AWS Site-to-Site VPN chuig NAT Gateway: VGW nó Transit Gateway

Tarraingíonn gach duine an léaráid chéanna an chéad uair: VPN isteach sa VPC, NAT gateway amach chuig an idirlíon, déanta. Ní thacaíonn AWS leis an mbealach sin nuair a chríochnaíonn an VPN ar virtual private gateway, agus tá an teip chomh ciúin sin go n-atógann foireann í níos mó ná uair amháin. Teastaíonn transit gateway ón dearadh a oibríonn, rud a athraíonn an gateway agus na táblaí róid ar an dá thaobh. Déan comparáid idir an dá chruth sula dtarraingíonn tú rud ar bith.

An topolaíocht a bhféachann soiléir agus nach dtacaítear léi

Tarraingíonn doiciméadú NAT gateway AWS líne a chuireann iontas ar aon duine nár thóg ach dearaí aon-VPC: ní féidir trácht ó nasc Site-to-Site VPN a ródú chuig NAT gateway trí virtual private gateway. Is é an cineál gateway a gcríochnaíonn an VPN air a shocraíonn an bhfuil bealach aistrithe ann ar chor ar bith. Maireann an botún mar go bhfuil an tollán UP agus go sroicheann cás EC2 sa subnet céanna an t-idirlíon gan trioblóid. Ní thástálann ceachtar den dá bhreathnóireacht an treo atá briste.

Go praiticiúil tagann an paicéad le seoladh foinse ón líonra áitiúil agus ní fhaigheann sé aon chéad chéim eile tacaíochta a d'aistreodh é. Ag brath ar na táblaí, scartar é ag an teorainn amach, agus toisc go bhfanann an tollán UP agus go sroicheann cás sa subnet céanna an t-idirlíon, tuairiscítear an teip mar fhadhb balla dóiteáin áitiúil.

Virtual private gateway vs transit gateway

Baineann virtual private gateway le haon VPC amháin. Críochnaíonn sé an VPN, suiteálann sé róid i dtáblaí róid an VPC sin agus stopann sé ansin. Níl múnla ceangaltáin aige, mar sin ní féidir leis trácht a sheachadadh chuig VPC eile ná chuig deighleog amach roinnte. Is é an raon aon-VPC sin an teorainn ar fad, agus ní athraíonn aon ród a chuireann tú isteach sa VPC é.

Is mol réigiúnach é transit gateway ina bhfeictear an VPN, gach spoke VPC agus VPC seirbhísí roinnte mar cheangaltáin. Tá a tháblaí róid féin aige, a roghnaíonn an ceangaltán a fhaigheann réimír ar leith.

Is é an mol sin a dhéanann an t-easnamh láraithe indéanta: tagann an VPN i dtír mar cheangaltán amháin, tagann an VPC amach mar cheangaltán eile, agus seolann tábla róid an transit gateway réimírí i dtreo an idirlín ón gcéad cheann chuig an dara ceann. Le virtual private gateway níl aon dara ceangaltán chuig a seolfaí rud ar bith, agus is ar an ábhar sin nach féidir an dearadh a phaistí níos déanaí.

An bealach amach tacaíochta, céim ar chéim

Tá cúig chéim sa dearadh tagartha agus is cinneadh ródaithe gach saighead a chaithfidh tú a chumrú. Fágann trácht an líonra áitiúil isteach sa cheangaltán Site-to-Site VPN, seolann tábla an transit gateway ar aghaidh é chuig ceangaltán an VPC amach, áit a seolann tábla an subnet chuig NAT gateway poiblí é. Aistríonn an NAT gateway an fhoinse agus iompraíonn an internet gateway an paicéad amach.

