Մեկ կայք-կայք VPN մի քանի VPC-ի համար AWS Transit Gateway-ում

Երկու VPC այս եռամսյակում գրասենյակի ցանցի կարիք ունեն, և հենց երկրորդ թունելում է, որ գնահատականը կոտրվում է։ AWS Transit Gateway-ը կարող է հանդես գալ որպես ընդհանուր երթուղավորման կենտրոն՝ VPN-ը միանում է մեկ անգամ, և յուրաքանչյուր VPC միանում է նույն կենտրոնին։ Այնուհետև տեղական ցանցը մեկ կապով հասնում է բոլոր միացված VPC-ներին։ Սա փոխում է, թե ումն է երթուղավորման որոշումը, և հենց այդ մասն են շատ նախագծեր սխալ անում։

VPN-ի կցորդը և VPC-ների կցորդները նույն դարպասի վրա առանձին օբյեկտներ են, դրա համար երթուղային հարաբերությունները պետք է կառուցել ավելի ուշ։

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Ինչու peering-ը այն կարճ ճանապարհը չէ, որին սպասում են

Գայթակղիչ այլընտրանքն այն է, որ VPN-ը վերջացնել VPC A-ում և VPC B-ն peering-ով կապել դրան։ Սովորական VPC peering-ը եզրից եզր տրանզիտ չի տալիս A-ի VPN կապով։ Peer-ը հասնում է միայն այն հասցեներին, որոնք տալիս է ինքը peering-ը, և VPN եզրը դրանցից չէ։ Տրանզիտը տալիս է կենտրոնը, peering-ը տալիս է զույգ։

Այդ սահմանափակումը peering-ի հատկությունն է, ոչ թե քվոտա, որը կարելի է բարձրացնել։

Կապակցումը և տարածումը տարբեր աշխատանք են անում

Տրանզիտային դարպասի ներսում կապակցումը ընտրում է այն երթուղային աղյուսակը, որով փնտրվում է կցորդից եկող հոսքը։ Տարածումը որոշում է, թե որ աղյուսակները կստանան կցորդի սովորած կամ միացված նախադրյալները։ Մեկ կցորդ կարող է կապակցվել մեկ աղյուսակի և միաժամանակ տարածվել մի քանիսում։ Երկուսը շփոթելը հենց այն ճանապարհն է, որով նախագիծը հասնում է հասանելիության, որը ոչ ոք չի պլանավորել։

Լրիվ միացված փոքր կենտրոնը հեշտ դեպքն է։

Դրե՛ք ամեն կցորդ մեկ աղյուսակում, և VPN-ը երկու VPC նախադրյալների հետ մաքուր լուծվում է։ Սա նաև թույլ է տալիս VPC-ների միջև հասանելիություն, որը կազմակերպությունը գուցե երբեք չի ցանկացել, որովհետև ընդհանուր աղյուսակը ճյուղի հասկացություն չունի։

Աշխատանքային բեռերի երթուղիներն ապրում են այլ տեղ

Յուրաքանչյուր աշխատանքային ենթացանց դեռ պետք է ունենա իր երթուղին դեպի տրանզիտային դարպաս նախատեսված տեղական նախադրյալների համար։ Այդ VPC երթուղային աղյուսակները առանձին օբյեկտներ են տրանզիտային դարպասի սեփական աղյուսակներից։ Ավելացրե՛ք անհրաժեշտ նախադրյալները և պահպանե՛ք գոյություն ունեցող երթուղիները՝ յուրաքանչյուր նպատակակետ նոր default-ով փոխարինելու փոխարեն։ Ենթացանցային երթուղին ոչինչ չի հայտարարում նաև հաճախորդի սարքին։

Ընտրե՛ք դինամիկ կամ ստատիկ երթուղավորում գիտակցաբար, peering-ը ոչ մեկը չի տալիս։

Մեկուսացրե՛ք ճյուղերը՝ չկորցնելով տեղական հասանելիությունը

Երբ A-ն և B-ն երկուսն էլ կարող են հասնել գրասենյակ, բայց չպետք է երթուղավորեն միմյանց, բաժանե՛ք աղյուսակները։ VPN կցորդի կապակցված աղյուսակը պահում է VPC նախադրյալները։ VPC կցորդների կապակցված աղյուսակը պահում է տեղական նախադրյալները՝ առանց A-ն B-ի հետ կապող երթուղու։ Տարածումն է ստեղծում այդ հարաբերությունը, այնպես որ երբեք ստիպված չեք ընդունել բոլոր լռելյայն կապակցումները։

Սա երթուղավորման մեկուսացում է, և սա հավելվածի լիազորում չէ։

Անվտանգության խմբերը, ցանցային ACL-ները, հոսթերի հրապարակախցիկները և յուրաքանչյուր ծառայության սեփական թույլտվությունները դեռ որոշում են, թե որ հոսքն է ընդունվում։ Եթե ստուգում է պահանջվում, նախագծե՛ք դրա աջակցվող ուղին բացահայտ, փոխարենը ենթադրելու, որ կենտրոնն է անում այն։

Ինչը կենտրոնը չի ուղղում

Հասցեների պլանները դեռ պետք է չհամընկնեն, որովհետև կենտրոնը թույլ չի տալիս, որ մեկ նախադրյալ նույնականացնի երկու աշխատանքային բեռ։ Յուրաքանչյուր VPC կցորդի պետք է Availability Zone ծածկույթ, որը սպասում են նրա աշխատանքային բեռերը։ BGP-ով հաճախորդի սարքի երթուղիները դեպի յուրաքանչյուր պահանջվող նախադրյալ պետք է համապատասխանեն նախագծին և դրա ներմուծման քաղաքականությանը։ Բացակայող հայտարարությունը ճիշտ կոտրված թունելի տեսք ունի։

VPN կապը և տրանզիտային դարպասն այժմ ընդհանուր ենթակառուցվածք են։

Պլանավորե՛ք թունելների ավելորդությունը, սարքերի հզորությունը, մոնիտորինգը և սպասարկումը բոլոր կախյալ VPC-ների շուրջ՝ յուրաքանչյուրը որպես առանձին միացված դիտելու փոխարեն։

Գոյություն ունեցող virtual private gateway կարգավորումից միգրացիան արժանի է նույն բացահայտ պլանին։ Կառուցե՛ք կցորդներն ու քաղաքականությունները, տեղափոխե՛ք մեկ վերահսկվող աշխատանքային երթուղի և հաստատե՛ք թույլատրված ու մերժված հարաբերությունները՝ նախքան հին ուղին դուրս բերելը։ Կենտրոնացումն օգնում է, երբ ցանցային թիմին մեկ տեղ է տալիս ընդհանուր կապը կառավարելու, և վնասում է, երբ մեկ մեծ աղյուսակի հետևում թաքցնում է, թե ով ում կարող է հասնել։