Երկու AWS հաշիվ, մեկ տեղական ցանց։ ո՞ր ուղին
Ընդհանուր Transit Gateway, երկու անկախ VPN կամ մեկ նեղ վստահված սերվեր։ ընտրեք ըստ սեփականության և ազդեցության շրջանակի, այլ ոչ թե այն բանից, թե որ երթուղին է այսօր ամենահեշտ ավելացնելը։
Ակնհայտ շրջանակը peering-ն ընդդեմ VPN-ի է, և դա սխալ շրջանակ է։ Փիրինգ արված VPC-ն չի կարող վերցնել հարևանի VPN միացումը եզրից եզր երթուղավորման համար, ուստի այդ տարբերակը երբեք սեղանին չի եղել, ինչ էլ առաջարկի երթուղիների աղյուսակը։ Այն, ինչից իրականում ընտրում եք, ընդհանուր ցանցային հանգույցն է, երկու անկախ VPN ուղին և մեկ նեղ ծրագրային մուտք։ Յուրաքանչյուրը պատասխանում է տարբեր հարցի այն մասին, թե ով է տիրապետում երթուղավորմանը։
Երեք տարբերակ և այն, որը տարբերակ չէ
Սկսեք ջնջելով peering-ի գաղափարը, ապա համեմատեք մնացածը ըստ սեփականության, այլ ոչ թե գծապատկերի պարզության։ Ստորև բերված աղյուսակը որոշումն է սեղմված տեսքով։
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Եթե A հաշվին անհրաժեշտ է հասանելիություն ամբողջ տեղական ցանցին, վստահված սերվերի տողը սխալ ձևի է։ Եթե A հաշվին անհրաժեշտ է մեկ API, առաջին երկու տողերը ավելի շատ ցանց են, քան պահանջն է խնդրել։
Երբ հաղթում է ընդհանուր Transit Gateway-ն
Transit Gateway-ն կցում է յուրաքանչյուր VPC և VPN-ը որպես առանձին ցանցեր, և հաշիվների միջև կիսումը թույլ է տալիս VPC-ների սեփականատերերին օգտագործել հանգույցը՝ առանց հաշիվները միավորելու։ Սա է գրավչությունը՝ մեկ տեղ, որտեղ տեղական նախածանցները հանդիպում են AWS ցանցերին, և մեկ տեղ՝ մտածելու, թե որ կցորդը որ երթուղին է սովորում։
Ամեն ինչ կցելը չի նշանակում ամեն ինչ թույլատրել։ Միավորումը և տարածումը որոշում են, թե որ կցորդն օգտագործում է որ երթուղիների աղյուսակը, ուստի երկու VPC նախածանց կարող են յուրաքանչյուրը հասնել տեղական ծառայության, մինչդեռ նրանց փոխադարձ հասանելիությունը մնում է բացառված հանգույցի նախագծով։ Տեղական կողմը դեռ պետք է վերադարձի երթուղիներ AWS նախածանցների համար, և դա այլ թիմի փոփոխության տոմս է։
Ծախսը կազմակերպչական է այնքան, որքան ֆինանսական։ Հանգույցի սեփականատերը վերահսկում է երթուղավորման հարաբերությունները, որոնցից կախված են այլ թիմեր, ուստի մեկ կցորդի փոփոխությունը կարող է տեղափոխել ծառայության երթևեկություն, որի մասին հանգույցի սեփականատերը երբեք չի լսել։ Կցման ժամերը և տվյալների մշակումը գումարվում են յուրաքանչյուր ցանցի հետ, որը կցում եք, և այդ պատճառով հանգույցները սովորաբար աճում են ավելի արագ, քան դրանք կառավարող թիմը։
Երբ հաղթում են առանձին VPN-ները կամ նեղ վստահված սերվերը
Երկու անկախ VPN հարմար են փոքր տեղակայմանը՝ իրական գործառնական սահմաններով՝ յուրաքանչյուր հաշիվ փոխում է իր թունելները, և ոչ մեկը չի կարող կոտրել մյուսին՝ խմբագրելով երթուղիների աղյուսակը։ Սահմանները տեղական կողմում են։ Զուգընկեր դարպասին անհրաժեշտ է հզորություն լրացուցիչ թունելների համար, հասցեների պլանները չպետք է համընկնեն, և նույն նախածանցները հայտարարող երկու կարգավորումների անհրաժեշտ է դիտավորյալ նախապատվություն, այլ ոչ թե հույս։
Վստահված սերվերը ամենանեղ միջերեսն է։ Եթե A հաշվին անհրաժեշտ է մեկ տվյալների բազա կամ մեկ API B հաշվում, սահմանափակ միջնորդը ձեզ տալիս է սահմանված մուտք՝ իր իսկ նույնականացման, գրանցման և հասանելիության պատմությամբ։ Դա նաև ամենից հաճախ չարաշահվող տարբերակն է՝ միջնորդը, որը փոխանցում է յուրաքանչյուր մասնավոր նպատակակետ, դարձել է անսահմանափակ ռելե՝ լրացուցիչ քայլերով, և այն չի վարվի որպես թափանցիկ անցում VPC-ից տեղական ցանց որևէ այլ բանի համար։
Արժե կարդալ VPC peering-ի սահմանափակումները այս ամենից առաջ, որովհետև դրանք բացատրում են, թե ինչու չորրորդ գաղափարը մշտապես վերադառնում է և ինչու այն չի կարող աշխատել։
Ընտրեք ամենանեղ միջերեսը, որը բավարարում է պահանջը
Դասավորեք հարցերը՝ A-ին անհրաժեշտ է ցանց, ցանցերի հավաքածու, թե՞ մեկ ծառայություն։ Տեղական թիմը ուզում է մեկ ուղի, թե՞ մի քանիսը։ Ո՞վ իրավունք ունի փոխել երթուղավորումը մյուս թիմի երթևեկության համար։ Առաջին պատասխանը, որը ստեղծում է ամենանեղ միջերեսը, ճարտարապետությունն է, և դրանից հետո ամեն ինչ ներդրում է։
Գրանցեք պատասխանը նախածանցների պլանի, երթուղիների սեփականության, թունելների կամ կցորդների գույքագրման և յուրաքանչյուր կողմի սպասվող ձախողման ռեժիմի հետ միասին։ Երբ ինչ-որ մեկը հետագայում հարցնի, թե ինչու A հաշիվը չի կարող պարզապես օգտագործել B հաշվի VPN-ը, այդ գրառումը պատասխանն է, և այն փրկում է ձեզ նույն երեք տարբերակները նորից քննարկելուց հաջորդ նախագծում։