Два AWS сметки, една локална мрежа: кој пат?
Споделен Transit Gateway, две независни VPN или еден тесен прокси: изберете според сопственоста и обемот на влијанието, а не според тоа која рута е најлесна за додавање денес.
Очигледната рамка е peering наспроти VPN, и тоа е погрешната рамка. Поврзан VPC не може да ја позајми VPN врската на соседот за рутирање од раб до раб, така што таа опција никогаш не била на масата, што и да предложи табелата со рути. Она што всушност го избирате е помеѓу заедничко мрежно јадро, две независни VPN патеки и еден тесен влез за апликација. Секое од нив одговара на различно прашање за тоа кој ја поседува рутирачката.
Три опции и онаа што не е опција
Започнете со бришење на идејата за peering, потоа споредете го остатокот според сопственоста, а не според едноставноста на дијаграмот. Табелата подолу е одлуката во збиена форма.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Ако сметката A има потреба од достапност до цела локална мрежа, редот со прокси е со погрешна форма. Ако на сметката A ѝ треба еден API, првите два реда се повеќе мрежа отколку што бара барањето.
Кога победува споделениот Transit Gateway
Transit Gateway ја поврзува секоја VPC и VPN како одделни мрежи, а споделувањето меѓу сметки им овозможува на сопствениците на VPC да го користат јадрото без спојување на сметки. Тоа е привлечноста: едно место каде локалните префикси се среќаваат со мрежите на AWS и едно место за размислување кое приклучување учи која рута.
Поврзувањето на сето не значи дозволување на сето. Здружувањето и ширењето одлучуваат кое приклучување користи која табела со рути, така што два префикса на VPC можат секој да достигне локална услуга додека нивниот меѓусебен пристап останува исклучен според дизајнот на јадрото. Локалната страна уште бара повратни рути за префиксите на AWS, а тоа е промена на друг тим.
Трошокот е организациски колку и финансиски. Сопственикот на јадрото ги контролира рутирачките односи од кои зависат други тимови, така што промена на едно приклучување може да го премести сообраќајот на услуга за која сопственикот на јадрото никогаш не слушнал. Часовите на приклучување и обработката на податоци се собираат со секоја мрежа што ќе ја приклучите, и затоа јадрата обично растат побрзо од тимот што ги води.
Кога победуваат одделни VPN или тесен прокси
Две независни VPN одговараат на мало распоредување со вистински оперативни граници: секоја сметка ги менува своите тунели и ниту една не може да ја расипе другата со уредување на табела со рути. Границите се на локалната страна. Партнерската порта бара капацитет за дополнителните тунели, плановите за адреси не смеат да се преклопуваат, а две конфигурации што ги рекламираат истите префикси бараат намерна предност, а не надеж.
Проксито е најтесниот интерфејс. Ако на сметката A ѝ треба една база на податоци или еден API во сметката B, ограничен посредник ви дава дефиниран влез со сопствена приказна за автентикација, евидентирање и достапност. Тоа е и опцијата што најчесто се злоупотребува: посредник што препраќа кон секоја приватна дестинација стана неограничено реле со дополнителни чекори и нема да се однесува како транспарентен пренос од VPC во локалната мрежа за ништо друго.
Ограничувањата на peering за VPC вреди да се прочитаат пред сето ова, бидејќи објаснуваат зошто четвртата идеја постојано се враќа и зошто не може да функционира.
Изберете го најтесниот интерфејс што го задоволува барањето
Подредете ги прашањата: има ли A потреба од мрежа, множество мрежи или една услуга? Дали локалниот тим сака еден пат или неколку? Кој смее да го менува рутирањето за сообраќајот на другиот тим? Првиот одговор што го дава најтесниот интерфејс е архитектурата, а потоа е имплементација.
Запишете го одговорот заедно со планот за префикси, сопственоста на рутите, инвентарот на тунели или приклучувања и режимот на откажување што го очекува секоја страна. Кога некој подоцна ќе праша зошто сметката A не може едноставно да го користи VPN-от на сметката B, тој запис е одговорот и ве штеди од повторно расправање за истите три опции во следниот проект.