Een Site-zu-Site-VPN fir méi VPCen op AWS Transit Gateway

Verbënnt d'VPN eemol an all VPC mat engem Transit Gateway, an trennt duerno Associatioun vun Propagatioun, sou datt Spoke sech mam Büro verbannen, awer net ënnereneen.

Zwee VPCen brauchen dëst Trimester den Bürosnetz, an et ass um zweete Tunnel, wou d'Schätzung brécht. AWS Transit Gateway kann als gemeinsamen Routing-Hub déngen: d'VPN gëtt eemol ugehaangen, an all VPC gëtt un dee selwechte Hub ugehaangen. Duerno erreecht den lokalen Netz all ugehaangene VPC iwwer eng eenzeg Verbindung. Dat ännert, wien d'Routingentscheedung huet, an dat ass deen Deel, deen déi meescht Entwërf falsch maachen.

Den VPN-Anhang an d'VPC-Anhäng sinn getrennt Objeten op der selwechter Gateway, dofir mussen d'Routingbezéiungen duerno opgebaut ginn.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Firwat Peering net de Kuerzwee ass, op deen d'Leit hoffen

Déi verlockend Alternativ ass, d'VPN op VPC A ze beenden an VPC B un et ze peeringen. Gewéinlecht VPC-Peering bitt keen Transit vu Rand zu Rand iwwer dem A seng VPN-Verbindung. E Peer erreecht nëmmen d'Adressen, déi de Peering selwer bitt, an e VPN-Rand ass net eng dovun. Transit gëtt en Hub; Peering gëtt Iech e Puer.

Dës Aschränkung ass eng Eegenschaft vum Peering, keng Quota, déi Dir kënnt erhéijen.

Associatioun a Propagatioun maachen ënnerschiddlech Aarbecht

Bannen an der Transit Gateway wielt d'Associatioun déi Routingtabell, déi benotzt gëtt, fir den Trafik ze sichen, deen vun engem Anhang kënnt. D'Propagatioun entscheet, wéi eng Tabelle fir d'geléiert oder verbonnen Prefixer vun engem Anhang kréien. Een eenzegen Anhang kann mat enger Tabell associéiert sinn, wärend e sech a verschidden ausbreet. D'Verwiessele vun deenen zwee ass de Wee, wou en Entworf mat enger Erreechbarkeet ophält, déi kee geplangt hat.

En voll verbonnenen klenge Hub ass deen einfache Fall.

Setzt all Anhang an eng eenzeg Tabell an d'VPN zesumme mat béide VPC-Prefixer léist sech propper. Dat erlaabt och Erreechbarkeet tëschent VPCen, déi d'Organisatioun vläicht ni wollt, well eng gedeelt Tabell keng Konzept vu Spoke kennt.

D'Routen vun de Workloaden wunnen soss anzwousch

All Workload-Subnetz brauch nach ëmmer seng eegen Route Richtung Transit Gateway fir déi virgesi lokal Prefixer. Déi VPC-Routingtabelle sinn getrennt Objeten vun den eegene Tabellë vun der Transit Gateway. Füügt d'Prefixer bäi, déi Dir braucht, a behält déi bestoend Routen, amplaz all Destinatioun duerch en neien Default z'ersetzen. Eng Subnetzroute annoncéiert dem Client-Apparat och näischt.

Wielt dynamesch oder statescht Routing bewosst; Peering bitt keng vun deenen zwee.

Isoléiert Spoke, ouni lokalen Zougrëff ze verléieren

Wann A an B allebéid de Büro erreeche kënnen, awer net duercheneen solle routen, trennt d'Tabellem. D'associéiert Tabell vum VPN-Anhang hält d'VPC-Prefixer. D'associéiert Tabell vun den VPC-Anhäng hält déi lokal Prefixer, ouni eng Route, déi A mat B verbënnt. D'Propagatioun erstellt déi Bezéiung, dofir musst Dir ni all Standardassociatioun akzeptéieren.

Dëst ass Routingisolatioun, an et ass keng Autorisatioun vun der Applikatioun.

Sécherheetsgruppen, Netz-ACLen, Host-Firewallen an d'eegen Erlaabnesser vun all Service entscheeden nach ëmmer, wéi en Trafik ugeholl gëtt. Wann eng Inspektioun néideg ass, entwerft hirem ënnerstëtzte Wee explizit, amplaz unzehuelen, den Hub géif se maachen.

Wat den Hub net reparéiert

Adresspläng musse nach ëmmer net iwwerlappen, well den Hub et net erlaabt, datt ee Prefix zwee Workloaden identifizéiert. All VPC-Anhang brauch d'Availability Zone Ofdeckung, déi seng Workloaden erwaarden. Mat BGP mussen d'Routen vum Client-Apparat zréck op all erfuerderleche Prefix zum Entworf a senger Importpolitik passen. Eng fehlend Annonce gesäit genee aus wéi en gebrachent Tunnel.

D'VPN-Verbindung an d'Transit Gateway sinn elo gemeinsam Infrastruktur.

Plangt Tunnelredundanz, Apparatekapazitéit, Monitoring a Maintenance ronderëm all ofhängeg VPCen, amplaz all eenzel als onofhängeg verbonnen ze behandelen.

D'Migratioun vun enger bestoender virtual private gateway-Oplag verdéngt dee selwechten explizite Plang. Baut d'Anhäng an d'Politiken, verréckelt ee kontrolléierte Workloadwee, a bestätegt déi erlaabt an déi verworf Bezéiungen, ier Dir den ale Wee ofstitt. Zentraliséierung hëlleft, wann se dem Netzwierkteam eng Plaz gëtt fir déi gemeinsam Verbindung ze verwalten, a schuet, wann se hannert enger eenzeger grousser Tabell verstoppt, wien wien erreeche kann.

Ähnlech Artikelen