AWS VPN’ге жергиликтүү кошумча тармакты кошуу: VGW же Transit Gateway
BGP жарнамасы AWS’ке пакеттерди кайда жөнөтүүнү айтат; ал жергиликтүү жол түзбөйт. VGW же transit gateway чек арасын, анан кайтаруу саясатын текшериңиз.
Учурдагы Site-to-Site VPN 10.60.0.0/16 дарегин ташыйт, ошол эле жергиликтүү шлюздун артында 10.70.0.0/16 катары жаңы кызмат тармагы пайда болот, жана бирөө прокси керекпи деп сурайт. Адатта жок: маршрутталган жол префиксти ташыса болот, бирок үч нерсе дал келгенде гана, ал эми кайсы үчөө сиз азыр иштетип жаткан AWS архитектурасына байланыштуу. Виртуалдык жеке шлюздун бир маршрут таблицасынын чек арасы бар; transit gateway экинчисин кошот. Жарнама туура, таблица катаа болсо, ден соолугу жакшы көрүнгөн жана эч нерсе жеткирбеген сессия пайда болот.
Шлюз чындап жеткире алган префиксти жарыялаңыз
Ар кандай жарнама мааниге ээ болушу үчүн жергиликтүү шлюзга жаңы тармакка карай жол керек. 10.70.0.0/16’ны BGP аркылуу жарыялоо AWS’ке ошол диапазондун пакеттерин кайда жөнөтүүнү айтат; ал диапазонду экинчи тарапта жеткиликтүү кылган жергиликтүү өткөрүү жолун түзбөйт. Шлюздо префикс үчүн аны кармаган түзмөккө көрсөткөн маршрут бар экенин жана түзмөк ошол даректерге жооп берүүгө конфигурацияланганын ырастаңыз. Экспорт саясаты жана кабыл алынган префикс чектөөлөрү кийинки чектөө, анткени сессия чыпкалаган префикс AWS’ке такыр жетпейт.
Агрегаттарды жана так маршруттарды атайын кармаңыз. Эки тараптан келген капталган жолдор — долбоорлоо чечими, кийин табыла турган деталь эмес.
Биринчи жол: виртуалдык жеке шлюздун чек арасы
Виртуалдык жеке шлюз менен AWS VPN маршруттоо документтери эки тарату режимин сүрөттөйт — статикалык маршруттар жана BGP жарнамалары — жана экөө тең колдонмо чындап колдонгон кошумча тармактын маршрут таблицасына көз каранды. Бүт диапазонду көзөмөлдөсөңүз тарату ыңгайлуу, ал эми максатты объектинин жанында көрсөткүңүз келсе, ачык маршрутту ойлонуу жеңил. Кандай болбосун текшерүү бирдей: конкреттүү колдонмонун кошумча тармагынын таблицасында жаңы префикс үчүн VPN максатына иштеген жол барбы жана ал такыраак нерсеге каршы утабы?
Ден соолугу жакшы BGP сессиясы каналдын бар экенин далилдейт. Ал берилген кошумча тармак таблицасы маршрутту кабыл алганын айтпайт.
Экинчи жол: transit gateway таблица кошот
Transit gateway ошол бир суроону экиге бөлөт. VPC кошумча тармагы бара турган жерди transit gateway тиркемесине жөнөтүүгө тийиш, анан transit gateway маршрут таблицасы ошол эле префикс үчүн VPN тиркемесин тандашы керек. Байланыштыруу жана тарату тандоолору кайсы туташкан тармактар маршрутту аларын аныктайт, ошондуктан префикс VPN тарабынан туура жарыяланып, таблицасы туура маршрут таблицасына эч качан байланыштырылбаган VPC’ге жетпей калышы мүмкүн.
Кеңири тараган бузулуу — бир таблицада бар, экинчисинде жок маршрут, ар бир команда өз тарабы туура деп ишенет. Эки архитектураны салыштырганда, ушул кошумча чек ара — бүт айырма: кароого көбүрөөк жер жана маршрутту ким аларын такыраак көзөмөлдөө.
Маршруттарды таратуу да ар бир тиркемеге префиксти бербейт. Ал аны кабыл алууга конфигурацияланган таблицаларга бөлүштүрөт.
Кайтаруу жолу — өзүнчө саясий чечим
Келген трафик — алмашуунун жарымы гана. Жаңы жергиликтүү тармакка туура шлюз аркылуу AWS баштапкы префикстерине кайтаруу жолу керек, ал эми эки тараптагы коопсуздук саясаты ошол баштапкы жана бара турган жер жуптарына уруксат бериши керек. Эгер туннель трафик селекторлору менен коргоо аймагын келишсе, жаңы префикс анын ичинде болушу керек, болбосо пакет кандайдыр бир маршрут таблицасы каралганга чейин эле ыргытылат.
Даректердин капталышы — экинчи тузак. Бөлүнгөн, ачык ээлик кылган диапазондор муну жөнөкөй сактайт; капталган диапазондор которууну же кайра долбоорлоону билдирет, жана экөө тең ошол эле рецепттин алмаштырылуучу варианты эмес.
Жаңы тармактагы булак жана колдонмонун кошумча тармагындагы бара турган жер менен сынаңыз, анан карама-каршы багытта кайталаңыз. Бир багыттуу сыноо бир гана багытты далилдейт.
Прокси чындап жакшыраак чек ара болгондо
Прокси өз ордун талап тар кызмат интерфейси болгондо, колдонмо бул архитектураны күтүп турганда, же тармак жолун сиз каалабаган которуусуз префиксти ташууга мажбурлоо мүмкүн болбогондо алат. Ал эч ким текшербеген маршрут таблицасынын жазуусу үчүн камдык чечим эмес.
Ушул тартипте чечиңиз: жергиликтүү өткөрүү, жарнама, таблицанын чек арасы, кайтаруу саясаты. Биринчи ишке ашпаганын оңдоңуз, анан гана маршрутталган жол жалпы туура жооппу деп сураңыз.