Yksi sivustojen välinen VPN usealle VPC:lle AWS Transit Gateway -palvelussa

Kaksi VPC:tä tarvitsee toimiston verkon tällä neljänneksellä, ja juuri toisessa tunnelissa arvio pettää. AWS Transit Gateway voi toimia jaettuna reitityskeskuksena: VPN kiinnitetään kerran ja kukin VPC kiinnitetään samaan keskukseen. Silloin paikallinen verkko tavoittaa jokaisen kiinnitetyn VPC:n yhden yhteyden kautta. Tämä muuttaa sitä, kuka omistaa reitityspäätöksen, ja juuri siinä useimmat suunnitelmat menevät pieleen.

VPN:n liitäntä ja VPC:iden liitännät ovat erillisiä objekteja samassa yhdyskäytävässä, siksi reitityssuhteet on rakennettava jälkeenpäin.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Miksi peering ei ole se oikotie, jota ihmiset toivovat

Houkkuttava vaihtoehto on päättää VPN VPC A:ssa ja peering-yhdistää VPC B siihen. Tavallinen VPC-peering ei tarjoa reunasta reunaan ulottuvaa siirtoa A:n VPN-yhteyden kautta. Peeri tavoittaa vain ne osoitteet, jotka peering itse tarjoaa, eikä VPN-reuna ole niistä yksi. Siirron antaa keskus; peering antaa pari.

Tämä rajoitus on peeringin ominaisuus, ei kiintiö, jota voisi nostaa.

Liittäminen ja levittäminen tekevät eri työtä

Transit Gateway -yhdyskäytävän sisällä liittäminen valitsee reititystaulun, jota käytetään liitännästä saapuvan liikenteen hakuun. Levittäminen päättää, mitkä taulut saavat liitännän opitut tai yhdistetyt etuliitteet. Yksi liitäntä voi liittyä yhteen tauluun ja samalla levittyä useaan. Näiden kahden sekoittaminen on tapa, jolla suunnitelma päätyy tavoitettavuuteen, jota kukaan ei suunnitellut.

Täysin yhdistetty pieni keskus on helppo tapaus.

Laita jokainen liitäntä yhteen tauluun, niin VPN ja molemmat VPC-etuliitteet ratkeavat puhtaasti. Tämä sallii myös VPC:iden välisen tavoitettavuuden, jota organisaatio ei ehkä koskaan tarkoittanut, koska jaetulla taululla ei ole haaran käsitettä.

Työkuormien reitit asuvat muualla

Jokainen työkuorman aliverkko tarvitsee edelleen oman reittinsä kohti Transit Gateway -yhdyskäytävää aiottuja paikallisia etuliitteitä varten. Ne VPC-reititystaulut ovat erillisiä objekteja yhdyskäytävän omista tauluista. Lisää tarvitsemasi etuliitteet ja säilytä olemassa olevat reitit sen sijaan, että korvaisit jokaisen kohteen uudella oletusreitillä. Aliverkon reitti ei myöskään mainosta mitään asiakaslaitteelle.

Valitse dynaaminen tai staattinen reititys tarkoituksella; peering ei tarjoa kumpaakaan.

Eristä haarat menettämättä paikallista pääsyä

Kun A ja B saavat molemmat tavoittaa toimiston mutta eivät saa reitittyä toisiinsa, jaa taulut. VPN:n liitännän liitetty taulu sisältää VPC-etuliitteet. VPC:iden liitäntöjen liitetty taulu sisältää paikalliset etuliitteet, ilman reittiä, joka yhdistää A:n B:hen. Levittäminen tuottaa tämän suhteen, joten sinun ei tarvitse koskaan hyväksyä kaikkia oletusliitäntöjä.

Tämä on reitityseristys, eikä se ole sovelluksen valtuutus.

Tietoturvaryhmät, verkon ACL:t, isäntien palomuurit ja kunkin palvelun omat käyttöoikeudet päättävät edelleen, mikä liikenne sallitaan. Jos tarkastus vaaditaan, suunnittele sen tuettu polku nimenomaisesti sen sijaan, että olettaisit keskuksen tekevän sen.

Mitä keskus ei korjaa

Osoitesuunnitelmien on edelleen oltava päällekkäisyyttä vailla, koska keskus ei salli yhden etuliitteen tunnistaa kahta työkuormaa. Jokainen VPC-liitäntä tarvitsee sen Availability Zone -kattavuuden, jota sen työkuormat odottavat. BGP:n kanssa asiakaslaitteen reittien takaisin jokaiseen vaadittuun etuliitteeseen on vastattava suunnitelmaa ja sen tuontikäytäntöä. Puuttuva mainos näyttää täsmälleen katkenneelta tunnelilta.

VPN-yhteys ja Transit Gateway ovat nyt jaettua infrastruktuuria.

Suunnittele tunnelien redundanssi, laitteiden kapasiteetti, valvonta ja ylläpito kaikkien riippuvaisten VPC:iden ympärille sen sijaan, että kohtelisit jokaista itsenäisesti yhdistettynä.

Siirtyminen olemassa olevasta virtual private gateway -järjestelystä ansaitsee saman nimenomaisen suunnitelman. Rakenna liitännät ja käytännöt, siirrä yksi valvottu työkuorman polku ja vahvista sallitut ja kielletyt suhteet ennen vanhan polun poistamista. Keskittäminen auttaa, kun se antaa verkkotiimille yhden paikan hallita jaettua yhteyttä, ja haittaa, kun se piilottaa yhden suuren taulun taakse, kuka saa tavoittaa kenet.