Ավելացնել տեղական ենթացանց AWS VPN-ին. VGW թե Transit Gateway

Գոյություն ունեցող Site-to-Site VPN-ը տեղափոխում է 10.60.0.0/16, նույն տեղական դարպասի հետևում հայտնվում է նոր սպասարկման ցանց՝ 10.70.0.0/16 տեսքով, և ինչ-որ մեկը հարցնում է՝ արդյոք պրոքսի է պետք։ Սովորաբար ոչ՝ երթուղավորված ուղին կարող է տանել նախածանցը, բայց միայն այն դեպքում, երբ երեք բան համընկնում է, և թե որ երեքը՝ կախված է ձեր արդեն գործարկվող AWS ճարտարապետությունից։ Վիրտուալ մասնավոր դարպասն ունի մեկ երթուղային աղյուսակի սահման, transit gateway-ն ավելացնում է երկրորդը։ Ճիշտ հայտարարություն և սխալ աղյուսակ տալիս են սեսիա, որը առողջ տեսք ունի և ոչինչ չի հասցնում։

Հրապարակեք նախածանց, որը դարպասը իրականում կարող է հասցնել

Տեղական դարպասին անհրաժեշտ է դեպի նոր ցանց տանող ուղի, նախքան որևէ հայտարարություն իմաստ կունենա։ 10.70.0.0/16-ը BGP-ով հայտարարելը AWS-ին ասում է, թե ուր ուղարկել այդ տիրույթի փաթեթները, բայց այն չի ստեղծում տեղական փոխանցման այն ուղին, որը տիրույթը հասանելի է դարձնում մյուս ծայրում։ Համոզվեք, որ դարպասն ունի նախածանցի համար ուղի, որը ցույց է տալիս այն պահող սարքին, և որ սարքը կազմաձևված է պատասխանելու այդ հասցեներին։ Արտահանման քաղաքականությունը և ընդունված նախածանցի սահմանափակումները հաջորդ սահմանափակումն են, քանի որ սեսիայի կողմից զտված նախածանցը ընդհանրապես չի հասնում AWS-ին։

Ագրեգատներն ու ավելի կոնկրետ ուղիները պահեք դիտավորյալ։ Երկու կողմից եկող համընկնող ուղիները նախագծային որոշում են, ոչ թե ավելի ուշ հայտնաբերվող մանրուք։

Ուղի առաջին՝ վիրտուալ մասնավոր դարպասի սահմանը

Վիրտուալ մասնավոր դարպասի դեպքում AWS VPN-ի երթուղավորման փաստաթղթերը նկարագրում են բաշխման երկու եղանակ՝ ստատիկ ուղիներ և BGP հայտարարություններ, և երկուսն էլ կախված են այն ենթացանցի երթուղային աղյուսակից, որն իրականում օգտագործում է հավելվածը։ Տարածումը հարմար է, երբ վերահսկում եք ամբողջ տիրույթը, իսկ բացահայտ ուղին ավելի հեշտ է վերլուծել, երբ ցանկանում եք նպատակակետը տեսնել թիրախի կողքին։ Ամեն դեպքում ստուգումը նույնն է՝ արդյոք կոնկրետ հավելվածի ենթացանցի աղյուսակը պարունակում է աշխատող ուղի դեպի VPN թիրախը նոր նախածանցի համար, և արդյոք այն հաղթում է ավելի կոնկրետ որևէ բանի դեմ։

Առողջ BGP սեսիան ապացուցում է, որ ալիքը գոյություն ունի։ Այն ոչինչ չի ասում այն մասին, թե արդյոք տվյալ ենթացանցի աղյուսակը սպառել է ուղին։

Ուղի երկրորդ՝ transit gateway-ն ավելացնում է աղյուսակ

Transit gateway-ն այդ մեկ հարցը բաժանում է երկուսի։ VPC-ի ենթացանցը պետք է նպատակակետն ուղարկի transit gateway-ի կցորդին, այնուհետև transit gateway-ի երթուղային աղյուսակը պետք է ընտրի VPN-ի կցորդը նույն նախածանցի համար։ Միացման և տարածման ընտրությունները որոշում են, թե որ միացված ցանցերն են ստանում ուղին, ուստի նախածանցը կարող է ճիշտ հայտարարվել VPN-ի կողմից և այնուամենայնիվ երբեք չհասնել այն VPC-ին, որի աղյուսակը երբեք չի միացվել ճիշտ երթուղային աղյուսակին։

Սովորական ձախողումը սա է՝ մի աղյուսակում գոյություն ունեցող, մյուսում՝ ոչ ուղի, երբ յուրաքանչյուր թիմ համոզված է, որ իր կողմը ճիշտ է։ Երբ համեմատում եք երկու ճարտարապետությունները, այս լրացուցիչ սահմանը հենց ամբողջ տարբերությունն է՝ ավելի շատ տեղեր նայելու համար և ավելի ճշգրիտ վերահսկողություն այն բանի վրա, թե ով է ստանում ուղին։

Ուղիների տարածումը նույնպես նախածանցը չի տալիս յուրաքանչյուր կցորդի։ Այն բաշխում է այն աղյուսակներին, որոնք կազմաձևված են այն ստանալու։

Վերադարձի ուղին ինքնուրույն քաղաքական որոշում է

Ժամանող երթևեկությունը փոխանակման միայն կեսն է։ Նոր տեղական ցանցին անհրաժեշտ է վերադարձի ուղի դեպի AWS-ի աղբյուր նախածանցերը ճիշտ դարպասով, և երկու ծայրերի անվտանգության քաղաքականությունը պետք է թույլատրի այդ աղբյուր-նպատակակետ զույգը։ Եթե թունելը երթևեկության ընտրիչներով պայմանավորվում է պաշտպանության շրջանակի շուրջ, նոր նախածանցը պետք է լինի դրա ներսում, հակառակ դեպքում փաթեթը դեն է նետվում մինչև որևէ երթուղային աղյուսակ դիտելը։

Հասցեների համընկնումը մյուս թակարդն է։ Առանձին, հստակ սեփականություն ունեցող տիրույթները սա պահում են պարզ, համընկնող տիրույթները նշանակում են թարգմանություն կամ վերանախագծում, և դրանցից ոչ մեկը նույն բաղադրատոմսի փոխարինելի տարբերակ չէ։

Փորձարկեք նոր ցանցում աղբյուրով և հավելվածի ենթացանցում նպատակակետով, ապա կրկնեք հակառակ ուղղությամբ։ Միակողմանի փորձարկումը ապացուցում է միայն մեկ ուղղություն։

Երբ պրոքսին իսկապես ավելի լավ սահման է

Պրոքսին իր տեղն է վաստակում, երբ պահանջը նեղ սպասարկման միջերես է, երբ հավելվածն արդեն սպասում է այդ ճարտարապետությանը, կամ երբ ցանցային ուղին հնարավոր չէ ստիպել կրելու նախածանցն առանց ձեզ անցանկալի թարգմանության։ Այն պահուստային լուծում չէ այն երթուղային աղյուսակի գրառման համար, որը ոչ ոք չի ստուգել։

Որոշեք այս հերթականությամբ՝ տեղական փոխանցում, հայտարարություն, աղյուսակի սահման, վերադարձի քաղաքականություն։ Ուղղեք առաջին ձախողվածը և միայն դրանից հետո հարցրեք՝ արդյոք երթուղավորված ուղին ընդհանրապես ճիշտ պատասխանն է։