Aldoni lokan subreton al AWS VPN: VGW kontraŭ Transit Gateway

Ekzistanta Site-to-Site VPN portas 10.60.0.0/16, nova serva reto aperas malantaŭ la sama loka pordego kiel 10.70.0.0/16, kaj iu demandas ĉu necesas prokura servilo. Kutime ne: enkursigita vojo povas porti la prefikson, sed nur se tri aferoj koincidas, kaj kiuj tri dependas de la AWS-arkitekturo, kiun vi jam funkciigas. Virtuala privata pordego havas unu limon de enkursigilo-tabelo; transit gateway aldonas duan. Ĝusta anonco kaj malĝusta tabelo produktas sesion, kiu aspektas sana kaj transdonas nenion.

Publikigu prefikson, kiun la pordego povas efektive transdoni

La loka pordego bezonas pluan vojon al la nova reto antaŭ ol iu ajn anonco havas sencon. Anonci 10.70.0.0/16 per BGP diras al AWS kien sendi pakaĵojn por tiu intervalo; ĝi ne kreas la lokan plusendan vojon, kiu igas la intervalon atingebla ĉe la alia fino. Konfirmu, ke la pordego havas vojon por la prefikso montrantan al la aparato, kiu tenas ĝin, kaj ke la aparato estas agordita respondi por tiuj adresoj. Elporta politiko kaj akceptitaj prefiksaj limoj estas la sekva limigo, ĉar prefikso, kiun la sesio filtros, tute ne atingas AWS.

Tenu agregatojn kaj pli specifajn vojojn intence. Interkovrantaj vojoj venantaj el du direktoj estas projektdecido, ne detalo malkovrota poste.

Vojo unu: la limo de la virtuala privata pordego

Ĉe virtuala privata pordego, la AWS VPN-enkursiga dokumentaro priskribas du distribuajn modojn, statikajn vojojn kaj BGP-anoncojn, kaj ambaŭ dependas de la subreta enkursigilo-tabelo, kiun la aplikaĵo efektive uzas. Disvastigo estas oportuna, kiam vi regas la tutan intervalon, kaj eksplicita vojo estas pli facile rezonata, kiam vi volas la celon listigita apud la celobjekto. Ĉiuokaze la kontrolo samas: ĉu la tabelo de la konkreta aplika subreto enhavas funkciantan vojon al la VPN-celo por la nova prefikso, kaj ĉu ĝi venkas kontraŭ io pli specifa?

Sana BGP-sesio pruvas, ke la kanalo ekzistas. Ĝi diras nenion pri tio, ĉu donita subreta tabelo konsumis la vojon.

Vojo du: transit gateway aldonas tabelon

Transit gateway dividas tiun unu demandon en du. La VPC-subreto devas sendi la celon al la transit gateway-aliĝo, kaj poste la transit gateway-enkursigilo-tabelo devas elekti la VPN-aliĝon por tiu sama prefikso. Elektoj de asocio kaj disvastigo decidas, kiuj aliĝintaj retoj ricevas la vojon, do prefikso povas esti ĝuste anoncita de la VPN kaj tamen neniam atingi la VPC, kies tabelo neniam estis asociita kun la ĝusta enkursigilo-tabelo.

La ordinara fiasko estas vojo, kiu ekzistas en unu tabelo kaj ne en la alia, dum ĉiu teamo estas konvinkita, ke ĝia flanko pravas. Kiam vi komparas la du arkitekturojn, tiu aldona limo estas la tuta diferenco: pli da lokoj por rigardi kaj pli preciza kontrolo pri tio, kiu ricevas la vojon.

Ankaŭ voja disvastigo ne donas la prefikson al ĉiu aliĝo. Ĝi distribuas ĝin al la tabeloj agorditaj por ricevi ĝin.

La reena vojo estas propra politika decido

Alvenanta trafiko estas nur duono de la interŝanĝo. La nova loka reto bezonas vojon reen al la AWS-fontaj prefiksoj tra la ĝusta pordego, kaj la sekureca politiko ĉe ambaŭ finoj devas permesi tiun paron de fonto kaj celo. Se la tunelo intertraktas protektan amplekson kun trafik-selektiloj, la nova prefikso devas esti ene de ĝi, alie la pakaĵo estas forĵetata antaŭ ol konsulti iun ajn enkursigilo-tabelon.

Adresa interkovro estas la alia kaptilo. Disaj, eksplicite posedataj intervaloj tenas tion simpla; interkovrantaj intervaloj signifas tradukon aŭ redesegnon, kaj neniu el ili estas interŝanĝebla varianto de la sama recepto.

Testu kun fonto en la nova reto kaj celo en la aplika subreto, poste ripetu en la alia direkto. Unudirekta testo pruvas unu direkton.

Kiam la prokura servilo vere estas la pli bona limo

Prokura servilo gajnas sian lokon, kiam la postulo estas mallarĝa serva interfaco, kiam la aplikaĵo jam atendas tiun arkitekturon, aŭ kiam la reta vojo ne povas esti igita porti la prefikson sen traduko, kiun vi ne volas. Ĝi ne estas la rezerva solvo por enkursigilo-tabela ero, kiun neniu kontrolis.

Decidu laŭ ĉi tiu ordo: loka plusendo, anonco, tabela limo, reena politiko. Riparu la unuan, kiu fiaskas, kaj nur poste demandu ĉu la enkursigita vojo entute estas la ĝusta respondo.