AWS Transit Gateway-дегі бірнеше VPC үшін бір сайт арасындағы VPN

VPN-ді бір рет және әр VPC-ні бір транзиттік қақпаға қосыңыз, содан кейін байланыстыруды таратудан бөліңіз, осылайша тармақтар кеңсеге жетеді, бірақ бір-біріне жетпейді.

Осы тоқсанда екі VPC-ге кеңсе желісі қажет, ал бағалау дәл екінші туннельде бұзылады. AWS Transit Gateway ортақ маршруттау хабы ретінде қызмет ете алады: VPN бір рет қосылады, әр VPC сол хабқа қосылады. Содан кейін жергілікті желі бір қосылым арқылы барлық қосылған VPC-ге жетеді. Бұл маршруттау шешімі кімге тиесілі екенін өзгертеді, және көптеген жобалар дәл осы бөлікте қателеседі.

VPN тіркемесі мен VPC тіркемелері бір қақпадағы жеке объектілер, сондықтан маршруттау қатынастарын кейін құру қажет.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Неге peering адамдар күтетін қысқа жол емес

Азғырарлық балама — VPN-ді VPC A-да аяқтап, VPC B-ні соған peering арқылы қосу. Кәдімгі VPC peering A-ның VPN қосылымы арқылы шеттен шетке транзит бермейді. Peer тек peering өзі беретін мекенжайларға жетеді, ал VPN шеті олардың бірі емес. Транзитті хаб береді; peering саған жұп береді.

Бұл шектеу peering-дің қасиеті, көтеруге болатын квота емес.

Байланыстыру мен тарату түрлі жұмыс істейді

Транзиттік қақпаның ішінде байланыстыру тіркемеден келетін трафикті іздеуге қолданылатын маршрут кестесін таңдайды. Тарату қандай кестелерге тіркеменің үйренген немесе қосылған префикстері түсетінін анықтайды. Бір тіркеме бір кестемен байланысып, сонымен бірге бірнешеуіне тарала алады. Екеуін шатастыру — жобаның ешкім жоспарламаған қолжетімділікке жету жолы.

Толық қосылған шағын хаб оңай жағдай.

Әр тіркемені бір кестеге салыңыз, сонда VPN екі VPC префиксімен бірге таза шешіледі. Бұл сонымен қатар ұйым ешқашан көздемеген VPC арасындағы қолжетімділікке жол береді, өйткені ортақ кесте тармақ ұғымын білмейді.

Жүктемелердің маршруттары басқа жерде тұрады

Әр жүктеме қосалқы желісіне көзделген жергілікті префикстер үшін транзиттік қақпаға қарай өз маршруты әлі де қажет. Ол VPC маршрут кестелері транзиттік қақпаның өз кестелерінен жеке объектілер. Қажет префикстерді қосыңыз және әр тағайындалымды жаңа default-пен алмастырмай, қолданыстағы маршруттарды сақтаңыз. Қосалқы желі маршруты тұтынушы құрылғысына ештеңе жарияламайды.

Динамикалық немесе статикалық маршруттауды әдейі таңдаңыз; peering екеуін де бермейді.

Жергілікті қатынасты жоғалтпай тармақтарды оқшаулаңыз

A мен B екеуі де кеңсеге жете алса, бірақ бір-біріне маршруттамауы керек болса, кестелерді бөліңіз. VPN тіркемесінің байланысқан кестесі VPC префикстерін ұстайды. VPC тіркемелерінің байланысқан кестесі жергілікті префикстерді ұстайды, A-ны B-мен жалғайтын маршрутсыз. Бұл қатынасты тарату жасайды, сондықтан барлық әдепкі байланыстыруды қабылдау міндетті емес.

Бұл маршруттау оқшаулауы, ал бұл қолданба авторизациясы емес.

Қауіпсіздік топтары, желілік ACL-дер, хосттық брандмауэрлер және әр қызметтің өз рұқсаттары қандай трафик қабылданатынын әлі де шешеді. Тексеру қажет болса, хаб мұны істейді деп болжаудың орнына оның қолдау көрсетілетін жолын анық жобалаңыз.

Хаб түзетпейтін нәрсе

Мекенжай жоспарлары әлі де қабаттаспауы керек, өйткені хаб бір префикстің екі жүктемені белгілеуіне жол бермейді. Әр VPC тіркемесіне оның жүктемелері күтетін Availability Zone қамтуы қажет. BGP-мен тұтынушы құрылғысының әр қажет префикске қайтатын маршруттары жобаға және оның импорт саясатына сәйкес болуы керек. Жетіспейтін хабарландыру дәл сынған туннельге ұқсайды.

VPN қосылымы мен транзиттік қақпа енді ортақ инфрақұрылым.

Туннельдердің артықтығын, құрылғы сыйымдылығын, мониторинг пен техникалық қызметті барлық тәуелді VPC айналасында жоспарлаңыз, әрқайсысын дербес қосылған деп санаудың орнына.

Қолданыстағы virtual private gateway конфигурациясынан көшу де осындай анық жоспарды талап етеді. Тіркемелер мен саясаттарды құрыңыз, бір бақыланатын жүктеме маршрутын жылжытыңыз және ескі маршрутты тоқтатпас бұрын рұқсат етілген мен қабылданбаған қатынастарды растаңыз. Орталықтандыру желі тобына ортақ байланысты басқаруға бір орын бергенде көмектеседі, ал бір үлкен кестенің артында кімнің кімге жете алатынын жасырғанда зиян келтіреді.

Қатысты мақалалар