Twa AWS-akkoarten, ien lokaal netwurk: hokker paad?
Dield Transit Gateway, twa ûnôfhinklike VPN's of ien smelle proxy: kies op eigenerskip en omfang fan 'e skea, net op hokker rûte hjoed it maklikst is ta te foegjen.
De foar de hân lizzende ynfolling is peering tsjin VPN, en dat is de ferkearde ynfolling. In peered VPC kin de VPN-ferbining fan syn buorman net liene foar rûtelearring fan râne oant râne, dus dy opsje stie nea op 'e tafel, wat in rûtetabel ek foarstelt. Wat jo eins kieze, is tusken in dielde netwurkhub, twa ûnôfhinklike VPN-paden en in smelle applikaasjetagong. Elk beantwurdet in oare fraach oer wa't it rûtelearjen besit.
Trije opsjes en dejinge dy't gjin opsje is
Begjin mei it skrasjen fan it peering-idee en fergelykje dan wat oerbliuwt op eigenerskip yn stee fan op diagram-ienfâld. De tabel hjirûnder is de beslissing yn gearfette foarm.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
As akkoart A berikberheid nei in hiel lokaal netwurk nedich hat, is de proxy-rige de ferkearde foarm. As akkoart A ien API nedich hat, binne de earste twa rigen mear netwurk as't de eask freget.
Wannear't de dielde Transit Gateway wint
In Transit Gateway ferbynt elk VPC en de VPN as aparte netwurken, en diele tusken akkoarten lit de VPC-eigeners de hub brûke sûnder akkoarten gear te foegjen. Dat is it appeal: ien plak dêr't de lokale foarheaksels de AWS-netwurken treffe, en ien plak om te betinken hokker oanhing hokker rûte leart.
Alles oanhingsje betsjut net alles tastean. Feriening en propagaasje beslute hokker oanhing hokker rûtetabel brûkt, dus twa VPC-foarheaksels kinne elk in lokale tsjinst berikke wylst har ûnderlinge tagong troch it ûntwerp fan 'e hub útsletten bliuwt. De lokale kant hat noch hieltiten weromrûtes nedich foar de AWS-foarheaksels, en dat is in feroaringskaartsje fan in oar team.
De kosten binne organisatoarysk likegoed as finansjeel. De hub-eigener kontrolearret rûtelearrelaasjes dêr't oare teams fan ôfhinklik binne, dus in feroaring yn ien oanhing kin ferkear ferpleatse foar in tsjinst dêr't de hub-eigener noait fan heard hat. Oanhingsoeren en gegevensferwurking telle op mei elk netwurk dat jo oanhingsje, en dêrom groeie hubs meastentiids rapper as it team dat se bestjoert.
Wannear't aparte VPN's of in smelle proxy winne
Twa ûnôfhinklike VPN's passe by in lytse ynset mei echte operasjonele grinzen: elk akkoart feroaret syn eigen tunnels, en gjinien kin de oare brekke troch in rûtetabel te bewurkjen. De grinzen lizze oan 'e lokale kant. De pearpoarte hat kapasiteit nedich foar de ekstra tunnels, de adresplannen meie net oerlappe, en twa konfiguraasjes dy't deselde foarheaksels advertise, hawwe in bewuste foarkar nedich yn stee fan hoop.
In proxy is it smelste ynterface. As akkoart A ien databank of ien API yn akkoart B nedich hat, jout in beheind tuskenpersoan jo in definiearre tagong mei syn eigen ferhaal foar autentikaasje, logging en beskikberens. It is ek de opsje dy't it maklikst misbrûkt wurdt: in tuskenpersoan dy't trochstjoert nei elk privee bestimming is in ûnbeheind relais mei ekstra stappen wurden, en it sil him foar neat oars as transparant ferfier fan VPC nei lokaal netwurk gedrage.
De VPC-peering-beheiningen binne it wurdich om foar dit alles te lêzen, want se ferklearje wêrom't it fjirde idee hieltyd weromkomt en wêrom't it net wurkje kin.
Kies it smelste ynterface dat oan 'e eask foldocht
Oarderje de fragen: hat A in netwurk, in set netwurken of ien tsjinst nedich? Wol it lokale team ien paad of meardere? Wa mei it rûtelearjen foar it ferkear fan it oare team feroarje? It earste antwurd dat it smelste ynterface oplevert, is de arsjitektuer, en alles dêrnei is ymplemintaasje.
Skriuw it antwurd op mei it foarheakselplan, it rûte-eigenerskip, de tunnel- of oanhingynventaris en de flatermodus dy't elke kant ferwachtet. As immen letter freget wêrom't akkoart A net gewoan it VPN fan akkoart B brûke kin, is dy notysje it antwurd, en it besparret jo itselde trije opsjes by it folgjende projekt op 'e nij te bepraten.