AWS VPN-ге жергілікті қосымша желіні қосу: VGW немесе Transit Gateway
BGP хабарландыруы AWS-ке пакеттерді қайда жіберу керектігін айтады; ол жергілікті жол жасамайды. VGW немесе transit gateway шекарасын, содан кейін қайтару саясатын тексеріңіз.
Бар Site-to-Site VPN 10.60.0.0/16 мекенжайын тасымалдайды, сол жергілікті шлюздің артында 10.70.0.0/16 ретінде жаңа қызмет желісі пайда болады, және біреу прокси керек пе деп сұрайды. Әдетте жоқ: маршрутталған жол префиксті тасымалдай алады, бірақ тек үш нәрсе сәйкес келгенде, ал қай үшеуі сіз қазірдің өзінде іске қосып отырған AWS архитектурасына байланысты. Виртуалды жеке шлюздің бір маршрут кестесінің шекарасы бар; transit gateway екіншісін қосады. Хабарландыру дұрыс, кесте қате болса, сау көрінетін және ештеңе жеткізбейтін сессия пайда болады.
Шлюз шынымен жеткізе алатын префиксті жариялаңыз
Кез келген хабарландыру мәнге ие болуы үшін жергілікті шлюзге жаңа желіге қарай жол қажет. 10.70.0.0/16-ны BGP арқылы хабарландыру AWS-ке сол диапазонның пакеттерін қайда жіберуді айтады; ол диапазонды екінші жақта қолжетімді ететін жергілікті жіберу жолын жасамайды. Шлюзде префикс үшін оны ұстап тұрған құрылғыға көрсететін маршрут бар екенін және құрылғы сол мекенжайларға жауап беруге конфигурацияланғанын растаңыз. Экспорт саясаты мен қабылданатын префикс шектеулері келесі шектеу, өйткені сессия сүзетін префикс AWS-ке мүлде жетпейді.
Агрегаттар мен нақтырақ маршруттарды әдейі ұстаңыз. Екі жақтан келетін қабаттасқан жолдар — дизайн шешімі, кейін табылатын деталь емес.
Бірінші жол: виртуалды жеке шлюз шекарасы
Виртуалды жеке шлюзбен AWS VPN маршруттау құжаттамасы екі тарату режимін сипаттайды — статикалық маршруттар мен BGP хабарландырулары — және екеуі де қолданба шынымен пайдаланатын қосымша желі маршрут кестесіне тәуелді. Бүкіл диапазонды басқарсаңыз тарату ыңғайлы, ал мақсатты нысанның қасында көрсеткіңіз келсе, айқын маршрутты ойлау оңайырақ. Қалай болғанда да тексеру бірдей: нақты қолданба қосымша желісінің кестесінде жаңа префикс үшін VPN нысанына жұмыс істейтін жол бар ма және ол нақтырақ нәрсеге қарсы жеңе ме?
Сау BGP сессиясы арнаның бар екенін дәлелдейді. Ол берілген қосымша желі кестесінің маршрутты қабылдағанын білдірмейді.
Екінші жол: transit gateway кесте қосады
Transit gateway сол бір сұрақты екіге бөледі. VPC қосымша желісі межелі нүктені transit gateway тіркемесіне жіберуі керек, содан кейін transit gateway маршрут кестесі сол префикс үшін VPN тіркемесін таңдауы керек. Байланыстыру мен тарату таңдауы қай қосылған желілердің маршрутты алатынын анықтайды, сондықтан префикс VPN арқылы дұрыс хабарланып, кестесі дұрыс маршрут кестесімен ешқашан байланыстырылмаған VPC-ке жетпеуі мүмкін.
Жиі кездесетін ақау — бір кестеде бар, екіншісінде жоқ маршрут, әр команда өз жағы дұрыс деп сенеді. Екі архитектураны салыстырғанда, осы қосымша шекара — бүкіл айырмашылық: қарайтын орын көбірек және маршрутты кім алатынын дәлірек бақылау.
Маршруттарды тарату да әр тіркемеге префиксті бермейді. Ол оны қабылдауға конфигурацияланған кестелерге таратады.
Қайтару жолы — жеке саяси шешім
Келетін трафик — алмасудың жартысы ғана. Жаңа жергілікті желіге дұрыс шлюз арқылы AWS бастапқы префикстеріне қайтару жолы қажет, ал екі жақтағы қауіпсіздік саясаты сол бастапқы және межелі жұпқа рұқсат беруі керек. Егер туннель трафик селекторларымен қорғау аясын келіссе, жаңа префикс оның ішінде болуы керек, әйтпесе пакет кез келген маршрут кестесіне қаралмай тұрып тасталады.
Мекенжайлардың қабаттасуы — екінші тұзақ. Бөлек, айқын иеленген диапазондар мұны қарапайым ұстайды; қабаттасатын диапазондар аударманы немесе қайта жобалауды білдіреді, және ешқайсысы сол рецепттің алмастырылатын нұсқасы емес.
Жаңа желідегі көзімен және қолданба қосымша желісіндегі межесімен сынаңыз, содан кейін кері бағытта қайталаңыз. Бір бағытты сынақ тек бір бағытты дәлелдейді.
Прокси шынымен жақсырақ шекара болғанда
Прокси өз орнын талап тар қызмет интерфейсі болғанда, қолданба бұл архитектураны күтіп тұрғанда немесе желі жолын сіз қаламайтын аудармасыз префиксті тасымалдауға мәжбүрлеу мүмкін болмағанда алады. Ол ешкім тексермеген маршрут кестесі жазбасының қосалқы шешімі емес.
Осы ретпен шешіңіз: жергілікті жіберу, хабарландыру, кесте шекарасы, қайтару саясаты. Бірінші сәтсіз болғанын түзетіңіз, содан кейін ғана маршрутталған жолдың жалпы дұрыс жауап екенін сұраңыз.