Ien VPN tusken lokaasjes foar ferskate VPC's op AWS Transit Gateway

Twa VPC's hawwe dit kwartaal it kantoarnetwurk nedich, en by de twadde tunnel brekt de skatting. AWS Transit Gateway kin as in mienskiplik routingknooppunt tsjinje: de VPN wurdt ien kear keppele, en elk VPC wurdt oan itselde knooppunt keppele. Dêrnei berikt it lokale netwurk elk keppele VPC fia ien ferbining. Dat feroaret wa't de routingbeslissing hat, en dat is it diel dat de measte ûntwerpen ferkeard krije.

De VPN-oansluting en de VPC-oanslutings binne aparte objekten op deselde gateway, dêrom moatte de routingrelaasjes dêrnei boud wurde.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Wêrom peering net de koartste wei is dêr't minsken op hoopje

It ferloklike alternatyf is om de VPN op VPC A te beëinigjen en VPC B dêroan te peeringjen. Gewoane VPC-peering biedt gjin transit fan râne oant râne troch de VPN-ferbining fan A. In peer berikt de adressen dy't de peering sels leveret, en in VPN-râne is dêr net ien fan. Transit is wat in knooppunt jout; peering jout jo in pear.

Dy beheining is in eigenskip fan peering, net in kwota dy't jo ferheegje kinne.

Assosjaasje en propagaasje dogge ferskillend wurk

Binnen de transit gateway kiest assosjaasje de routingtabel dy't brûkt wurdt om ferkear fan in oansluting op te sykjen. Propagaasje beslút hokker tabellen de learde of ferbûne prefiksen fan in oansluting krije. Ien oansluting kin oan ien tabel assosjearre wêze wylst it yn ferskate propagearret. It ferwikseljen fan beide is hoe't in ûntwerp einiget mei berikberens dy't nimmen pland hie.

In folslein ferbûn lyts knooppunt is it maklike gefal.

Set elke oansluting yn ien tabel en de VPN mei beide VPC-prefiksen lost skjin op. Dat lit ek berikberens tusken VPC's ta dy't de organisaasje miskien nea bedoeld hie, om't in mienskiplike tabel gjin begryp fan in spoke hat.

Rûtes fan wurklasten wenje earne oars

Elk subnet fan in wurklast hat noch altyd syn eigen rûte nei de transit gateway nedich foar de bedoelde lokale prefiksen. Dy VPC-routingtabellen binne aparte objekten fan de eigen tabellen fan de transit gateway. Foegje de prefiksen ta dy't jo nedich hawwe en behâld besteande rûtes ynstee fan elke bestimming te ferfangen troch in nije standert. In subnetrûte advertearret ek neat oan it klantapparaat.

Kies dynamyske of statyske routing bewust; peering leveret gjin fan beide.

Isolearje spoke's sûnder lokale tagong te ferliezen

Wannear't A en B beide it kantoar berikke meie mar net nei elkoar routje meie, splitsje dan de tabellen. De assosjearre tabel fan de VPN-oansluting hâldt de VPC-prefiksen. De assosjearre tabel fan de VPC-oanslutings hâldt de lokale prefiksen, sûnder in rûte dy't A mei B ferbynt. Propagaasje produsearret dy relaasje, dus jo hoege nea elke standertassosjaasje te akseptearjen.

Dit is routingisolaasje, en it is gjin autorisaasje fan de applikaasje.

Feiligensgroepen, netwurk-ACL's, host-firewalls en de eigen tastimmingen fan elke tsjinst beslute noch hokker ferkear talitten wurdt. As ynspeksje nedich is, ûntwerp dan it stipe paad eksplisyt ynstee fan oan te nimmen dat it knooppunt it docht.

Wat it knooppunt net reparearret

Adresplannen moatte noch altyd net oerlappe, om't it knooppunt net tastiet dat ien prefiks twa wurklasten oantsjut. Elk VPC-oansluting hat de Availability Zone-dekking nedich dy't syn wurklasten ferwachtsje. Mei BGP moatte de rûtes fan it klantapparaat werom nei elk fereaske prefiks oerienkomme mei it ûntwerp en syn ymportbelied. In ûntbrekkende advertinsje liket krekt as in brutsen tunnel.

De VPN-ferbining en de transit gateway binne no mienskiplike ynfrastruktuer.

Plan tunnelredundânsje, apparaatkapasiteit, monitoring en ûnderhâld rûnom alle ôfhinklike VPC's ynstee fan elk as selsstannich ferbûn te behanneljen.

Migraasje fan in besteande virtual private gateway-opset fertsjinnet itselde eksplisite plan. Bou de oanslutings en beliedsregels, ferpleats ien kontrolearre rûte fan in wurklast, en befêstigje de tastiene en wegere relaasjes foardat jo it âlde paad ôfslute. Sintralisaasje helpt as it it netwurktiim ien plak jout om mienskiplike ferbining te behearjen, en skeadet as it ferberget wa't wa berikke mei efter ien grutte tabel.