Jedan VPN između lokacija za nekoliko VPC-a na AWS Transit Gateway

Priključite VPN jednom, a svaki VPC na jedan tranzitni pristupnik, zatim odvojite pridruživanje od propagiranja kako bi se ogranci mogli spojiti s uredom, ali ne jedni s drugima.

Dvama VPC-ima ovog tromjesečja treba uredska mreža, a procjena se lomi upravo na drugom tunelu. AWS Transit Gateway može poslužiti kao zajedničko središte usmjeravanja: VPN se priključuje jednom, a svaki VPC priključuje se na isto središte. Tada lokalna mreža doseže svaki priključeni VPC kroz jednu vezu. To mijenja tko drži odluku o usmjeravanju, a upravo to većina nacrta pogrešno postavi.

Priključak VPN-a i priključci VPC-a zasebni su objekti na istom pristupniku, zato se odnosi usmjeravanja moraju izgraditi nakon toga.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Zašto peering nije prečac kojem se ljudi nadaju

Primamljiva je alternativa završiti VPN na VPC A i povezati VPC B s njim peeringom. Obični VPC peering ne daje prijelaz od ruba do ruba kroz VPN vezu VPC-a A. Peer doseže adrese koje sam peering nudi, a VPN rub nije jedna od njih. Prijelaz daje središte; peering daje par.

To je ograničenje svojstvo peeringa, a ne kvota koju možete podići.

Pridruživanje i propagiranje rade različit posao

Unutar tranzitnog pristupnika pridruživanje odabire tablicu usmjeravanja po kojoj se traži promet koji dolazi s priključka. Propagiranje odlučuje koje tablice primaju naučene ili povezane prefikse nekog priključka. Jedan se priključak može pridružiti jednoj tablici, a istodobno propagirati u više njih. Zamjena tih dvaju pojmova put je kojim nacrt završi s dosegom koji nitko nije planirao.

Potpuno povezano malo središte lagan je slučaj.

Stavite svaki priključak u jednu tablicu i VPN se zajedno s oba prefiksa VPC-a čisto razrješava. To ujedno dopušta doseg između VPC-a koji organizacija možda nikad nije namjeravala, jer zajednička tablica ne poznaje pojam ogranka.

Rute radnih opterećenja žive drugdje

Svaka podmreža radnog opterećenja i dalje treba vlastitu rutu prema tranzitnom pristupniku za predviđene lokalne prefikse. Te tablice usmjeravanja VPC-a zasebni su objekti od vlastitih tablica tranzitnog pristupnika. Dodajte prefikse koji su vam potrebni i sačuvajte postojeće rute umjesto da svako odredište zamijenite novim defaultom. Ruta podmreže također ništa ne oglašava korisničkom uređaju.

Odaberite dinamičko ili statičko usmjeravanje svjesno; peering ne daje nijedno.

Izolirajte ogranke bez gubitka lokalnog pristupa

Kada A i B oba smiju dosegnuti ured, ali ne smiju usmjeravati jedan prema drugome, razdvojite tablice. Pridružena tablica priključka VPN-a drži prefikse VPC-a. Pridružena tablica priključaka VPC-a drži lokalne prefikse, bez rute koja spaja A s B. Taj odnos stvara propagiranje, pa nikad ne morate prihvatiti svako zadano pridruživanje.

Ovo je izolacija usmjeravanja, a ne autorizacija aplikacije.

Sigurnosne grupe, mrežni ACL-ovi, vatrozidi na računalima i vlastita dopuštenja svake usluge i dalje odlučuju koji se promet prima. Ako je potreban pregled, projektirajte njegov podržani put izričito umjesto da pretpostavite da ga središte obavlja.

Što središte ne rješava

Planovi adresa i dalje se ne smiju preklapati, jer središte ne dopušta da jedan prefiks označi dva radna opterećenja. Svaki priključak VPC-a treba pokrivenost Availability Zone koju očekuju njegova radna opterećenja. Uz BGP, rute korisničkog uređaja natrag prema svakom potrebnom prefiksu moraju odgovarati nacrtu i njegovoj politici uvoza. Oglašavanje koje nedostaje izgleda upravo kao pokvaren tunel.

VPN veza i tranzitni pristupnik sada su zajednička infrastruktura.

Planirajte redundanciju tunela, kapacitet uređaja, nadzor i održavanje oko svih ovisnih VPC-a umjesto da svaki tretirate kao zasebno povezan.

Migracija s postojećeg rasporeda virtual private gatewaya zaslužuje isti izričit plan. Izgradite priključke i politike, premjestite jedan kontrolirani put radnog opterećenja i potvrdite dopuštene i odbijene odnose prije nego što povučete stari put. Centralizacija pomaže kada mrežnom timu daje jedno mjesto za upravljanje zajedničkom povezanošću, a šteti kada sakrije tko smije doći do koga iza jedne velike tablice.

Povezani članci