En lokal Subnet zu engem AWS VPN bäifügen: VGW géint Transit Gateway

En existente Site-to-Site VPN transportéiert 10.60.0.0/16, hannert der selwechter lokaler Gateway erschéngt en neie Servicenetz als 10.70.0.0/16, an een freet ob e Proxy néideg ass. Meeschtens net: en geroutenen Wee kann de Prefix transportéieren, awer nëmmen wann dräi Saachen iwwereneen kommen, a wéi eng dräi hänkt vun der AWS-Architektur of déi Dir schonn bedriwwt. Eng virtuell privat Gateway huet eng Grenz vun der Routentabelle; eng Transit Gateway füügt eng zweet bäi. Richteg Annonce a falsch Tabell ergëtt eng Sëtzung déi gesond ausgesäit an näischt liwwert.

Verëffentlecht e Prefix deen d’Gateway wierklech ka liwweren

Déi lokal Gateway brauch e Wee an den neien Netz ier eng Annonce Sënn huet. 10.70.0.0/16 iwwer BGP annoncéieren sagt AWS wou d’Pakete fir dee Beräich sollen higoen; et schaaft awer net de lokalen Wee fir weiderzeleeden deen de Beräich um aneren Enn erreechbar mécht. Bestätegt datt d’Gateway eng Route fir de Prefix huet déi op den Apparat weist deen en hält, an datt den Apparat konfiguréiert ass fir déi Adressen ze äntweren. D’Exportpolitik an déi akzeptéiert Prefixlimite sinn déi nächst Aschränkung, well e Prefix deen d’Sëtzung erausfiltert guer net bei AWS ukommt.

Hält Aggregater a méi spezifesch Routen bewosst. Iwwerlappend Weeër aus zwou Richtunge sinn eng Designentscheedung, keen Detail deen een éischter spéider entdeckt.

Wee een: d’Grenz vun der virtueller privater Gateway

Mat enger virtueller privater Gateway beschreift d’AWS VPN-Routingdokumentatioun zwou Verdeelungsmodi, statesch Routen a BGP-Annoncen, an allebéi hänke vun der Subnet-Routentabelle of déi d’Applikatioun tatsächlech benotzt. D’Propagatioun ass bequem wann Dir de ganze Beräich kontrolléiert, an eng explizit Route ass méi einfach ze begrënnen wann Dir d’Destinatioun nieft dem Zil wëllt. Egal wéi, d’Préiwung ass déiselwecht: huet d’Tabell vum konkreten Applikatiouns-Subnet e funktionéierende Wee zum VPN-Zil fir den neie Prefix, a gewënnt en géint eppes méi Spezifesches?

Eng gesond BGP-Sëtzung beweist datt de Kanal existéiert. Si seet näischt doriwwer ob eng bestëmmten Subnet-Tabell d’Route iwwerholl huet.

Wee zwee: d’Transit Gateway füügt eng Tabell bäi

Eng Transit Gateway deelt déi eng Fro an zwou. D’VPC-Subnet muss d’Destinatioun un d’Transit-Gateway-Attachement schécken, an duerno muss d’Transit-Gateway-Routentabelle d’VPN-Attachement fir dee selwechte Prefix auswielen. D’Auswale vun Associatioun a Propagatioun entscheeden wéi eng ugehängt Netzwierker d’Route kréien, sou datt e Prefix vun der VPN richteg annoncéiert ka ginn an trotzdem ni d’VPC erreecht deem seng Tabell ni mat der richtege Routentabelle associéiert gouf.

De gewéinlechen Ausfall ass eng Route déi an enger Tabell existéiert an an der anerer net, woubäi all Ekipp iwwerzeegt ass datt seng Säit richteg ass. Wann Dir déi zwou Architekture vergläicht, ass déi zousätzlech Grenz de ganzen Ënnerscheed: méi Plazen zum Nodeelen, a méi prezis Kontroll doriwwer wien d’Route kritt.

D’Routepropagatioun gëtt och net all Attachement de Prefix. Si verdeelt en op d’Tabellen déi konfiguréiert sinn en ze kréien.

De Réckwee ass eng eegen Politiksentscheedung

Den ukommende Verkéier ass nëmmen d’Halschent vum Austausch. Den neien lokalen Netz brauch e Wee zréck zu den AWS-Quellprefixe duerch déi richteg Gateway, an d’Sécherheetspolitik op béide Säiten muss dat Quell- a Destinatiounspaar erlaben. Wann den Tunnel e Schutzberäich mat Verkéiersselektoren ausmécht, muss den neie Prefix dobannen sinn, soss gëtt d’Paket verworf ier eng Routentabelle consultéiert gëtt.

D’Adressiwwerlappung ass déi aner Fal. Getrennt, ausdrécklech besat Beräicher halen dat einfach; iwwerlappend Beräicher heescht Iwwersetzung oder en nei Design, an keng vun deenen zwou ass eng austauschbar Variant vum selwechte Rezept.

Testt mat enger Quell am neien Netz an enger Destinatioun am Applikatiouns-Subnet, a widderhëlt et dann an déi aner Richtung. En eenrichtungs-Test beweist nëmmen eng Richtung.

Wéini de Proxy wierklech déi besser Grenz ass

E Proxy verdéngt seng Plaz wann d’Ufuerderung eng schmuel Service-Schnittstell ass, wann d’Applikatioun déi Architektur schonn erwaart, oder wann de Netzwee net ka gezwonge ginn de Prefix ze droen ouni eng Iwwersetzung déi Dir net wëllt. Et ass net de Reserveleesung fir en Agang an der Routentabelle deen keen iwwerpréift huet.

Entscheet an dëser Uerdnung: lokal Weiderleedung, Annonce, Tabellgrenz, Réckwee-Politik. Maacht dat éischt dat feelt, a freet erscht duerno ob de geroutenen Wee iwwerhaapt déi richteg Äntwert ass.