გაზიარებული Transit Gateway: ვის ეკუთვნის მარშრუტები AWS RAM-ში
RAM-ით გაზიარება სხვა ანგარიშს VPC-ის მიმაგრების საშუალებას აძლევს, მაგრამ მარშრუტების ცხრილები, ასოციაციები და გავრცელებები კვლავ კარიბჭის მფლობელს რჩება. აქ არის საზღვარი.
Transit Gateway-ის Resource Access Manager-ით გაზიარება ერთ კონკრეტულ რამეს აკეთებს: სხვა ანგარიშს აძლევს საშუალებას გამოიძახოს მიმაგრების API-ების განსაზღვრული ნაკრები რესურსზე, რომელსაც არ ფლობს. ის არ გადასცემს კარიბჭეს, მის მარშრუტების ცხრილებს ან ტრაფიკის გადაგზავნის წესის გადაწყვეტის უფლებას. ადამიანები საპირისპიროს ვარაუდობენ, რადგან მიმაგრება მიმღების კონსოლში ჩნდება და მაშინვე მუშაობს, რაც საკუთრების შეგრძნებას იძლევა. მიღმა არსებული მექანიზმი გაზიარებულ რესურსზე ნებართვის მინიჭებაა და ყოველი შვილობილი ობიექტი მფლობელის ანგარიშის საზღვრებში რჩება. ეს გაყოფა ხსნის გაზიარებული ტრანზიტის გარშემო წვდომაზე უარის ბილეთების უმეტესობას.
რას აძლევს გაზიარება სინამდვილეში
რესურსის გაზიარება ასახელებს რესურსს, პრინციპალს და მართულ ნებართვას. ნებართვა ჩამოთვლის მოქმედებებს, რომლებიც ამ პრინციპალს შეუძლია შეასრულოს, და Transit Gateway-ისთვის ეს სია მოიცავს მიმაგრების ოპერაციებს გაზიარებულ რესურსზე.
სიის გარეთ ყველაფერი API-ში ვარდება, არა კონსოლში, ამიტომ შეცდომა ხშირად სკრიპტის პირველ გაშვებაზე ჩნდება.
მარშრუტების ცხრილები, ასოციაციები და გავრცელებები მფლობელს რჩება
გადაგზავნას სამი შვილობილი ობიექტი განსაზღვრავს: რომელ მარშრუტების ცხრილს უკავშირდება მიმაგრება, რომელ ცხრილებში ვრცელდება და რა მარშრუტებს შეიცავს ეს ცხრილები. AWS-ის გაზიარების დოკუმენტაცია ამბობს, რომ მიმღებს არ შეუძლია ტრანზიტული კარიბჭის მარშრუტების ცხრილების ან მათი ასოციაციებისა და გავრცელებების შექმნა, შეცვლა ან წაშლა გაზიარების მეშვეობით. ეს გამოძახებები მფლობელი ანგარიშისაა. მიმღები, რომელსაც ახალი ასოციაცია სჭირდება, ადმინისტრაციულ ცვლილებას ითხოვს, არა იმ ნებართვის გამოყენებას, რომლის ჩართვაც დაავიწყდა.
ქვემოთ მოცემული ცხრილი ის გაყოფაა, რომელსაც დიზაინის დოკუმენტებში ვდებ, რადგან პერსონალის ცვლილებებს უძლებს.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
ყურადღებით წაიკითხეთ შუა რიგი: VPC-ის მფლობელი აკონტროლებს თავისი ქვექსელის მარშრუტებს, კარიბჭის მფლობელი აკონტროლებს ცენტრალურ გადაგზავნის გადაწყვეტილებას, და მოქმედ გზას ორივე სჭირდება. არც ერთი ანგარიში ვერ დაასრულებს მას მარტო.
ერთი გზა, ორი ანგარიში
თვალი ადევნეთ პაკეტს spoke VPC-იდან ლოკალურ პრეფიქსამდე. Spoke ქვექსელის მარშრუტების ცხრილმა ეს პრეფიქსი ტრანზიტული კარიბჭის მიმაგრებას უნდა გაუგზავნოს, რისი შეცვლაც VPC-ის მფლობელს შეუძლია. შემდეგ კარიბჭეს მიმაგრების დაკავშირებულ ცხრილში უნდა ჰქონდეს მარშრუტი, რომელიც VPN მიმაგრებაზე მიუთითებს, და ამის შეცვლა მხოლოდ მფლობელს შეუძლია. დაბრუნების ტრაფიკს ორივეს სარკე სჭირდება. გამოტოვეთ რომელიმე მხარე და მიიღებთ ნახევრად დაყენებულ გზას, რომელიც firewall-ის პრობლემას ჰგავს.
დაწერეთ ორივე ცვლილება ერთ ბილეთში ორი პასუხისმგებელით, თორემ ისინი სხვადასხვა კვირაში დასრულდება.
გამოიყენეთ ხელმისაწვდომობის ზონის ID-ები, როცა განლაგებას მნიშვნელობა აქვს
ზონის სახელები ანგარიშის ლოკალური ფსევდონიმებია. us-east-1a ერთ ანგარიშში არ არის გარანტირებული, რომ იგივე ფიზიკური ზონაა, რაც us-east-1a სხვაში. როცა დიზაინს მიმაგრება და დატვირთვა ერთ ზონაში სჭირდება, შეადარეთ AZ ID-ები და ჩაიწერეთ.
სახელების შედარება იძლევა დიაგრამას, რომელიც სწორად გამოიყურება, და შეყოვნების პროფილს, რომელიც ასე არ არის. შეამოწმეთ ეს, სანამ დიაგრამა ჯერ კიდევ იხაზება, და არა მას შემდეგ, რაც ვინმემ სხვაობა გაზომა.
გაზიარების გაუქმება მონაცემთა გზას არ წყვეტს
გაზიარების მოშორება გაუქმებას ჰგავს და ეს ტრაფიკის მყისიერი შეჩერება არ არის. AWS ადასტურებს, რომ მიმაგრება ფუნქციონალური რჩება, როცა კარიბჭე გაზიარებიდან გადის. რესურსის მართვის ნებართვა ქრება, ხოლო უკვე არსებული მიმაგრება აგრძელებს გადაგზავნას, სანამ ვინმე წაშლის ან გამორთავს მას. დაგეგმეთ გაუქმება ორ ნაბიჯად: მოაშორეთ გაზიარება, შემდეგ მიმაგრება, და მეორეს მფლობელი ასრულებს.
თუ გაზიარება თქვენი ერთადერთი კონტროლია, კონტროლი არ გაქვთ.
შეინახეთ გაზიარების ჩანაწერი და მარშრუტიზაციის ჩანაწერი ერთად
ორი არტეფაქტი ორ განსხვავებულ კითხვას პასუხობს. გაზიარების ჩანაწერი ამბობს, ვის შეუძლია რესურსზე მუშაობა. მარშრუტების ცხრილები ამბობენ, რომელ ქსელებს შეუძლიათ რეალურად საუბარი. შეინახეთ ისინი ერთად იმავე მფლობელთა სიით, თორემ შემდეგი ინციდენტი დაიწყება იმით, რომ ვინმე ამტკიცებს ნებართვას, რომელიც არასდროს ყოფილა პრობლემა.
შემდეგ შეამოწმეთ ერთი დინება თითოეული მიმართულებით და ერთი პრეფიქსი, რომელიც მიუწვდომელი უნდა დარჩეს.