Zwou AWS-Konten, een lokalen Netzwierk: wéi ee Wee?
Gedeelten Transit Gateway, zwou onofhängeg VPNen oder ee schmuele Proxy: wielt no Eegentum an Ausmooss vum Schued, net no där Route, déi haut am einfachsten derbäi ze setzen ass.
Déi naiv Andeelung ass Peering géint VPN, an dat ass déi falsch Andeelung. Eng gepeerte VPC kann d'VPN-Verbindung vun hirem Noper net léinen fir Routing vun Ufer zu Ufer, also déi Optioun war ni um Dësch, egal wat eng Routingstabell virschléit. Wat Dir tatsächlech wielt, ass tëschent engem gedeelten Netzwierk-Hub, zwee onofhängege VPN-Weeër an engem schmuele Applikatiounsagang. Jiddwereen äntwert eng aner Fro dorobber, wien d'Routing besëtzt.
Dräi Optiounen an déi, déi keng Optioun ass
Fänkt domat un, d'Peering-Idee ze läschen, a vergläicht duerno dat, wat bleift, no Eegentum an net no der Einfachheet vum Diagramm. D'Tabell hei drënner ass d'Entscheedung a kompriméierter Form.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Wann de Kont A Erreechbarkeet zu engem ganze lokalen Netzwierk brauch, ass d'Proxy-Rei déi falsch Form. Wann de Kont A eng eenzeg API brauch, sinn déi éischt zwou Reien méi Netzwierk, wéi d'Fuerderung gefrot huet.
Wéini de gedeelten Transit Gateway gewënnt
En Transit Gateway verbënnt all VPC an d'VPN als getrennte Netzwierker, a kontenübergräifend Deelen erlaabt de VPC-Eegentümer, den Hub ze benotzen ouni Konten ze fusionéieren. Dat ass de Reiz: eng Plaz, wou d'lokal Prefixen op d'AWS-Netzwierker treffen, an eng Plaz, fir ze iwwerleeën, wéi eng Uschloss wéi eng Route léiert.
Alles uschléissen heescht net alles erlaben. Associatioun a Propagatioun entscheeden, wéi eng Uschloss wéi eng Routingstabell benotzt, sou datt zwee VPC-Prefixe jiddwereen eng lokal Servicer erreeche kënnen, wärend hire géigesäitegen Zougang duerch den Design vum Hub ausgeschloss bleift. D'lokal Säit brauch nach ëmmer Retourrouten fir d'AWS-Prefixen, an dat ass en Ännerungs-Ticket vun engem aneren Team.
D'Käschte sinn organisatoresch esou wéi finanziell. Den Hub-Eegentümer kontrolléiert Routing-Relatiounen, op déi aner Teams sech verloossen, also kann eng Ännerung un engem Uschloss Traffic fir e Service verréckelen, vun deem den Hub-Eegentümer nach ni héieren huet. Uschlossstonnen an Datenveraarbechtung addéiere sech mat all Netzwierk, dat Dir uschléisst, dofir wuessen Hubs meeschtens méi séier wéi d'Team, dat se bedreift.
Wéini getrennte VPNen oder en schmuele Proxy gewënnen
Zwou onofhängeg VPNen passen zu enger klenger Deploiement mat echte operationelle Grenzen: all Kont ännert seng eege Tunnelen, an keen kann deen aneren briechen, andeems en eng Routingstabell ännert. D'Grenze leien op der lokaler Säit. De Peer-Gateway brauch Kapazitéit fir déi zousätzlech Tunnelen, d'Adresspläng däerfen net iwwerlappen, an zwou Konfiguratiounen, déi déiselwecht Prefixe annoncéieren, brauchen eng bewosst Prioritéit amplaz vu Hoffnung.
E Proxy ass déi schmëlsten Interface. Wann de Kont A eng Datebank oder eng API am Kont B brauch, gëtt en ofgegrenzten Intermédiaire engem definéierten Agang mat senger eegener Geschicht vu Authentifikatioun, Logging a Disponibilitéit. Et ass och d'Optioun, déi am meeschten mëssbraucht gëtt: en Intermédiaire, dee bei all privat Destinatioun weiderleet, ass en onbeschränkte Relais mat Extra-Schrëtt ginn, an et wäert sech fir näischt anescht wéi transparenten Transit vun der VPC an de lokalen Netzwierk behuelen.
D'VPC-Peering-Aschränkungen si wäert, virun allem dësem ze liesen, well se erklären, firwat déi véiert Iddi ëmmer erëm kënnt a firwat se net ka funktionéieren.
Wielt déi schmëlsten Interface, déi d'Fuerderung erfëllt
Setzt d'Froen an d'Reiefolleg: brauch A en Netzwierk, eng Rei Netzwierker oder ee Service? Wëllt d'lokal Team ee Wee oder méi? Wien däerf d'Routing fir den Traffic vum aneren Team änneren? Déi éischt Äntwert, déi déi schmëlsten Interface ergëtt, ass d'Architektur, an alles duerno ass Ëmsetzung.
Dokumentéiert d'Äntwert mam Prefixplang, dem Route-Eegentum, dem Inventaire vun Tunnelen oder Uschlëss an dem Feelkmodus, deen all Säit erwaart. Wann een duerno freet, firwat de Kont A net einfach dem Kont B seng VPN benotze kann, ass dës Opzeechnung d'Äntwert, an et spuert Iech, déi selwecht dräi Optiounen am nächste Projet nach eng Kéier ze diskutéieren.