Unha VPN de sitio a sitio para varias VPC en AWS Transit Gateway

Dúas VPC necesitan a rede da oficina este trimestre, e é no segundo túnel onde rompe a estimación. AWS Transit Gateway pode actuar como concentrador de enrutamento compartido: a VPN asóciase unha vez e cada VPC asóciase ao mesmo concentrador. Así a rede local chega a cada VPC asociada mediante unha soa conexión. Iso cambia quen é dono da decisión de enrutamento, e esa é a parte que a maioría dos deseños fai mal.

A asociación da VPN e as asociacións das VPC son obxectos separados na mesma pasarela, e por iso as relacións de enrutamento deben construírse despois.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Por que o peering non é o atallo que a xente espera

A alternativa tentadora é rematar a VPN na VPC A e emparellar a VPC B con ela. O peering normal de VPC non ofrece tránsito de extremo a extremo a través da conexión VPN de A. Un par chega ás direccións que o propio peering proporciona, e unha beira VPN non é unha delas. O tránsito é o que dá un concentrador; o peering dá un par.

Esa restrición é unha propiedade do peering, non unha cota que se poida subir.

A asociación e a propagación fan traballos distintos

Dentro da pasarela de tránsito, a asociación escolle a táboa de rutas que se usa para buscar o tráfico que chega dunha asociación. A propagación decide que táboas reciben os prefixos aprendidos ou conectados dunha asociación. Unha soa asociación pode vincularse a unha táboa mentres propaga cara a varias. Confundir as dúas é como un deseño acaba cunha accesibilidade que ninguén planificara.

Un concentrador pequeno totalmente conectado é o caso doado.

Pon cada asociación nunha soa táboa e a VPN xunto con ambos prefixos de VPC resólvese limpiamente. Iso tamén permite accesibilidade entre VPC que a organización quizais nunca quixo, porque unha táboa compartida non ten o concepto de raio.

As rutas das cargas de traballo viven noutro sitio

Cada subrede de carga de traballo aínda necesita a súa propia ruta cara á pasarela de tránsito para os prefixos locais previstos. Esas táboas de rutas das VPC son obxectos separados das táboas propias da pasarela de tránsito. Engade os prefixos que necesitas e conserva as rutas existentes en lugar de substituír cada destino por un novo default. Unha ruta de subrede tampouco anuncia nada ao dispositivo do cliente.

Escolle enrutamento dinámico ou estático a propósito; o peering non ofrece ningún dos dous.

Illa os raios sen perder o acceso local

Cando A e B poden chegar ambos á oficina pero non deben enrutarse entre si, divide as táboas. A táboa asociada da asociación da VPN contén os prefixos das VPC. A táboa asociada das asociacións das VPC contén os prefixos locais, sen ningunha ruta que una A con B. A propagación produce esa relación, así que nunca hai que aceptar todas as asociacións predeterminadas.

Isto é illamento de enrutamento, e non é autorización da aplicación.

Os grupos de seguridade, as ACL de rede, as devasas dos equipos e os permisos propios de cada servizo seguen decidindo que tráfico se admite. Se cómpre inspección, deseña a súa ruta admitida de forma explícita en lugar de supoñer que o concentrador a realiza.

O que o concentrador non arranxa

Os plans de direccións deben seguir sen solaparse, porque o concentrador non permite que un prefixo identifique dúas cargas de traballo. Cada asociación de VPC necesita a cobertura de Availability Zone que esperan as súas cargas de traballo. Con BGP, as rutas do dispositivo do cliente cara a cada prefixo necesario deben coincidir co deseño e coa súa política de importación. Un anuncio que falta parece exactamente un túnel roto.

A conexión VPN e a pasarela de tránsito agora son infraestrutura compartida.

Planifica a redundancia dos túneles, a capacidade dos dispositivos, a monitorización e o mantemento arredor de todas as VPC dependentes en lugar de tratar cada unha como conectada de forma independente.

A migración desde un esquema existente con virtual private gateway merece o mesmo plan explícito. Constrúe as asociacións e as políticas, move unha ruta de carga de traballo controlada e confirma as relacións permitidas e denegadas antes de retirar a ruta antiga. A centralización axuda cando lle dá ao equipo de rede un só lugar para xestionar a conectividade compartida, e prexudica cando esconde quen pode chegar a quen detrás dunha única táboa grande.