Vietējā apakštīkla pievienošana AWS VPN: VGW vai Transit Gateway

Esošais Site-to-Site VPN pārvadā 10.60.0.0/16, aiz tā paša vietējā vārtejas parādās jauns servisa tīkls kā 10.70.0.0/16, un kāds jautā, vai ir vajadzīgs proxy. Parasti nav: maršrutēts ceļš var pārvadāt prefiksu, bet tikai tad, ja sakrīt trīs lietas, un kuras trīs, tas atkarīgs no AWS arhitektūras, ko jau izmantojat. Virtuālajai privātajai vārtejai ir viena maršrutu tabulas robeža; transit gateway pievieno otru. Pareizs paziņojums un nepareiza tabula rada sesiju, kas izskatās vesela un neko nepiegādā.

Publicējiet prefiksu, ko vārteja patiešām spēj piegādāt

Vietējai vārtejai ir vajadzīgs ceļš uz jauno tīklu, pirms jebkuram paziņojumam ir jēga. 10.70.0.0/16 paziņošana caur BGP pasaka AWS, kur sūtīt šī diapazona paketes; tā neveido vietējo pārsūtīšanas ceļu, kas diapazonu padara sasniedzamu otrā galā. Pārliecinieties, ka vārtejai ir prefiksa maršruts, kas norāda uz ierīci, kura to tur, un ka ierīce ir konfigurēta atbildēt uz šīm adresēm. Eksporta politika un pieņemtie prefiksu limiti ir nākamais ierobežojums, jo prefikss, ko sesija izfiltrē, AWS nemaz neaizsniedz.

Agregātus un konkrētākus maršrutus turiet apzināti. No diviem virzieniem nākoši pārklājoši ceļi ir dizaina lēmums, nevis vēlāk atklājama detaļa.

Pirmais ceļš: virtuālās privātās vārtejas robeža

Ar virtuālo privāto vārteju AWS VPN maršrutēšanas dokumentācija apraksta divus izplatīšanas režīmus — statiskos maršrutus un BGP paziņojumus — un abi ir atkarīgi no apakštīkla maršrutu tabulas, ko lietotne patiešām izmanto. Propagācija ir ērta, ja kontrolējat visu diapazonu, un skaidrs maršruts ir vieglāk pamatojams, ja galamērķi vēlaties redzēt blakus mērķim. Jebkurā gadījumā pārbaude ir viena: vai konkrētā lietotnes apakštīkla tabulā ir strādājošs ceļš uz VPN mērķi jaunajam prefiksam un vai tas uzvar pār kaut ko konkrētāku?

Vesela BGP sesija pierāda, ka kanāls pastāv. Tā neko nepasaka par to, vai noteikta apakštīkla tabula ir pārņēmusi maršrutu.

Otrais ceļš: transit gateway pievieno tabulu

Transit gateway sadala šo vienu jautājumu divos. VPC apakštīklam jānosūta galamērķis uz transit gateway piesaisti, un pēc tam transit gateway maršrutu tabulai jāizvēlas VPN piesaiste tam pašam prefiksam. Asociācijas un propagācijas izvēles nosaka, kuri pievienotie tīkli saņem maršrutu, tāpēc prefikss var tikt pareizi paziņots no VPN un tomēr nekad neaizsniegt VPC, kura tabula nekad netika asociēta ar pareizo maršrutu tabulu.

Biežākā kļūda ir maršruts, kas ir vienā tabulā un nav otrā, un katra komanda ir pārliecināta, ka viņas puse ir pareiza. Salīdzinot abas arhitektūras, šī papildu robeža ir visa atšķirība: vairāk vietu, kur paskatīties, un precīzāka kontrole pār to, kas saņem maršrutu.

Arī maršrutu propagācija nepiešķir prefiksu katrai piesaistei. Tā izplata to uz tabulām, kas konfigurētas to saņemt.

Atgriešanas ceļš ir patstāvīgs politikas lēmums

Ienākošā plūsma ir tikai puse no apmaiņas. Jaunajam vietējam tīklam vajadzīgs atgriešanas ceļš uz AWS avota prefiksiem caur pareizo vārteju, un drošības politikai abos galos jāatļauj šis avota un galamērķa pāris. Ja tunelis vienojas par aizsardzības apjomu ar plūsmas selektoriem, jaunajam prefiksam jābūt tā iekšienē, citādi pakete tiek izmesta pirms jebkuras maršrutu tabulas apskates.

Adrešu pārklāšanās ir otrs slazds. Atsevišķi, skaidri piederoši diapazoni to notur vienkāršu; pārklājoši diapazoni nozīmē tulkošanu vai pārprojektēšanu, un neviens no tiem nav tās pašas receptes aizstājams variants.

Pārbaudiet ar avotu jaunajā tīklā un galamērķi lietotnes apakštīklā, pēc tam atkārtojiet pretējā virzienā. Vienvirziena tests pierāda vienu virzienu.

Kad proxy patiešām ir labāka robeža

Proxy pelna savu vietu, kad prasība ir šaura servisa saskarne, kad lietotne jau sagaida šo arhitektūru vai kad tīkla ceļu nevar piespiest pārvadāt prefiksu bez tulkojuma, ko nevēlaties. Tas nav rezerves risinājums maršrutu tabulas ierakstam, ko neviens nav pārbaudījis.

Izlemiet šādā secībā: vietēja pārsūtīšana, paziņojums, tabulas robeža, atgriešanas politika. Izlabojiet pirmo, kas neizdodas, un tikai tad jautājiet, vai maršrutētais ceļš vispār ir pareizā atbilde.