Dodajte lokalnu podmrežu na AWS VPN: VGW nasuprot Transit Gateway

Postojeći Site-to-Site VPN prenosi 10.60.0.0/16, iza istog lokalnog gatewayja pojavljuje se nova servisna mreža kao 10.70.0.0/16 i netko pita je li potreban proxy. Obično nije: rutirana putanja može prenijeti prefiks, ali samo ako se poklope tri stvari, a koje tri zavisi od AWS arhitekture koju već vodite. Virtualni privatni gateway ima jednu granicu tablice ruta; transit gateway dodaje drugu. Ispravan oglas uz pogrešnu tablicu daje sesiju koja izgleda zdravo i ne dostavlja ništa.

Objavite prefiks koji gateway doista može dostaviti

Lokalnom gatewayju treba ruta prema novoj mreži prije nego bilo koji oglas ima smisla. Oglašavanje 10.70.0.0/16 kroz BGP govori AWS-u kamo slati pakete za taj raspon; ono ne stvara lokalnu putanju prosljeđivanja koja raspon čini dostupnim na drugom kraju. Potvrdite da gateway ima rutu za prefiks koja pokazuje na uređaj koji ga drži i da je uređaj konfiguriran odgovarati na te adrese. Izvozna politika i prihvaćeni limiti prefiksa su sljedeće ograničenje, jer prefiks koji sesija filtrira nikada ne stiže do AWS-a.

Neka agregati i specifičnije rute budu namjerni. Putanje koje se preklapaju i dolaze iz dva smjera su dizajnerska odluka, a ne detalj koji se otkriva kasnije.

Putanja prva: granica virtualnog privatnog gatewayja

Uz virtualni privatni gateway, AWS VPN dokumentacija za rutiranje opisuje dva načina distribucije — statične rute i BGP oglase — a oba zavise od tablice ruta podmreže koju aplikacija doista koristi. Propagacija je zgodna kada kontrolirate cijeli raspon, a eksplicitna ruta se lakše promišlja kada želite odredište navedeno uz cilj. U oba slučaja provjera je ista: sadrži li tablica konkretne aplikacijske podmreže radnu putanju do VPN cilja za novi prefiks i pobjeđuje li protiv nečega specifičnijeg?

Zdrava BGP sesija dokazuje da kanal postoji. Ne govori ništa o tome je li određena tablica podmreže preuzela rutu.

Putanja druga: transit gateway dodaje tablicu

Transit gateway dijeli to jedno pitanje na dva. VPC podmreža mora poslati odredište na transit gateway privitak, a zatim transit gateway tablica ruta mora odabrati VPN privitak za isti prefiks. Izbori asocijacije i propagacije odlučuju koje pripojene mreže dobivaju rutu, pa prefiks može biti ispravno oglašen kroz VPN i ipak nikada ne stigne do VPC-a čija tablica nikada nije bila povezana s pravom tablicom ruta.

Uobičajeni kvar je ruta koja postoji u jednoj tablici, a ne u drugoj, pri čemu je svaki tim uvjeren da je njegova strana ispravna. Kada usporedite dvije arhitekture, ta dodatna granica je cijela razlika: više mjesta za provjeru i preciznija kontrola nad tim ko dobiva rutu.

Propagacija ruta također ne daje prefiks svakom privitku. Ona ga distribuira tablicama konfiguriranima da ga primaju.

Povratna putanja je zasebna politička odluka

Promet koji stigne samo je polovica razmjene. Nova lokalna mreža treba rutu natrag prema AWS izvornim prefiksima kroz ispravan gateway, a sigurnosna politika na oba kraja mora dopustiti taj par izvora i odredišta. Ako tunel pregovara opseg zaštite sa selektorima prometa, novi prefiks mora biti unutar njega, inače se paket odbacuje prije nego što se pogleda bilo koja tablica ruta.

Preklapanje adresa je druga zamka. Nepreklapajući, izričito posjedovani rasponi drže ovo jednostavnim; rasponi koji se preklapaju znače prevođenje ili redizajn, a nijedno nije zamjenjiva varijanta istog recepta.

Testirajte s izvorom u novoj mreži i odredištem u aplikacijskoj podmreži, pa ponovite u suprotnom smjeru. Jednosmjerni test dokazuje samo jedan smjer.

Kada je proxy doista bolja granica

Proxy zaslužuje svoje mjesto kada je zahtjev uzak servisni interfejs, kada aplikacija već očekuje tu arhitekturu ili kada se mrežna putanja ne može natjerati da prenosi prefiks bez prevođenja koje ne želite. On nije rezervno rješenje za unos u tablici ruta koji nitko nije provjerio.

Odlučite ovim redom: lokalno prosljeđivanje, oglas, granica tablice, politika povratka. Popravite prvo koje padne i tek onda pitajte je li rutirana putanja uopće pravi odgovor.