Gehitu tokiko azpisare bat AWS VPN bati: VGW ala Transit Gateway
BGP iragarki batek AWSri esaten dio norakoa non bidali; ez du tokiko biderik sortzen. Egiaztatu VGW edo transit gateway muga, eta gero itzulera-politika.
Dagoen Site-to-Site VPN batek 10.60.0.0/16 darama, zerbitzu-sare berri bat agertzen da tokiko gateway beraren atzean 10.70.0.0/16 gisa, eta norbaitek galdetzen du proxy bat behar den. Normalean ez: bideratutako bide batek aurrizkia eraman dezake, baina hiru gauza lerrokatu behar dira, eta zein hiru dagoeneko exekutatzen duzun AWS arkitekturaren araberakoa da. Gateway pribatu birtual batek bideratze-taularen muga bat du; transit gateway batek bigarren bat gehitzen du. Iragarkia ondo eta taula gaizki izateak osasuntsu dirudien eta ezer entregatzen ez duen saioa sortzen du.
Argitaratu gatewayak benetan entregatu dezakeen aurrizki bat
Tokiko gatewayak sare berrirako bide bat behar du edozein iragarkik zentzua izan baino lehen. 10.70.0.0/16 BGP bidez iragartzeak AWSri esaten dio barruti horretarako paketeak norantz bidali; ez du barrutia beste muturrean irisgarri egiten duen tokiko birbidalketa-bidea sortzen. Egiaztatu gatewayak aurrizkiarentzako bide bat duela hura gordetzen duen gailura seinalatzen duena, eta gailua helbide horietarako erantzuteko konfiguratuta dagoela. Esportazio-politika eta onartutako aurrizki-mugak dira hurrengo murrizketa, saioak iragazten duen aurrizki bat ez baita inoiz AWSra iristen.
Eduki itzazu agregatuak eta bide zehatzagoak nahita. Bi norabidetatik datozen bide gainjarriak diseinu-erabakia dira, ez geroago aurkituko den xehetasuna.
Bide bat: gateway pribatu birtualaren muga
Gateway pribatu birtual batekin, AWS VPN bideratze-dokumentazioak bi banaketa-modu deskribatzen ditu, bide estatikoak eta BGP iragarkiak, eta biak aplikazioak benetan erabiltzen duen azpisare-bideratze-taularen mende daude. Hedapena erosoa da barruti osoa kontrolatzen duzunean, eta bide esplizitua errazagoa da arrazoitzeko helmuga helburuaren ondoan zerrendatuta nahi duzunean. Edozein kasutan, egiaztapena bera da: aplikazioaren azpisare zehatzaren taulak bide funtzional bat dauka aurrizki berrirako VPN helburura, eta zehatzago den zerbaitekin irabazten du?
BGP saio osasuntsu batek kanala badagoela frogatzen du. Ez du ezer esaten azpisare-taula jakin batek bidea kontsumitu duen ala ez.
Bide bi: transit gatewayak taula bat gehitzen du
Transit gateway batek galdera hori bitan zatitzen du. VPC azpisareak helmuga transit gateway atxikimendura bidali behar du, eta gero transit gateway bideratze-taulak VPN atxikimendua hautatu behar du aurrizki berbererako. Elkartze- eta hedapen-hautaketek erabakitzen dute zein sare atxikitak jasoko duen bidea, beraz aurrizki bat VPNak behar bezala iragar dezake eta hala ere inoiz iritsi ez den taula bideratze-taula egokiarekin elkartu ez zen VPCra.
Huts egite arrunta hau da: taula batean badagoen eta bestean ez dagoen bide bat, talde bakoitza bere aldea zuzena dela sinetsita. Bi arkitekturak alderatzen dituzunean, muga gehigarri hau da alde guztia: begiratzeko toki gehiago, eta bidea nork jasotzen duen kontrol zehatzagoa.
Bideen hedapenak ere ez dio atxikimendu bakoitzari aurrizkia ematen. Hura jasotzeko konfiguratuta dauden tauletara banatzen du.
Itzulera-bidea bere politika-erabakia da
Iristen den trafikoa trukearen erdia baino ez da. Tokiko sare berriak bide bat behar du AWS jatorrizko aurrizkietara gateway egokiaren bidez, eta bi muturretako segurtasun-politikak jatorri eta helmuga pare hori baimendu behar du. Tunelak babes-eremu bat negoziatzen badu trafiko-hautatzaileekin, aurrizki berria haren barruan egon behar da, edo paketea baztertzen da edozein bideratze-taula kontsultatu aurretik.
Helbideen gainjartzea da beste tranpa. Bata bestearekin mozten ez diren eta jabetza argia duten barrutiek sinple mantentzen dute; gainjartzen diren barrutiek itzulpena edo berriz diseinatzea esan nahi dute, eta bietako bat ere ez da errezeta beraren aldaera trukagarria.
Probatu jatorri bat sare berrian eta helmuga bat aplikazioaren azpisarean, eta gero errepikatu beste norabidean. Norabide bakarreko proba batek norabide bat baino ez du frogatzen.
Noiz da proxy-a benetan muga hobea
Proxy batek bere lekua irabazten du betebeharra zerbitzu-interfaze estua denean, aplikazioak arkitektura hori jada espero duenean, edo sare-bidea aurrizkia eraman ezin denean nahi ez duzun itzulpenik gabe. Ez da inork egiaztatu ez duen bideratze-taula sarrera baten ordezko irtenbidea.
Erabaki ordena honetan: tokiko birbidalketa, iragarkia, taularen muga, itzulera-politika. Konpondu lehenengo huts egiten duena, eta orduan bakarrik galdetu bideratutako bidea ote den erantzun zuzena.