Dield Transit Gateway: wa besit de rûtes yn AWS RAM
RAM-dielen lit in oar account in VPC oanhingje, mar rûtetabellen, assosjaasjes en propagaasjes bliuwe by de gateway-eigner. Hjir is de grins.
In Transit Gateway diele mei Resource Access Manager docht ien spesifyk ding: it lit in oar account in beskate set oanhing-API's oanroppe tsjin in boarne dy't it net besit. It draacht de gateway, syn rûtetabellen of it rjocht om te besluten hoe't ferkear trochjûn wurdt net oer. Minsken nimme oars oan, om't de oanhinging yn 'e console fan 'e ûntfanger ferskynt en daliks wurket, wat as eigendom fielt. It meganisme derûnder is in tastimming op in dielde boarne, en elk bernobjekt bliuwt binnen de accountgrins fan 'e eigner. Dy skieding ferklearret de measte tagong-wegere-kaarten rûn dield transit.
Wat it dielen eins delegearret
In boarnedieling neamt in boarne, in prinsipaal en in behearde tastimming. De tastimming listet de aksjes op dy't dy prinsipaal dwaan mei, en foar in Transit Gateway omfettet dy list oanhingoperaasjes op 'e dielde boarne.
Alles bûten de list mislearret by de API ynstee fan yn 'e console, dêrom ferskynt de flater faak de earste kear dat in skript draait.
Rûtetabellen, assosjaasjes en propagaasjes bliuwe by de eigner
Trochjûn wurde bepaald troch trije bernobjekten: mei hokker rûtetabel in oanhinging assosjearre is, yn hokker tabellen it propagearret, en hokker rûtes dy tabellen hâlde. De dieldokumintaasje fan AWS stelt dat in ûntfanger gjin rûtetabellen fan 'e transit-gateway of har assosjaasjes en propagaasjes fia it dielen meitsje, wizigje of wiskje kin. Dy oproppen hearre by it eigneraccount. In ûntfanger dy't in nije assosjaasje nedich hat, freget om in bestjoerlike feroaring, net om in tastimming út te oefenjen dy't er fergetten is oan te setten.
De tabel hjirûnder is de skieding dy't ik yn ûntwerpdokuminten set, om't er personielswizigings oerlibbet.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Lês de middelste rige soarchfâldich: de VPC-eigner kontrolearret syn subnetrûtes, de gateway-eigner kontrolearret it sintrale trochjûnbeslút, en in wurkjend paad hat beide nedich. Gjin fan beide accounts kin it allinnich foltôgje.
Ien paad, twa accounts
Folgje in pakket fan in spoke-VPC nei in pleatslik prefiks. De spoke-subnetrûtetabel moat dat prefiks nei de transit-gateway-oanhinging stjoere, wat de VPC-eigner feroarje kin. Dêrnei moat de gateway yn 'e assosjearre tabel fan 'e oanhinging in rûte hawwe dy't nei de VPN-oanhinging wiist, wat allinnich de eigner feroarje kin. Weromferkear hat de spegel fan beide nedich. Mis ien kant en jo krije in paad dat heal ynstallearre is en as in firewallprobleem liket.
Skriuw beide feroarings yn ien kaart mei twa ferantwurdliken, oars wurde se yn ferskate wiken dien.
Brûk Availability Zone-ID's as pleatsing fan belang is
Sônenammen binne account-lokale aliassen. us-east-1a yn it iene account is net garandearre deselde fysike sône as us-east-1a yn in oar. As it ûntwerp in oanhinging en in wurklêst yn deselde sône nedich hat, fergelykje AZ-ID's en skriuw se op.
Nammen fergelykje jout in diagram dat goed liket en in latinsjeprofyl dat it net is. Kontrolearje it wylst it diagram noch tekene wurdt, net nei't immen it ferskil metten hat.
Dielen opheffe snijt it datapaad net troch
It dielen fuortsmite fielt as weromlûken, en it is gjin direkte ferkearstop. AWS dokumintearret dat in oanhinging funksjoneel bliuwt as de gateway net mear dield wurdt. De tastimming om de boarne te behearen ferdwynt, wylst de al besteande oanhinging trochgiet oant immen it wisket of útskeakelt. Plan it weromlûken yn twa stappen: smyt it dielen fuort, dan de oanhinging, wêrby't de eigner de twadde docht.
As it dielen jo iennichste kontrôle is, hawwe jo gjin kontrôle.
Hâld it dielrekord en it rûterekord byinoar
Twa artefakten beantwurdzje twa ferskate fragen. It dielrekord seit wa't mei de boarne wurkje mei. De rûtetabellen sizze hokker netwurken echt prate kinne. Bewarje se byinoar mei deselde eignerlist, oars begjint it folgjende ynsidint mei immen dy't in tastimming bewiist dy't nea it probleem wie.
Test dan ien stream yn elke rjochting en ien prefiks dat ûnberikber bliuwe moat.