AWS VPN-д локал дэд сүлжээ нэмэх: VGW эсвэл Transit Gateway

Одоо байгаа Site-to-Site VPN нь 10.60.0.0/16-г зөөж байна, мөн адил локал гарцын ард 10.70.0.0/16 хэлбэрээр шинэ үйлчилгээний сүлжээ гарч ирэв, хэн нэгэн прокси хэрэгтэй эсэхийг асууж байна. Ихэвчлэн хэрэггүй: чиглүүлсэн зам уг префиксийг зөөж чадна, гэхдээ гуравхан зүйл таарвал л болно, аль гурав нь таны аль хэдийн ажиллуулж буй AWS архитектураас хамаарна. Виртуал хувийн гарц нэг чиглүүлэгчийн хүснэгтийн хилтэй; transit gateway хоёр дахь хилийг нэмнэ. Зарлал зөв, хүснэгт буруу бол эрүүл харагдах боловч юу ч хүргэхгүй сесс үүснэ.

Гарц бодитоор хүргэж чадах префиксийг зарлана уу

Аливаа зарлал утга учиртай болохын өмнө локал гарцад шинэ сүлжээ рүү чиглэсэн зам хэрэгтэй. 10.70.0.0/16-г BGP-ээр зарлах нь AWS-д тухайн хүрээний пакетыг хааша илгээхийг хэлнэ; энэ нь хүрээг нөгөө талд хүрч болохуйц болгох локал дамжуулах замыг үүсгэхгүй. Гарцад префиксийн хувьд түүнийг барьж буй төхөөрөмж рүү заасан зам байгаа, төхөөрөмж нь тэдгээр хаягт хариу өгөхөөр тохируулагдсан эсэхийг баталгаажуулна уу. Экспортын бодлого болон хүлээн авах префиксийн хязгаар нь дараагийн хязгаарлалт, учир нь сесс шүүж хаясан префикс AWS-д огт хүрэхгүй.

Агрегат болон илүү тодорхой замуудыг санаатай байлгана уу. Хоёр талаас ирж давхцаж буй замууд нь дизайны шийдвэр, дараа нь илрүүлэх нарийн ширийн зүйл биш.

Нэгдүгээр зам: виртуал хувийн гарцын хил

Виртуал хувийн гарцтай үед AWS VPN-ийн чиглүүлэлтийн баримт бичиг хоёр түгээлтийн горимыг тайлбарладаг, статик зам ба BGP зарлал, хоёулаа програмын бодитоор ашигладаг дэд сүлжээний чиглүүлэгчийн хүснэгтээс хамаарна. Бүх хүрээг хянаж байгаа үед тархалт нь тохиромжтой, харин очих газрыг зорилгын хажууд хармаар байгаа үед тодорхой зам нь бодоход хялбар. Аль ч тохиолдолд шалгалт ижил: тодорхой програмын дэд сүлжээний хүснэгтэд шинэ префиксийн хувьд VPN зорилт руу ажиллах зам байгаа бөгөөд илүү тодорхой зүйлээс ялж байна уу?

Эрүүл BGP сесс суваг байгааг нотолно. Энэ нь тухайн дэд сүлжээний хүснэгт замыг хүлээн авсан эсэхийг хэлэхгүй.

Хоёрдугаар зам: transit gateway хүснэгт нэмнэ

Transit gateway тэр нэг асуултыг хоёр болгон хуваана. VPC-ийн дэд сүлжээ нь очих газрыг transit gateway-ийн хавсралт руу илгээх ёстой, дараа нь transit gateway-ийн чиглүүлэгчийн хүснэгт ижил префиксийн хувьд VPN хавсралтыг сонгох ёстой. Холболт ба тархалтын сонголт нь аль холбогдсон сүлжээнүүд зам авч байгааг тодорхойлдог тул префикс VPN-ээс зөв зарлагдсан ч хүснэгт нь зөв чиглүүлэгчийн хүснэгттэй хэзээ ч холбогдоогүй VPC-д хэзээ ч хүрэхгүй байж болно.

Түгээмэл алдаа нь нэг хүснэгтэд байгаа ч нөгөөд байхгүй зам бөгөөд баг бүр өөрийн тал зөв гэдэгт итгэлтэй байдаг. Хоёр архитектурыг харьцуулахад энэ нэмэлт хил нь бүх ялгаа: харах газар илүү, зам хэнд очихыг илүү нарийвчлан хянах боломж.

Зам тархалт нь хавсралт бүрт префиксийг өгдөггүй. Үүнийг хүлээн авахаар тохируулсан хүснэгтүүдэд хуваарилдаг.

Буцах зам нь өөрийн гэсэн бодлогын шийдвэр

Ирж буй урсгал нь солилцооны тал хувь л юм. Шинэ локал сүлжээнд зөв гарцаар AWS-ийн эх префикс рүү буцах зам хэрэгтэй бөгөөд хоёр үзүүрийн аюулгүй байдлын бодлого тэр эх ба очих хосыг зөвшөөрөх ёстой. Хэрэв туннель урсгалын селекторуудтай хамгаалалтын хүрээг тохиролцвол шинэ префикс түүний дотор байх ёстой, эс бөгөөс пакет ямар ч чиглүүлэгчийн хүснэгтийг харахаас өмнө хаягдана.

Хаягийн давхцал нь нөгөө урхи. Тусдаа, тодорхой эзэмшсэн хүрээнүүд үүнийг энгийн байлгадаг; давхцаж буй хүрээнүүд нь орчуулга эсвэл дахин зохион бүтээх гэсэн үг бөгөөд аль нь ч ижил жорын сольж болох хувилбар биш.

Шинэ сүлжээнд эх, програмын дэд сүлжээнд очих газартайгаар туршаад, дараа нь эсрэг чиглэлд давтана уу. Нэг чиглэлийн туршилт зөвхөн нэг чиглэлийг нотолно.

Прокси үнэхээр илүү сайн хил болох үед

Шаардлага нь нарийн үйлчилгээний интерфейс байх үед, програм аль хэдийн тэр архитектурыг хүлээж байх үед, эсвэл таны хүсэхгүй орчуулгагүйгээр сүлжээний замыг префикс зөөхөд хүргэх боломжгүй үед прокси өөрийн байр суурийг олдог. Энэ нь хэн ч шалгаагүй чиглүүлэгчийн хүснэгтийн бичлэгийн нөөц шийдэл биш.

Энэ дарааллаар шийднэ үү: локал дамжуулалт, зарлал, хүснэгтийн хил, буцах бодлого. Эхлээд бүтэлгүйтсэнийг засаад, дараа нь л чиглүүлсэн зам нь ер нь зөв хариулт мөн эсэхийг асууна уу.