάθε λογαριασμός αλλάζει τις δικές του σήραγγες, και κανένα δεν μπορεί να χαλάσει το άλλο επεξεργάζοντας έναν πίνακα δρομολόγησης. Τα όρια βρίσκονται στην τοπική πλευρά. Η πύλη ομοτίμου χρειάζεται χωρητικότητα για τις πρόσθετες σήραγγες, τα σχέδια διευθύνσεων δεν πρέπει να επικαλύπτονται, και δύο διαμορφώσεις που διαφημίζουν τα ίδια προθέματα χρειάζονται σκόπιμη προτίμηση αντί για ελπίδα.

Το proxy είναι η στενότερη διεπαφή. Αν ο λογαριασμός A χρειάζεται μία βάση δεδομένων ή ένα API στον λογαριασμό B, ένας περιορισμένος μεσάζων σάς δίνει καθορισμένη είσοδο με τη δική του ιστορία ελέγχου ταυτότητας, καταγραφής και διαθεσιμότητας. Είναι επίσης η επιλογή με τη μεγαλύτερη πιθανότητα κατάχρησης: ένας μεσάζων που προωθεί σε κάθε ιδιωτικό προορισμό έχει γίνει ένα ρελέ χωρίς περιορισμούς με επιπλέον βήματα, και δεν θα συμπεριφερθεί ως διαφανής μεταφορά από VPC σε τοπικό δίκτυο για τίποτε άλλο.

Αξίζει να διαβάσετε τους περιορισμούς του peering VPC πριν από όλα αυτά, γιατί εξηγούν γιατί η τέταρτη ιδέα επανέρχεται συνεχώς και γιατί δεν μπορεί να λειτουργήσει.

Επιλέξτε τη στενότερη διεπαφή που ικανοποιεί την απαίτηση

Ταξινομήστε τις ερωτήσεις: χρειάζεται το A ένα δίκτυο, ένα σύνολο δικτύων ή μία υπηρεσία; Θέλει η τοπική ομάδα μία διαδρομή ή πολλές; Ποιος επιτρέπεται να αλλάξει τη δρομολόγηση για την κίνηση της άλλης ομάδας; Η πρώτη απάντηση που παράγει τη στενότερη διεπαφή είναι η αρχιτεκτονική, και ό,τι ακολουθεί είναι υλοποίηση.

Καταγράψτε την απάντηση μαζί με το σχέδιο προθεμάτων, την ιδιοκτησία των διαδρομών, το απόθεμα σηράγγων ή προσαρτήσεων και τον τρόπο αστοχίας που περιμένει κάθε πλευρά. Όταν κάποιος ρωτήσει αργότερα γιατί ο λογαριασμός A δεν μπορεί απλώς να χρησιμοποιήσει το VPN του λογαριασμού B, αυτή η καταγραφή είναι η απάντηση, και σας γλιτώνει από το να ξανασυζητήσετε τις ίδιες τρεις επιλογές στο επόμενο έργο.