Kaksi AWS-tiliä, yksi paikallinen verkko: mikä polku?
Jaettu Transit Gateway, kaksi itsenäistä VPN:ää vai yksi kapea välityspalvelin: valitse omistajuuden ja vaikutusalueen mukaan, ei sen mukaan, mikä reitti on tänään helpoin lisätä.
Ilmeinen kehys on peering vastaan VPN, ja se on väärä kehys. Peeringillä yhdistetty VPC ei voi lainata naapurinsa VPN-yhteyttä reititykseen reunasta reunaan, joten se vaihtoehto ei ollut koskaan pöydällä, mitä reititystaulukko sitten ehdottaakin. Käytännössä valitset jaetun verkkokeskittimen, kahden itsenäisen VPN-polun ja kapean sovellussisäänkäynnin välillä. Jokainen vastaa eri kysymykseen siitä, kuka omistaa reitityksen.
Kolme vaihtoehtoa ja se, joka ei ole vaihtoehto
Aloita poistamalla peering-ajatus ja vertaa sitten jäljelle jäävää omistajuuden etkä kaavion yksinkertaisuuden perusteella. Alla oleva taulukko on päätös tiivistetyssä muodossa.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Jos tili A tarvitsee pääsyn koko paikalliseen verkkoon, välityspalvelinrivi on väärän muotoinen. Jos tili A tarvitsee yhden API:n, kaksi ensimmäistä riviä ovat enemmän verkkoa kuin vaatimus pyytää.
Milloin jaettu Transit Gateway voittaa
Transit Gateway liittää jokaisen VPC:n ja VPN:n erillisinä verkkoina, ja tilien välinen jakaminen antaa VPC:iden omistajien käyttää keskusta yhdistämättä tilejä. Siinä on vetovoima: yksi paikka, jossa paikalliset etuliitteet kohtaavat AWS-verkot, ja yksi paikka pohtia, mikä liitäntä oppii minkä reitin.
Kaiken liittäminen ei tarkoita kaiken sallimista. Liitos ja levitys päättävät, mikä liitäntä käyttää mitä reititystaulukkoa, joten kaksi VPC-etuliitettä voivat kumpikin tavoittaa paikallisen palvelun, kun niiden keskinäinen pääsy jää keskittimen suunnittelun ulkopuolelle. Paikallinen puoli tarvitsee yhä paluureitit AWS-etuliitteille, ja se on toisen tiimin muutospyyntö.
Kustannus on yhtä lailla organisatorinen kuin taloudellinen. Keskittimen omistaja hallitsee reitityssuhteita, joista muut tiimit riippuvat, joten yhden liitännän muutos voi siirtää liikennettä palvelulle, josta keskittimen omistaja ei ole koskaan kuullut. Liitäntätunnit ja tietojenkäsittely kertyvät jokaisen liitettävän verkon myötä, minkä vuoksi keskukset kasvavat yleensä nopeammin kuin niitä ylläpitävä tiimi.
Milloin erilliset VPN:t tai kapea välityspalvelin voittavat
Kaksi itsenäistä VPN:ää sopii pieneen käyttöönottoon, jossa on todelliset toiminnalliset rajat: kukin tili muuttaa omia tunneleitaan, eikä kumpikaan voi rikkoa toista muokkaamalla reititystaulukkoa. Rajat ovat paikallisella puolella. Vertaisportin täytyy mitoittaa lisätunneleille, osoitesuunnitelmat eivät saa mennä päällekkäin, ja kahden samat etuliitteet mainostavan kokoonpanon tarvitsee tietoisen mieltymyksen, ei toivoa.
Välityspalvelin on kapein rajapinta. Jos tili A tarvitsee yhden tietokannan tai yhden API:n tilillä B, rajattu välittäjä antaa määritellyn sisäänkäynnin, jolla on oma todennus-, lokitus- ja käytettävyystarinansa. Se on myös vaihtoehto, jota todennäköisimmin käytetään väärin: välittäjä, joka välittää eteenpäin jokaiseen yksityiseen kohteeseen, on muuttunut rajoittamattomaksi releeksi lisäaskelilla, eikä se käyttäydy läpinäkyvänä siirtona VPC:stä paikalliseen verkkoon millekään muulle.
Kannattaa lukea VPC-peeringin rajoitukset ennen mitään tätä, koska ne selittävät, miksi neljäs ajatus tulee jatkuvasti takaisin ja miksi se ei voi toimia.
Valitse kapein rajapinta, joka täyttää vaatimuksen
Järjestä kysymykset: tarvitseeko A verkon, joukon verkkoja vai yhden palvelun? Haluaako paikallinen tiimi yhden polun vai useita? Kuka saa muuttaa toisen tiimin liikenteen reititystä? Ensimmäinen vastaus, joka tuottaa kapeimman rajapinnan, on arkkitehtuuri, ja kaikki sen jälkeen on toteutusta.
Kirjaa vastaus etuliitesuunnitelman, reittien omistajuuden, tunnelien tai liitäntöjen luettelon ja kummankin puolen odottaman vikatilan kanssa. Kun joku myöhemmin kysyy, miksei tili A voi yksinkertaisesti käyttää tilin B VPN:ää, se kirjaus on vastaus, ja se säästää sinut samojen kolmen vaihtoehdon uudelleen käsittelyltä seuraavassa projektissa.