AWS Transit Gateway дээр олон VPC-д зориулсан нэг сайт хоорондын VPN
VPN-ийг нэг удаа, VPC бүрийг нэг дамжуулах гарцанд холбож, дараа нь холболтыг тархалтаас тусгаарласнаар салбарууд оффис руу хүрэх боловч бие бие рүүгээ хүрэхгүй.
Энэ улиралд хоёр VPC-д оффисын сүлжээ хэрэгтэй бөгөөд яг хоёр дахь туннель дээр тооцоо эвдэрдэг. AWS Transit Gateway нь хуваалцсан чиглүүлэлтийн төв болж чадна: VPN нэг удаа холбогдож, VPC бүр ижил төвд холбогдоно. Дараа нь дотоод сүлжээ нэг холболтоор холбогдсон бүх VPC-д хүрнэ. Энэ нь чиглүүлэлтийн шийдвэр хэнд байхыг өөрчилдөг бөгөөд ихэнх загвар яг энэ хэсэгт алдаа гаргадаг.
VPN хавсралт болон VPC хавсралтууд нь нэг гарц дээрх тусдаа объектууд тул чиглүүлэлтийн харилцааг дараа нь байгуулах ёстой.
On-premises network <-> Site-to-Site VPN <-> Transit Gateway
|- VPC A
|- VPC BХүмүүсийн найдаж буй товч зам нь peering биш гэдэг шалтгаан
Уруу татсан хувилбар нь VPN-ийг VPC A дээр дуусгаад VPC B-г түүнтэй peering хийх юм. Энгийн VPC peering нь A-ийн VPN холболтоор захаас зах хүртэл дамжуулалт өгөхгүй. Peer нь peering өөрөө өгдөг хаягуудад л хүрдэг бөгөөд VPN зах нь тэдгээрийн нэг биш. Дамжуулалтыг төв өгдөг; peering танд нэг хос өгдөг.
Энэ хязгаарлалт нь peering-ийн шинж чанар, өсгөж болох квот биш.
Холболт ба тархалт өөр ажил хийдэг
Дамжуулах гарцын дотор холболт нь хавсралтаас ирж буй урсгалыг хайхад хэрэглэгдэх чиглүүлэлтийн хүснэгтийг сонгодог. Тархалт нь аль хүснэгтүүд хавсралтын сурсан эсвэл холбогдсон префиксүүдийг авахыг тодорхойлдог. Нэг хавсралт нэг хүснэгттэй холбогдож, зэрэг хэд хэдэн хүснэгт рүү тархаж болно. Энэ хоёрыг хольж хутгах нь загвар хэний ч төлөвлөөгүй хүрэлцээнд хүрэх зам юм.
Бүрэн холбогдсон жижиг төв нь хялбар тохиолдол.
Хавсралт бүрийг нэг хүснэгтэд хий, тэгвэл VPN хоёр VPC префиксын хамт цэвэр шийдэгдэнэ. Энэ нь байгууллага хэзээ ч зорьж байгаагүй VPC хоорондын хүрэлцээг зөвшөөрдөг, учир нь хуваалцсан хүснэгтэд салбар гэсэн ойлголт байхгүй.
Ажлын ачааллын чиглэлүүд өөр газар амьдардаг
Ажлын ачааллын дэд сүлжээ бүрт зорьсон дотоод префиксүүдийн хувьд дамжуулах гарц руу өөрийн чиглэл хэрэгтэй хэвээр. Тэдгээр VPC чиглүүлэлтийн хүснэгтүүд нь гарцын өөрийн хүснэгтүүдээс тусдаа объектууд. Шаардлагатай префиксүүдийг нэмж, очих газрыг бүрийг шинэ default-оор солихын оронд одоогийн чиглэлийг хадгал. Дэд сүлжээний чиглэл нь харилцагчийн төхөөрөмжид юу ч зарладаггүй.
Динамик эсвэл статик чиглүүлэлтийг санаатайгаар сонго; peering хоёуланг нь өгөхгүй.
Дотоод хандалтаа алдалгүйгээр салбаруудыг тусгаарла
A ба B хоёулаа оффис руу хүрч болох боловч бие бие рүүгээ чиглүүлэх ёсгүй бол хүснэгтүүдийг хуваа. VPN хавсралтын холбогдсон хүснэгт нь VPC префиксүүдийг хадгална. VPC хавсралтуудын холбогдсон хүснэгт нь дотоод префиксүүдийг хадгална, A-г B-тэй холбосон чиглэлгүйгээр. Тархалт нь тэр харилцааг үүсгэдэг тул та бүх анхдагч холболтыг хүлээн авах шаардлагагүй.
Энэ бол чиглүүлэлтийн тусгаарлалт бөгөөд энэ нь програмын зөвшөөрөл биш.
Аюулгүй байдлын бүлгүүд, сүлжээний ACL, хост галт хана болон үйлчилгээ бүрийн өөрийн зөвшөөрөл нь ямар урсгал хүлээн авахыг шийдсээр байна. Хяналт шаардлагатай бол төв үүнийг хийнэ гэж таамаглахын оронд түүний дэмжигдсэн замыг тодорхой зохион байгуул.
Төв засахгүй зүйл
Хаягийн төлөвлөгөөнүүд давхцахгүй байх ёстой, учир нь төв нэг префикст хоёр ажлын ачааллыг тэмдэглэхийг зөвшөөрдөггүй. VPC хавсралт бүрт ажлын ачааллууд нь хүлээж буй Availability Zone хамрах хүрээ хэрэгтэй. BGP-тэй бол харилцагчийн төхөөрөмжийн шаардлагатай префикс бүр рүү буцах чиглэл нь загвар болон түүний импортын бодлоготой нийцэх ёстой. Алга болсон зарлал нь яг эвдэрсэн туннель шиг харагдана.
VPN холболт болон дамжуулах гарц одоо хуваалцсан дэд бүтэц.
Туннелийн илүүдлийг, төхөөрөмжийн хүчин чадал, хяналт, засвар үйлчилгээг бүх хамааралтай VPC-ийн эргэн тойронд төлөвлө, тус бүрийг бие даасан холбогдсон гэж үзэхийн оронд.
Одоо байгаа virtual private gateway зохион байгуулалтаас шилжих нь мөн адил тодорхой төлөвлөгөө шаарддаг. Хавсралтууд болон бодлогуудыг барьж, нэг хянагдсан ажлын ачааллын замыг зөөж, хуучин замыг хасахаас өмнө зөвшөөрөгдсөн болон татгалзсан харилцааг баталгаажуул. Төвлөрүүлэх нь сүлжээний багт хуваалцсан холболтыг удирдах нэг газрыг өгөхдөө тусалж, нэг том хүснэгтийн ард хэн хэнд хүрч болохыг нуух үед хор хөнөөлтэй.