ერთი VPN საიტებს შორის რამდენიმე VPC-სთვის AWS Transit Gateway-ზე

ორ VPC-ს ამ კვარტალში ოფისის ქსელი სჭირდება და სწორედ მეორე გვირაბზე ტყდება შეფასება. AWS Transit Gateway შეიძლება იყოს საერთო მარშრუტიზაციის ცენტრი: VPN ერთხელ მიუერთდება და თითოეული VPC იმავე ცენტრს უერთდება. შემდეგ ლოკალური ქსელი ერთი კავშირით აღწევს ყველა მიერთებულ VPC-ს. ეს ცვლის, ვის ეკუთვნის მარშრუტიზაციის გადაწყვეტილება, და სწორედ ამ ნაწილში უშვებს შეცდომას უმეტესობა დიზაინი.

VPN-ის მიმაგრება და VPC-ების მიმაგრებები ერთი და იმავე კარიბჭეზე ცალკეული ობიექტებია, ამიტომ მარშრუტიზაციის კავშირები შემდეგ უნდა აშენდეს.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

რატომ არ არის peering ის მოკლე გზა, რომელსაც ხალხი იმედოვნებს

მაცდური ალტერნატივაა VPN-ის დასრულება VPC A-ზე და VPC B-ის peering-ით მასთან დაკავშირება. ჩვეულებრივი VPC peering არ იძლევა კიდიდან კიდემდე ტრანზიტს A-ს VPN კავშირის გავლით. Peer აღწევს მხოლოდ იმ მისამართებს, რომლებსაც თავად peering იძლევა, და VPN კიდე მათგან არ არის. ტრანზიტს ცენტრი იძლევა, peering კი გაძლევთ წყვილს.

ეს შეზღუდვა peering-ის თვისებაა და არა კვოტა, რომლის გაზრდაც შეიძლება.

ასოცირება და გავრცელება სხვადასხვა სამუშაოს ასრულებს

გადამცემი კარიბჭის შიგნით ასოცირება ირჩევს იმ მარშრუტების ცხრილს, რომლითაც მიმაგრებიდან მოსული ტრაფიკი იძებნება. გავრცელება განსაზღვრავს, რომელ ცხრილებს მიეცემათ მიმაგრების ნასწავლი ან დაკავშირებული პრეფიქსები. ერთი მიმაგრება შეიძლება ასოცირდებოდეს ერთ ცხრილთან და ამავდროულად გავრცელდეს რამდენიმეში. ამ ორის არევა ის გზაა, რომლითაც დიზაინი იმ ხელმისაწვდომობამდე მიდის, რომელიც არავის დაუგეგმავს.

სრულად დაკავშირებული პატარა ცენტრი მარტივი შემთხვევაა.

მოათავსეთ თითოეული მიმაგრება ერთ ცხრილში და VPN ორივე VPC პრეფიქსთან ერთად სუფთად იხსნება. ეს ასევე უშვებს VPC-ებს შორის ხელმისაწვდომობას, რომელიც ორგანიზაციას შესაძლოა არასდროს უნდოდა, რადგან საერთო ცხრილს ტოტის ცნება არ იცის.

დატვირთვების მარშრუტები სხვაგან ცხოვრობს

თითოეულ დატვირთვის ქვექსელს კვლავ სჭირდება საკუთარი მარშრუტი გადამცემი კარიბჭისკენ, განკუთვნილი ლოკალური პრეფიქსებისთვის. ის VPC მარშრუტების ცხრილები ცალკეული ობიექტებია თავად კარიბჭის ცხრილებისგან. დაამატეთ საჭირო პრეფიქსები და შეინარჩუნეთ არსებული მარშრუტები, ნაცვლად იმისა, რომ ყოველი დანიშნულება ახალი default-ით შეცვალოთ. ქვექსელის მარშრუტი ასევე არაფერს აცხადებს მომხმარებლის მოწყობილობისთვის.

აირჩიეთ დინამიკური თუ სტატიკური მარშრუტიზაცია გააზრებულად; peering არც ერთს არ იძლევა.

გამოყავით ტოტები ლოკალური წვდომის დაკარგვის გარეშე

როცა A და B ორივეს შეუძლია ოფისამდე მისვლა, მაგრამ ერთმანეთისკენ არ უნდა მარშრუტიზდეს, გაყავით ცხრილები. VPN მიმაგრების ასოცირებული ცხრილი VPC პრეფიქსებს ინახავს. VPC მიმაგრებების ასოცირებული ცხრილი ლოკალურ პრეფიქსებს ინახავს, A-ს B-სთან დამაკავშირებელი მარშრუტის გარეშე. სწორედ გავრცელება ქმნის ამ კავშირს, ამიტომ არასდროს გიწევთ ყველა ნაგულისხმევი ასოცირების მიღება.

ეს არის მარშრუტიზაციის იზოლაცია და ეს არ არის აპლიკაციის ავტორიზაცია.

უსაფრთხოების ჯგუფები, ქსელური ACL-ები, ჰოსტის ფაირვოლები და თითოეული სერვისის საკუთარი ნებართვები კვლავ განსაზღვრავენ, რომელი ტრაფიკი მიიღება. თუ შემოწმება საჭიროა, დააპროექტეთ მისი მხარდაჭერილი გზა ცხადად, ნაცვლად იმისა, რომ ჩათვალოთ, ცენტრი ამას აკეთებს.

რასაც ცენტრი არ ასწორებს

მისამართების გეგმები კვლავ არ უნდა ემთხვეოდეს, რადგან ცენტრი არ უშვებს ერთი პრეფიქსის მიერ ორი დატვირთვის აღნიშვნას. თითოეულ VPC მიმაგრებას სჭირდება ის Availability Zone დაფარვა, რომელსაც მისი დატვირთვები ელიან. BGP-ით მომხმარებლის მოწყობილობის მარშრუტები ყოველი საჭირო პრეფიქსისკენ უნდა შეესაბამებოდეს დიზაინს და მისი იმპორტის პოლიტიკას. დაკარგული განცხადება ზუსტად გატეხილ გვირაბს ჰგავს.

VPN კავშირი და გადამცემი კარიბჭე ახლა საერთო ინფრასტრუქტურაა.

დაგეგმეთ გვირაბების სიჭარბე, მოწყობილობების მოცულობა, მონიტორინგი და მოვლა ყველა დამოკიდებული VPC-ის გარშემო, ნაცვლად იმისა, რომ თითოეულს დამოუკიდებლად დაკავშირებულად მოეპყრათ.

არსებული virtual private gateway განწყობიდან მიგრაცია იმავე ცხად გეგმას იმსახურებს. ააშენეთ მიმაგრებები და პოლიტიკები, გადაიტანეთ ერთი კონტროლირებადი დატვირთვის მარშრუტი და ძველი მარშრუტის გაუქმებამდე დაადასტურეთ დაშვებული და უარყოფილი კავშირები. ცენტრალიზაცია ეხმარება, როცა ქსელის გუნდს საერთო კავშირის სამართავად ერთ ადგილს აძლევს, და ზიანს აყენებს, როცა ერთი დიდი ცხრილის მიღმა მალავს, ვის შეუძლია ვისთან მისვლა.