In lokaal subnet tafoegje oan in AWS VPN: VGW fersus Transit Gateway

In besteande Site-to-Site VPN ferfiert 10.60.0.0/16, efter deselde lokale gateway ferskynt in nij tsjinstnetwurk as 10.70.0.0/16, en immen freget oft in proxy nedich is. Meastentiids net: in rûte paad kin it foarheaksel ferfiere, mar allinnich as trije dingen gearfalle, en hokker trije hinget ôf fan de AWS-arsjitektuer dy’t jo al driuwe. In firtuele partikuliere gateway hat ien rûtetabelgrins; in transit gateway foeget in twadde ta. Oankundiging goed en tabel ferkeard jout in sesje dy’t sûn liket en neat leveret.

Publisearje in foarheaksel dat de gateway wier leverje kin

De lokale gateway hat in trochgeande rûte nei it nije netwurk nedich foar’t in oankundiging betsjutting hat. 10.70.0.0/16 fia BGP oankundigje fertelt AWS wêr’t pakketten foar dat berik hinne moatte; it makket it lokale trochstjoerpaad net dat it berik oan ’e oare kant berikber makket. Befêstigje dat de gateway in rûte foar it foarheaksel hat dy’t nei it apparaat wiist dat it hâldt, en dat it apparaat konfigurearre is om foar dy adressen te antwurdzjen. Eksportbelied en akseptearre foarheakselgrinzen binne de folgjende beheining, want in foarheaksel dat de sesje útfilteret berikt AWS hielendal net.

Hâld aggregaat en mear spesifike rûtes bewust. Oerlaapjende paden dy’t fan twa kanten komme binne in ûntwerpbeslissing, gjin detail om letter te ûntdekken.

Paad ien: de grins fan ’e firtuele partikuliere gateway

By in firtuele partikuliere gateway beskriuwt de AWS VPN-rûtingsdokuminaasje twa distribúsjemodi, statyske rûtes en BGP-oankundigingen, en beide hingje ôf fan de subnetrûtetabel dy’t de applikaasje eins brûkt. Propagation is handich as jo it hiele berik kontrolearje, en in eksplisite rûte is makliker te beredenearen as jo de bestimming neist it doel wolle. Yn beide gefallen is de kontrôle itselde: hat de tabel fan it konkrete applikaasjesubnet in wurkjend paad nei it VPN-doel foar it nije foarheaksel, en wint it fan eat mear spesifyk?

In sûne BGP-sesje bewiist dat it kanaal bestiet. It seit neat oer oft in beskaat subnettabel de rûte konsumearre hat.

Paad twa: de transit gateway foeget in tabel ta

In transit gateway splitst dy iene fraach yn twa. It VPC-subnet moat de bestimming nei de transit gateway-oansluting stjoere, en dan moat de transit gateway-rûtetabel de VPN-oansluting foar itselde foarheaksel kieze. Assosjaasje- en propagationkarren beslute hokker oansletten netwurken de rûte krije, dus in foarheaksel kin korrekt troch de VPN oankundige wurde en dochs nea it VPC berikke waans tabel nea oan ’e juste rûtetabel keppele waard.

De gewoane flater is in rûte dy’t yn ’e iene tabel bestiet en net yn ’e oare, wylst elk team oertsjûge is dat syn kant korrekt is. As jo de twa arsjitektueren fergelykje, is dizze ekstra grins it hiele ferskil: mear plakken om te sjen, en krekter kontrôle oer wa’t de rûte krijt.

Rûtpropagation jout ek net elke oansluting it foarheaksel. It ferspriedt it nei de tabellen dy’t konfigurearre binne om it te ûntfangen.

It weromreispaad is in eigen beliedsbeslissing

Ferkeer dat oankomt is mar de helte fan ’e útwikseling. It nije lokale netwurk hat in rûte werom nei de AWS-boarnefoarheaksels fia de juste gateway nedich, en it feiligensbelied oan beide kanten moat dat pear fan boarne en bestimming tastean. As de tunnel in beskermingsomfang mei ferkearsselekteurs ûnderhannelet, moat it nije foarheaksel deryn sitte, oars wurdt it pakket weilitten foar’t in rûtetabel rieplachte wurdt.

Adresoerlaap is de oare falstrik. Losse, eksplisyt eigene berikken hâlde dit ienfâldich; oerlaapjende berikken betsjutte oersetting of in werûntwerp, en gjin fan beide is in útwikselbere fariant fan itselde resept.

Test mei in boarne yn it nije netwurk en in bestimming yn it applikaasjesubnet, en werhelje dan yn ’e oare rjochting. In ienrjochtingstest bewiist ien rjochting.

Wannear’t de proxy wier de bettere grins is

In proxy fertsjinnet syn plak as de eask in smelle tsjinstynterface is, as de applikaasje dy arsjitektuer al ferwachtet, of as it netwurkpaad it foarheaksel net drage kin sûnder oersetting dy’t jo net wolle. It is net de fallback foar in rûtetabelynfier dy’t nimmen kontrolearre hat.

Beslis yn dizze folchoarder: lokaal trochstjoere, oankundiging, tabelgrins, weromreisbelied. Reparearje it earste dat mislearret, en freegje pas dan oft it rûte paad yndie it goede antwurd is.