Két AWS-fiók, egy helyi hálózat: melyik útvonal?
Megosztott Transit Gateway, két független VPN vagy egy szűk proxy: a tulajdon és a hatókör alapján válasszon, ne aszerint, melyik útvonalat a legkönnyebb ma hozzáadni.
A kézenfekvő keret a peering kontra VPN, és ez a rossz keret. Egy peered VPC nem kölcsönözheti a szomszédja VPN-kapcsolatát él-él közötti útválasztáshoz, így ez a lehetőség soha nem volt terítéken, bármit is sugall egy útválasztási tábla. Valójában egy megosztott hálózati hub, két független VPN-útvonal és egy szűk alkalmazásbelépő között választ. Mindegyik más kérdésre válaszol arról, ki birtokolja az útválasztást.
Három lehetőség és az, amelyik nem az
Kezdje a peering ötletének törlésével, majd hasonlítsa össze a maradékot tulajdon, nem diagram-egyszerűség szerint. Az alábbi táblázat a döntés tömör formában.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Ha az A fióknak egy teljes helyi hálózat elérésére van szüksége, a proxy sor rossz alakú. Ha az A fióknak egyetlen API kell, az első két sor több hálózat, mint amennyit a követelmény kért.
Mikor nyer a megosztott Transit Gateway
A Transit Gateway minden VPC-t és a VPN-t külön hálózatként csatol, és a fiókok közötti megosztás révén a VPC-tulajdonosok fiókok egyesítése nélkül használhatják a hubot. Ez a vonzerő: egy hely, ahol a helyi prefixek találkoznak az AWS-hálózatokkal, és egy hely annak mérlegelésére, melyik csatolás melyik útvonalat tanulja meg.
Mindent csatolni nem jelent mindent engedélyezni. A társítás és a terjesztés dönti el, melyik csatolás melyik útválasztási táblát használja, így két VPC-prefix külön-külön elérhet egy helyi szolgáltatást, miközben kölcsönös hozzáférésüket a hub tervezése kizárja. A helyi oldalnak továbbra is szüksége van visszaútvonalakra az AWS-prefixekhez, és ez egy másik csapat változtatási jegye.
A költség szervezeti éppúgy, mint pénzügyi. A hub tulajdonosa olyan útválasztási kapcsolatokat irányít, amelyektől más csapatok függnek, így egy csatolás változása olyan szolgáltatás forgalmát mozdíthatja el, amelyről a hub tulajdonosa soha nem hallott. A csatolási órák és az adatfeldolgozás minden csatolt hálózattal összeadódnak, ezért a hubok általában gyorsabban nőnek, mint az őket üzemeltető csapat.
Mikor nyernek a külön VPN-ek vagy egy szűk proxy
Két független VPN illik egy kis telepítéshez valódi üzemeltetési határokkal: minden fiók a saját alagútjait módosítja, és egyik sem tudja tönkretenni a másikat egy útválasztási tábla szerkesztésével. A korlátok a helyi oldalon vannak. A partnerátjárónak kapacitásra van szüksége a további alagutakhoz, a címtervek nem fedhetik át egymást, és két azonos prefixeket hirdető konfigurációnak szándékos preferencia kell, nem remény.
A proxy a legszűkebb felület. Ha az A fióknak egy adatbázisra vagy egy API-ra van szüksége a B fiókban, egy határolt közvetítő meghatározott belépőt ad saját hitelesítési, naplózási és rendelkezésre állási történettel. Ez a leginkább félrehasználható lehetőség is: egy közvetítő, amely minden privát célpontra továbbít, extra lépésekkel ellátott korlátlan relévá vált, és semmi más esetében nem fog átlátszó VPC–helyi hálózat átvitelként viselkedni.
Érdemes elolvasni a VPC-peering korlátait mindezek előtt, mert megmagyarázzák, miért jön vissza újra és újra a negyedik ötlet, és miért nem működhet.
Válassza a legszűkebb felületet, amely megfelel a követelménynek
Rendezze sorba a kérdéseket: hálózatra, hálózatok halmazára vagy egyetlen szolgáltatásra van szüksége az A-nak? Egy útvonalat vagy többet akar a helyi csapat? Ki jogosult módosítani a másik csapat forgalmának útválasztását? Az első válasz, amely a legszűkebb felületet adja, az architektúra, és minden utána megvalósítás.
Rögzítse a választ a prefixtervvel, az útvonalak tulajdonjogával, az alagutak vagy csatolások leltárával és azzal a hibaállapottal, amelyet mindkét oldal vár. Amikor később valaki megkérdezi, miért nem használhatja az A fiók egyszerűen a B fiók VPN-jét, az a feljegyzés a válasz, és megkíméli önt attól, hogy a következő projektben újra ugyanazt a három lehetőséget vitassa meg.