Bendras Transit Gateway: kam priklauso maršrutai AWS RAM
RAM bendrinimas leidžia kitai paskyrai prijungti VPC, bet maršrutų lentelės, asociacijos ir skleidimai lieka gateway savininkui. Štai riba.
Bendrinti Transit Gateway su Resource Access Manager daro vieną konkretų dalyką: leidžia kitai paskyrai iškviesti apibrėžtą prijungimo API rinkinį ištekliui, kurio ji neturi. Tai neperduoda gateway, jo maršrutų lentelių ar teisės spręsti, kaip traffic yra perduodamas. Žmonės mano priešingai, nes prijungimas pasirodo gavėjo konsolėje ir iš karto veikia, o tai atrodo kaip nuosavybė. Po tuo esantis mechanizmas yra leidimo suteikimas bendrinamam ištekliui, ir kiekvienas vaikinis objektas lieka savininko paskyros ribose. Šis atskyrimas paaiškina daugumą prieigos atsisakymo bilietų, susijusių su bendriniu tranzitu.
Ką bendrinimas iš tikrųjų deleguoja
Išteklių bendrinimas įvardija išteklių, principą ir valdomą leidimą. Leidimas išvardija veiksmus, kuriuos tas principas gali atlikti, o Transit Gateway atveju šis sąrašas apima prijungimo operacijas bendrinamame ištekliuje.
Viskas, kas nepatenka į sąrašą, nepavyksta API, o ne konsolėje, todėl klaida dažnai pasirodo pirmą kartą paleidus scenarijų.
Maršrutų lentelės, asociacijos ir skleidimai lieka savininkui
Perdavimą lemia trys vaikiniai objektai: su kuria maršrutų lentele susieta prijungtis, į kurias lenteles ji skleidžiama ir kokius maršrutus tos lentelės turi. AWS bendrinimo dokumentacija teigia, kad gavėjas per bendrinimą negali kurti, keisti ar šalinti tranzito gateway maršrutų lentelių ar jų asociacijų bei skleidimų. Tie kvietimai priklauso savininko paskyrai. Gavėjas, kuriam reikia naujos asociacijos, prašo administracinio pakeitimo, o ne naudoja leidimą, kurį pamiršo įjungti.
Žemiau esanti lentelė yra atskyrimas, kurį dedu į projektavimo dokumentus, nes jis išlieka keičiantis personalui.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Atidžiai perskaitykite vidurinę eilutę: VPC savininkas valdo savo potinklio maršrutus, gateway savininkas valdo centrinį perdavimo sprendimą, o veikiantis kelias reikalauja abiejų. Nė viena paskyra negali to užbaigti viena.
Vienas kelias, dvi paskyros
Sekite paketą nuo spoke VPC iki vietinio prefikso. Spoke potinklio maršrutų lentelė turi siųsti tą prefiksą į tranzito gateway prijungtį, o tai VPC savininkas gali pakeisti. Tada gateway susietoje prijungties lentelėje turi būti maršrutas, nukreipiantis į VPN prijungtį, o tai gali pakeisti tik savininkas. Grįžtamasis traffic reikalauja abiejų veidrodžio. Praleiskite bet kurią pusę ir gausite pusiau įdiegtą kelią, kuris atrodo kaip ugniasienės problema.
Abu pakeitimus įrašykite į vieną bilietą su dviem atsakingais, kitaip jie bus baigti skirtingomis savaitėmis.
Naudokite pasiekiamumo zonų ID, kai vieta svarbi
Zonų pavadinimai yra paskyros vietiniai slapyvardžiai. us-east-1a vienoje paskyroje negarantuojama, kad tai ta pati fizinė zona kaip us-east-1a kitoje. Kai projektui reikia prijungties ir darbo krūvio toje pačioje zonoje, palyginkite AZ ID ir užsirašykite.
Palyginus pavadinimus gaunama diagrama, kuri atrodo teisingai, ir delsos profilis, kuris nėra teisingas. Patikrinkite tai dar piešiant diagramą, o ne po to, kai kas nors išmatavo skirtumą.
Bendrinimo atšaukimas nenutraukia duomenų kelio
Bendrinimo pašalinimas atrodo kaip atšaukimas, ir tai nėra momentinis traffic sustabdymas. AWS dokumentuoja, kad prijungtis išlieka funkcionali, kai gateway nebe bendrinamas. Leidimas valdyti išteklių išnyksta, o jau egzistuojanti prijungtis toliau perduoda, kol kas nors ją ištrina ar išjungia. Planuokite atšaukimą dviem žingsniais: pašalinkite bendrinimą, tada prijungtį, o antrąjį atlieka savininkas.
Jei bendrinimas yra vienintelė jūsų kontrolė, jūs neturite kontrolės.
Laikykite bendrinimo įrašą ir maršrutizavimo įrašą kartu
Du artefaktai atsako į du skirtingus klausimus. Bendrinimo įrašas sako, kas gali dirbti su ištekliu. Maršrutų lentelės sako, kurie tinklai iš tikrųjų gali kalbėtis. Saugokite juos kartu su tuo pačiu savininkų sąrašu, kitaip kitas incidentas prasidės nuo to, kad kas nors įrodo leidimą, kuris niekada nebuvo problema.
Tada išbandykite vieną srautą kiekviena kryptimi ir vieną prefiksą, kuris turėtų likti nepasiekiamas.