Unu loko-al-loka VPN por pluraj VPC sur AWS Transit Gateway
Konektu la VPN unufoje kaj ĉiun VPC al unu transporta enirejo, poste apartigu asociadon disde disvastigo por ke la radioj atingidu la oficejon sed ne unu la alian.
Du VPC-oj bezonas la oficejan reton ĉi tiu kvaronjaro, kaj ĝuste ĉe la dua tunelo la takso rompiĝas. AWS Transit Gateway povas roli kiel komuna enkursiga centro: la VPN konektiĝas unufoje, kaj ĉiu VPC konektiĝas al la sama centro. Poste la loka reto atingas ĉiun konektitan VPC per unu konekto. Tio ŝanĝas kiu posedas la enkursigan decidon, kaj ĝuste tion plej multaj dizajnoj maltrafas.
La VPN-aldonaĵo kaj la VPC-aldonaĵoj estas apartaj objektoj sur la sama enirejo, tial la enkursigaj rilatoj devas esti konstruitaj poste.
On-premises network <-> Site-to-Site VPN <-> Transit Gateway
|- VPC A
|- VPC BKial kunligado ne estas la fuŝrimedo, kiun oni esperas
La tentiga alternativo estas fini la VPN sur VPC A kaj samrange kunligi VPC B al ĝi. Ordinara VPC-samranga kunligado ne donas transiron de rando al rando tra la VPN-konekto de A. Samaĝulo atingas la adresojn, kiujn la kunligado mem provizas, kaj VPN-rando ne estas unu el ili. Transiron donas centro; kunligado donas paron.
Tiu limigo estas eco de kunligado, ne kvoto, kiun vi povas altigi.
Asociado kaj disvastigo faras malsamajn laborojn
Ene de la transporta enirejo, asociado elektas la enkursigan tabelon uzatan por serĉi trafikon alvenantan de aldonaĵo. Disvastigo decidas, kiuj tabeloj ricevas la lernitajn aŭ konektitajn prefiksojn de aldonaĵo. Unu aldonaĵo povas asociiĝi al unu tabelo dum ĝi disvastiĝas en plurajn. Konfuzi la du estas la maniero, kiel dizajno finiĝas kun atingeblo, kiun neniu planis.
Plene konektita malgranda centro estas la facila kazo.
Metu ĉiun aldonaĵon en unu tabelon kaj la VPN kune kun ambaŭ VPC-prefiksoj solviĝas pure. Tio ankaŭ permesas atingeblon inter VPC-oj, kiun la organizo eble neniam intencis, ĉar komuna tabelo ne konas la nocion de radio.
La vojoj de laborkvantoj loĝas aliloke
Ĉiu subreto de laborkvanto ankoraŭ bezonas sian propran vojon al la transporta enirejo por la celataj lokaj prefiksoj. Tiuj VPC-enkursigaj tabeloj estas apartaj objektoj de la propraj tabeloj de la transporta enirejo. Aldonu la prefiksojn, kiujn vi bezonas, kaj konservu ekzistantajn vojojn anstataŭ anstataŭigi ĉiun celon per nova default. Ankaŭ subreta vojo anoncas nenion al la klienta aparato.
Elektu dinamikan aŭ statikan enkursigadon konscie; kunligado donas neniun el ambaŭ.
Izolu radiojn sen perdi lokan aliron
Kiam A kaj B ambaŭ rajtas atingi la oficejon sed ne rajtas enkursigi unu al la alia, dividu la tabelojn. La asociita tabelo de la VPN-aldonaĵo tenas la VPC-prefiksojn. La asociita tabelo de la VPC-aldonaĵoj tenas la lokajn prefiksojn, sen vojo kunliganta A kun B. Disvastigo produktas tiun rilaton, do vi neniam devas akcepti ĉiun defaŭltan asociadon.
Tio estas enkursiga izolado, kaj ĝi ne estas aplikaĵa rajtigo.
Sekurecaj grupoj, retaj alirlistoj, gastigantaj fajroŝirmiloj kaj la propraj permesoj de ĉiu servo ankoraŭ decidas, kiu trafiko estas allasata. Se inspektado necesas, planu ĝian subtenatan vojon eksplicite anstataŭ supozi, ke la centro plenumas ĝin.
Kion la centro ne riparas
Adresplanoj ankoraŭ devas ne interkovriĝi, ĉar la centro ne permesas al unu prefikso identigi du laborkvantojn. Ĉiu VPC-aldonaĵo bezonas la kovradon de Availability Zone, kiun atendas ĝiaj laborkvantoj. Kun BGP, la vojoj de la klienta aparato reen al ĉiu bezonata prefikso devas kongrui kun la dizajno kaj ĝia importa politiko. Mankanta anonco aspektas ĝuste kiel rompita tunelo.
La VPN-konekto kaj la transporta enirejo nun estas komuna infrastrukturo.
Planu tunelan redundon, aparatan kapaciton, monitoradon kaj prizorgadon ĉirkaŭ ĉiuj dependaj VPC-oj anstataŭ trakti ĉiun kvazaŭ sendepende konektita.
Migrado de ekzistanta virtual private gateway-aranĝo meritas la saman eksplicitan planon. Konstruu la aldonaĵojn kaj politikojn, movu unu kontrolitan laborkvantan vojon, kaj konfirmu la permesitajn kaj malpermesitajn rilatojn antaŭ ol forigi la malnovan vojon. Centrigo helpas, kiam ĝi donas al la retteamo unu lokon por administri komunan konektecon, kaj malhelpas, kiam ĝi kaŝas, kiu rajtas atingi kiun malantaŭ unu granda tabelo.