Kohaliku alavõrgu lisamine AWS VPN-ile: VGW versus Transit Gateway

Olemasolev Site-to-Site VPN kannab 10.60.0.0/16, sama kohaliku lüüsi taga ilmub uus teenusvõrk kui 10.70.0.0/16, ja keegi küsib, kas puhverserverit on vaja. Tavaliselt ei ole: marsruuditud tee suudab eesliidet kanda, aga ainult siis, kui kolm asja klapivad, ja millised kolm, sõltub AWS-arhitektuurist, mida juba kasutate. Virtuaalsel privaatsel lüüsil on üks marsruutimistabeli piir; transit gateway lisab teise. Õige teavitus ja vale tabel annavad seansi, mis näeb terve välja ja ei toimeta midagi kohale.

Avaldage eesliide, mida lüüs suudab tegelikult kohale toimetada

Kohalikul lüüsil peab olema edasine tee uude võrku enne, kui ükski teavitus on mõttekas. 10.70.0.0/16 BGP kaudu teatamine ütleb AWS-ile, kuhu selle vahemiku pakette saata; see ei loo kohalikku edastusteed, mis teeb vahemiku teises otsas kättesaadavaks. Kinnitage, et lüüsil on eesliite jaoks marsruut, mis osutab seda hoidvale seadmele, ja et seade on seadistatud nende aadresside eest vastama. Ekspordipoliitika ja aktsepteeritud eesliidete piirid on järgmine piirang, sest eesliide, mille seanss välja filtreerib, ei jõua AWS-ini üldse.

Hoidke agregaadid ja täpsemad marsruudid teadlikena. Kahest suunast saabuvad kattuvad teed on projekteerimisotsus, mitte hiljem avastatav detail.

Tee üks: virtuaalse privaatse lüüsi piir

Virtuaalse privaatse lüüsi puhul kirjeldab AWS VPN-i marsruutimise dokumentatsioon kahte jaotusrežiimi, staatilisi marsruute ja BGP-teavitusi, ning mõlemad sõltuvad alavõrgu marsruutimistabelist, mida rakendus tegelikult kasutab. Propagatsioon on mugav, kui kontrollite kogu vahemikku, ja selge marsruut on lihtsamini põhjendatav, kui soovite sihtkoha loetleda sihtmärgi kõrval. Mõlemal juhul on kontroll sama: kas konkreetse rakenduse alavõrgu tabelis on uue eesliite jaoks toimiv tee VPN-i sihtmärgini ja kas see võidab midagi täpsemat?

Terve BGP-seanss tõestab, et kanal on olemas. See ei ütle midagi selle kohta, kas antud alavõrgu tabel marsruudi vastu võttis.

Tee kaks: transit gateway lisab tabeli

Transit gateway jagab selle ühe küsimuse kaheks. VPC alavõrk peab saatma sihtkoha transit gateway ühendusele ja seejärel peab transit gateway marsruutimistabel valima sama eesliite jaoks VPN-i ühenduse. Seostamise ja propagatsiooni valikud otsustavad, millised ühendatud võrgud marsruudi saavad, nii et eesliidet võib VPN õigesti teatada ja see ei jõua ikkagi kunagi sellesse VPC-sse, mille tabelit ei seostatud kunagi õige marsruutimistabeliga.

Tavaline tõrge on marsruut, mis on ühes tabelis ja puudub teises, kusjuures iga meeskond on veendunud, et tema pool on õige. Kahe arhitektuuri võrdlemisel on see lisapiir kogu erinevus: rohkem kohti, kuhu vaadata, ja täpsem kontroll selle üle, kes marsruudi saab.

Ka marsruutide propagatsioon ei anna eesliidet igale ühendusele. See jaotab selle tabelitesse, mis on seadistatud seda vastu võtma.

Tagasitee on omaette poliitikaotsus

Saabuv liiklus on vaid pool vahetusest. Uuel kohalikul võrgul peab olema tagasitee AWS-i lähteesliideteni õige lüüsi kaudu ja mõlema otsa turbepoliitika peab seda lähte- ja sihtpaari lubama. Kui tunnel läbiräägib kaitseulatuse liiklusvalijatega, peab uus eesliide selle sees olema, muidu visatakse pakett kõrvale enne, kui ükskõik millist marsruutimistabelit vaadatakse.

Aadresside kattumine on teine lõks. Eraldiseisvad, selgelt omatud vahemikud hoiavad selle lihtsana; kattuvad vahemikud tähendavad tõlget või ümberprojekteerimist ja kumbki ei ole sama retsepti vahetatav variant.

Testige allikaga uues võrgus ja sihtkohaga rakenduse alavõrgus, seejärel korrake vastassuunas. Ühesuunaline test tõestab ühte suunda.

Millal on puhverserver tõesti parem piir

Puhverserver teenib oma kohta siis, kui nõue on kitsas teenusliides, kui rakendus juba ootab seda arhitektuuri, või kui võrguteed ei saa eesliidet kandma panna ilma tõlketa, mida te ei soovi. See ei ole varulahendus marsruutimistabeli kirje jaoks, mida keegi ei kontrollinud.

Otsustage selles järjekorras: kohalik edastus, teavitus, tabeli piir, tagasitee poliitika. Parandage esimene, mis ebaõnnestub, ja alles siis küsige, kas marsruuditud tee on üldse õige vastus.