Bi AWS kontu, sare lokal bat: zein bide?
Transit Gateway partekatua, bi VPN independente edo proxy estua: aukeratu jabetzaren eta inpaktu-erradioaren arabera, ez gaur gehitzeko errazena den bidearen arabera.
Ikuspegi begi-bistakoa peeringa VPNaren aurka da, eta ikuspegi okerra da. VPC parekatuek ezin dute beren bizilagunaren VPN konexioa maileguan hartu ertzetik ertzera bideratzeko, beraz aukera hori ez zen inoiz mahai gainean egon, bide-taulak zer iradokitzen duen edozein dela ere. Benetan aukeratzen duzuna sare-hub partekatu bat, bi VPN bide independente eta aplikaziorako sarrera estu bat dira. Bakoitzak bideratzearen jabetzari buruzko galdera desberdina erantzuten du.
Hiru aukera eta aukera ez dena
Hasi peeringaren ideia ezabatuz, eta gero konparatu geratzen dena jabetzaren arabera, ez diagramaren sinpletasunaren arabera. Beheko taula erabakia da forma trinkoan.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
A kontuak sare lokal oso batera iritsi behar badu, proxy ilarak forma okerra du. A kontuak API bat behar badu, lehen bi ilarak eskakizunak eskatzen duena baino sare gehiago dira.
Noiz irabazten du Transit Gateway partekatuak
Transit Gateway batek VPC bakoitza eta VPNa sare bereizi gisa konektatzen ditu, eta kontuen arteko partekatzeak VPCen jabeek huba erabiltzea ahalbidetzen du kontuak batu gabe. Hori da erakargarria: leku bat non tokiko aurrizkiek AWS sareekin egiten duten topo, eta leku bat zein atxikimenduk zein bide ikasten duen arrazoitzeko.
Dena atxikitzeak ez du dena baimentzea esan nahi. Elkarketak eta hedapenak erabakitzen dute zein atxikimenduk zein bide-taula erabiltzen duen, beraz bi VPC aurrizkik tokiko zerbitzu batera irits daitezke bakoitza, haien arteko sarbidea hubaren diseinuak kanpoan utzita. Tokiko aldeak AWS aurrizkientzako itzulera-bideak behar ditu oraindik, eta hori beste talde baten aldaketa-txartela da.
Kostua antolakuntzakoa da finantzarioa bezainbeste. Hubaren jabeak beste taldeek menpe dituzten bideratze-harremanak kontrolatzen ditu, beraz atxikimendu bateko aldaketak hubaren jabeak inoiz entzun ez duen zerbitzu baten trafikoa mugi dezake. Atxikimendu-orduak eta datu-prozesatzea gehitzen dira atxikitzen duzun sare bakoitzarekin, eta horregatik hubak normalean azkarrago hazten dira kudeatzen dituen taldea baino.
Noiz irabazten dute VPN bereiziek edo proxy estu batek
Bi VPN independente ondo datoz benetako eragiketa-mugak dituen hedapen txiki batekin: kontu bakoitzak bere tunelak aldatzen ditu, eta batek ezin du bestea hautsi bide-taula bat editatuz. Mugak tokiko aldean daude. Pareko pasabideak tunel gehigarrietarako ahalmena behar du, helbide-planek ez dute gainjarri behar, eta aurrizki berak iragartzen dituzten bi konfiguraziok nahita egindako lehentasuna behar dute, itxaropena baino.
Proxy bat da interfazerik estuenetakoa. A kontuak B kontuan datu-base bat edo API bat behar badu, bitartekari mugatu batek sarrera zehaztu bat ematen dizu, autentifikazio, erregistro eta erabilgarritasun istorio propioarekin. Gainera, gaizki erabiltzeko probabilitate handiena duen aukera da: helmuga pribatu guztietara birbidaltzen duen bitartekari bat murrizketarik gabeko errele bihurtu da urrats gehigarriekin, eta ez da gardentasun osoz jokatuko VPCtik sare lokalera, beste ezerentzat.
Hona hemen VPC peeringaren murrizketak irakurtzea merezi du, horrek azaltzen baititu zergatik laugarren ideia behin eta berriz itzultzen den eta zergatik ezin duen funtzionatu.
Aukeratu eskakizuna betetzen duen interfazerik estuena
Ordenatu galderak: A-k sare bat, sare-multzo bat edo zerbitzu bakarra behar du? Tokiko taldeak bide bakarra edo hainbat nahi ditu? Nork alda dezake beste taldearen trafikoaren bideratzea? Interfazerik estuen sortzen duen lehen erantzuna arkitektura da, eta geroztik dena inplementazioa da.
Erregistratu erantzuna aurrizki-planarekin, bideen jabetzarekin, tuneletako edo atxikimenduetako inbentarioarekin eta alde bakoitzak espero duen hutsegite-moduarekin. Beranduago norbaitek galdetzen duenean zergatik ezin duen A kontuak B kontuaren VPNa besterik gabe erabili, erregistro hori da erantzuna, eta hurrengo proiektuan hiru aukera berak berriro eztabaidatzea aurreztuko dizu.