On-premises network
  -> Site-to-Site VPN attachment on the transit gateway
  -> transit gateway route table
  -> egress VPC attachment
  -> public NAT gateway in that VPC
  -> internet gateway

Cinneann dhá mhionsonra an n-oibríonn na chéimeanna deireanacha. Caithfidh an NAT gateway a bheith poiblí, le elastic IP agus ród chuig internet gateway, mar aistríonn NAT gateway príobháideach idir líonraí agus ní thiocfaidh sé riamh chun bheith ina bhealach amach chuig an idirlíon.

Pleanáil NAT gateway amháin in aghaidh gach Availability Zone ar mhaith leat freastal uirthi, agus gach tábla subnet ag díriú ar an gceann áitiúil. Coinnigh tábla an transit gateway agus táblaí an VPC mar rudaí ar leith i do nótaí, mar roghnaíonn ceann acu ceangaltán agus roghnaíonn an ceann eile acmhainn laistigh den VPC. Fágann ród réamhshocraithe i gceann amháin acu amháin leath an bhealaigh gan sainiú agus táirgeann sé na teipeanna páirteacha is deacra a chur i leith ruda.

Is ar an mbealach ar ais a theipeann na dearaí seo

Coinníonn NAT gateway staid do shruthanna atá feicthe aige cheana, mar sin tagann freagraí ar nasc amach ar ais gan riail isteach nua. Ní fhoilsíonn an t-airí sin seirbhís áitiúil ar an idirlíon, agus má chaithtear leis amhail is go ndéanfadh, caithfidh foireann lá ag dífhabhtú nasc nach mbunófaí riamh. Do thrácht a thosaíonn leis an gcliant caithfidh ceithre ród teacht le chéile: an polasaí áitiúil, tábla an transit gateway, tábla subnet amach agus tábla subnet NAT. Má chastar an ceann deireanach ort, fágann an t-iarratas an foirgneamh agus faigheann an freagra bás laistigh d'AWS.

Bailíochtaigh le cliant fíor taobh thiar den VPN agus féach cén seoladh foinse poiblí a thaispeánann sé. Más é elastic IP an NAT gateway é, tá aistriú ag tarlú; más rud éigin eile é, tá easnamh eile á thomhas agat.

Is fiú an leagan neamhshiméadrach den teip seo a aithint go luath. Nuair a bhíonn ród ar ais chuig réimír an chliaint ag tábla subnet NAT ceann amháin Availability Zone agus nach mbíonn ag ceann eile, éiríonn le naisc nua nó teipeann siad ag brath ar an gcrios a dtiteann an sruth ann, agus léitear an patrún go mícheart mar idirlíon luaineach. Déan comparáid idir táblaí subnet gach crios a bhfreastalaíonn tú air seachas an ceann inar osclaíodh an ticéad a shocrú, mar is é an ród atá ar iarraidh an locht ar fad agus ní gá aon rud a athrú ar an taobh eile.

Cathain is fearr proxy follasach mar dhearadh

Is rogha dhlíthiúil é HTTP proxy ar chás sa VPC amach agus go minic an ceann is saoire. Cumraítear cliaint chun é a úsáid, osclaíonn an proxy a nasc féin amach, agus is fadhb an proxy an bealach ar ais seachas puzal ródaithe siméadraigh. Do bheagán feidhmchlár baineann sé sin an chuid is mó den obair transit gateway. Tugann sé logáil in aghaidh an úsáideora freisin nach féidir le NAT gateway a tháirgeadh.

Níl sé trédhearcach áfach. Ní leanfaidh aon rud a dhéanann neamhaird de shocruithe proxy, agus gach prótacal nach HTTP é, an bealach sin.

Braitheann an rogha ar an méid a labhraíonn d'fheidhmchláir i ndáiríre agus ar an méid féiniúlachta a theastaíonn uait sna logaí. San áit a labhraíonn siad HTTP, tuilleann an proxy a áit; san áit a dteastaíonn easnamh ginearálta do phrótacail threallacha, is é dearadh an transit gateway an ceann a dtacaíonn AWS leis. Is saoire é sin a shocrú roimh ré ná é a fháil amach tar éis na táblaí róid a thógáil.