AWS Transit Gateway ичинде бир нече VPC үчүн бир сайт аралык VPN

VPNди бир жолу жана ар бир VPCни бир транзиттик дарбазага туташтырыңыз, андан кийин байланышты таратуудан бөлүңүз, ошентип бутактар кеңсеге жетет, бирок бири-бирине жетпейт.

Бул чейректе эки VPCге кеңсе тармагы керек, жана баа дал экинчи туннелде бузулат. AWS Transit Gateway жалпы маршруттоо борбору боло алат: VPN бир жолу туташат, ар бир VPC ошол борборго туташат. Андан кийин жергиликтүү тармак бир туташуу аркылуу бардык туташкан VPCге жетет. Бул маршруттоо чечими кимге таандык экенин өзгөртөт, жана көпчүлүк долбоорлор ушул бөлүктө ката кетирет.

VPN тиркемеси жана VPC тиркемелери бир дарбазадагы өзүнчө объектилер, ошондуктан маршруттоо мамилелерин кийин курүү керек.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Эмне үчүн peering адамдар күткөн кыска жол эмес

Азгырган альтернатива VPNди VPC Aда бүтүрүп, VPC Bни ага peering аркылуу туташтыруу. Кадимки VPC peering Aнын VPN байланышы аркылуу чектен чекке транзит бербейт. Peer peering өзү берген даректерге гана жетет, ал эми VPN чеки алардын бири эмес. Транзитти борбор берет; peering сага жуп берет.

Бул чектөө peeringдин касиети, көтөрүүгө боло турган квота эмес.

Байланыштыруу жана таратуу ар башка иштейт

Транзиттик дарбазанын ичинде байланыштыруу тиркемеден келген трафикти издөө үчүн колдонулган маршрут таблицасын тандайт. Таратуу кайсы таблицаларга тиркеменин үйрөнгөн же туташкан префикстери түшөрүн аныктайт. Бир тиркеме бир таблица менен байланышып, ошол эле учурда бир нечесине тарай алат. Экөөнү чаташтыруу — долбоор эч ким пландабаган жеткиликтүүлүккө жетүү жолу.

Толук туташкан кичине борбор оңой учур.

Ар бир тиркемени бир таблицага салыңыз, ошондо VPN эки VPC префикси менен таза чечилет. Бул ошондой эле уюм эч качан каалабаган VPCлер ортосундагы жеткиликтүүлүккө жол берет, анткени жалпы таблица бутак деген түшүнүктү билбейт.

Жүктөмдөрдүн маршруттары башка жерде жашайт

Ар бир жүктөм ички тармагына көздөлгөн жергиликтүү префикстер үчүн транзиттик дарбаза тарапка өз маршруту керек. Ал VPC маршрут таблицалары транзиттик дарбазанын өз таблицаларынан өзүнчө объекттер. Керектүү префикстерди кошуңуз жана ар бир багыттоону жаңы default менен алмаштырбастан учурдагы маршруттарды сактаңыз. Ички тармак маршруту кардардын түзмөгүнө эч нерсе жарыялабайт.

Динамикалык же статикалык маршруттоону атайын тандаңыз; peering экөөнү тең бербейт.

Жергиликтүү жетүүнү жоготпостон бутактарды бөлүңүз

A жана B экөө тең кеңсеге жете алса, бирок бири-бирине маршруттабашы керек болсо, таблицаларды бөлүңүз. VPN тиркемесинин байланышкан таблицасы VPC префикстерин кармайт. VPC тиркемелеринин байланышкан таблицасы жергиликтүү префикстерди кармайт, Aны B менен туташтырган маршрутсуз. Бул мамилени таратуу түзөт, ошондуктан бардык демейки байланыштырууну кабыл алуу милдеттүү эмес.

Бул маршруттоо обочолондуруусу, ал эми бул колдонмо авторизациясы эмес.

Коопсуздук топтору, тармактык ACLдер, хост брандмауэрлери жана ар бир кызматтын өз уруксаттары кайсы трафик кабыл алынарын дагы эле чечет. Текшерүү керек болсо, борбор муну жасайт деп божомолдоонун ордуна анын колдоого алынган жолун ачык долбоорлоңуз.

Борбор оңдобогон нерсе

Дарек пландары дагы эле капталышпашы керек, анткени борбор бир префикстин эки жүктөмдү белгилөөсүнө жол бербейт. Ар бир VPC тиркемесине анын жүктөмдөрү күткөн Availability Zone камтуусу керек. BGP менен кардар түзмөгүнүн ар бир керектүү префикске кайра маршруттары долбоорго жана анын импорт саясатына туура келиши керек. Жетишпеген жарыялоо дал сынган туннелге окшош.

VPN байланышы жана транзиттик дарбаза эми жалпы инфраструктура.

Туннелдердин ашыкчалыгын, түзмөк сыйымдуулугун, мониторингди жана тейлөөнү бардык көз каранды VPCлердин айланасында пландаңыз, ар бирин өзүнчө туташкан деп эсептөөнүн ордуна.

Учурдагы virtual private gateway конфигурациясынан көчүү да ушундай ачык планды талап кылат. Тиркемелерди жана саясаттарды куруңуз, бир көзөмөлдөнгөн жүктөм маршрутун жылдырыңыз жана эски маршрутту токтотпос бурын уруксат берилген жана баш тартылган мамилелерди ырастаңыз. Борборлоштуруу тармак тобуна жалпы байланышты башкарууга бир орун бергенде жардам берет, ал эми бир чоң таблицанын артында ким кимге жете аларын жашырганда зыян келтирет.

Тектеш макалалар