Vietinio potinklio pridėjimas prie AWS VPN: VGW arba „Transit Gateway“

Esamas „Site-to-Site“ VPN perduoda 10.60.0.0/16, už tos pačios vietinės tinklų sietuvos pasirodo naujas paslaugų tinklas kaip 10.70.0.0/16, ir kažkas klausia, ar reikia proxy. Paprastai ne: maršrutizuotas kelias gali perduoti priešdėlį, bet tik jei sutampa trys dalykai, o kurie trys, priklauso nuo AWS architektūros, kurią jau naudojate. Virtualus privatus tinklų sietuvas turi vieną maršrutų lentelės ribą; „transit gateway“ prideda antrą. Teisingas skelbimas ir neteisinga lentelė sukuria sesiją, kuri atrodo sveika ir nieko nepristato.

Paskelbkite priešdėlį, kurį sietuvas tikrai gali pristatyti

Vietinei sietuvai reikia kelio į naują tinklą, prieš bet kuriam skelbimui įgyjant prasmę. Skelbiant 10.70.0.0/16 per BGP, AWS pasakoma, kur siųsti to diapazono paketus; tai nesukuria vietinio persiuntimo kelio, kuris padaro diapazoną pasiekiamą kitame gale. Patvirtinkite, kad sietuvas turi priešdėlio maršrutą, nukreiptą į įrenginį, kuris jį laiko, ir kad įrenginys sukonfigūruotas atsakyti už tuos adresus. Eksporto politika ir priimami priešdėlių limitai yra kitas apribojimas, nes priešdėlis, kurį sesija atfiltruoja, niekada nepasiekia AWS.

Agregatus ir konkretesnius maršrutus laikykite sąmoningais. Iš dviejų pusių ateinantys persidengiantys keliai yra projektinis sprendimas, o ne vėliau atrandama smulkmena.

Pirmas kelias: virtualaus privataus sietuvo riba

Naudojant virtualų privatų sietuvą, AWS VPN maršrutizavimo dokumentacija aprašo du paskirstymo režimus – statinius maršrutus ir BGP skelbimus – ir abu priklauso nuo potinklio maršrutų lentelės, kurią programėlė tikrai naudoja. Propagavimas patogus, kai kontroliuojate visą diapazoną, o aiškus maršrutas lengviau pagrindžiamas, kai norite, kad paskirties vieta būtų nurodyta šalia tikslo. Bet kuriuo atveju patikra ta pati: ar konkretaus programėlės potinklio lentelėje yra veikiantis kelias į VPN tikslą naujam priešdėliui ir ar jis nugali ką nors konkretesnio?

Sveika BGP sesija įrodo, kad kanalas egzistuoja. Ji nieko nesako apie tai, ar tam tikra potinklio lentelė priėmė maršrutą.

Antras kelias: „transit gateway“ prideda lentelę

„Transit gateway“ padalija tą vieną klausimą į du. VPC potinklis turi siųsti paskirties vietą į „transit gateway“ prisijungimą, o tada „transit gateway“ maršrutų lentelė turi pasirinkti VPN prisijungimą tam pačiam priešdėliui. Priskyrimo ir propagavimo pasirinkimai lemia, kurie prijungti tinklai gauna maršrutą, todėl priešdėlis gali būti teisingai paskelbtas VPN ir vis tiek niekada nepasiekti VPC, kurio lentelė niekada nebuvo susieta su teisinga maršrutų lentele.

Dažna klaida – maršrutas, kuris yra vienoje lentelėje, o kitoje jo nėra, kai kiekviena komanda įsitikinusi, kad jos pusė teisinga. Lygindami abi architektūras pamatysite, kad ši papildoma riba ir yra visas skirtumas: daugiau vietų, kur pažiūrėti, ir tikslesnė kontrolė, kas gauna maršrutą.

Maršrutų propagavimas taip pat nesuteikia priešdėlio kiekvienam prisijungimui. Jis paskirsto jį lentelėms, sukonfigūruotoms jį priimti.

Grįžtamasis kelias yra savarankiškas politikos sprendimas

Ateinantis srautas tėra pusė mainų. Naujam vietiniam tinklui reikia grįžimo kelio į AWS šaltinio priešdėlius per teisingą sietuvą, o abiejų galų saugumo politika turi leisti tą šaltinio ir paskirties porą. Jei tunelis derasi dėl apsaugos srities su srauto selektoriais, naujasis priešdėlis turi būti jos viduje, kitaip paketas atmetamas prieš peržiūrint bet kurią maršrutų lentelę.

Adresų persidengimas yra kiti spąstai. Atskiri, aiškiai priklausantys diapazonai išlaiko tai paprasta; persidengiantys diapazonai reiškia vertimą arba pertvarką, ir nė vienas nėra to paties recepto keičiamas variantas.

Išbandykite su šaltiniu naujame tinkle ir paskirties vieta programėlės potinklyje, tada pakartokite priešinga kryptimi. Vienkryptis testas įrodo vieną kryptį.

Kada proxy tikrai yra geresnė riba

Proxy užima savo vietą, kai reikalavimas yra siaura paslaugos sąsaja, kai programėlė jau tikisi tokios architektūros arba kai tinklo kelio negalima priversti perduoti priešdėlio be vertimo, kurio nenorite. Tai nėra atsarginis sprendimas maršrutų lentelės įrašui, kurio niekas nepatikrino.

Spręskite šia tvarka: vietinis persiuntimas, skelbimas, lentelės riba, grįžtamojo srauto politika. Ištaisykite pirmąjį, kuris nepavyksta, ir tik tada klauskite, ar maršrutizuotas kelias apskritai yra teisingas atsakymas.