Menambah subnet tempatan pada AWS VPN: VGW berbanding Transit Gateway

VPN Site-to-Site sedia ada membawa 10.60.0.0/16, rangkaian perkhidmatan baharu muncul di belakang gateway tempatan yang sama sebagai 10.70.0.0/16, dan seseorang bertanya sama ada proksi diperlukan. Biasanya tidak: laluan yang dihalakan boleh membawa awalan itu, tetapi hanya jika tiga perkara sejajar, dan yang mana tiga bergantung pada seni bina AWS yang sudah anda jalankan. Gateway persendirian maya mempunyai satu sempadan jadual laluan; transit gateway menambah yang kedua. Pengumuman betul dengan jadual salah menghasilkan sesi yang kelihatan sihat dan tidak menyampaikan apa-apa.

Umumkan awalan yang benar-benar boleh disampaikan oleh gateway

Gateway tempatan memerlukan laluan ke hadapan ke rangkaian baharu sebelum apa-apa pengumuman bermakna. Mengumumkan 10.70.0.0/16 melalui BGP memberitahu AWS ke mana hendak menghantar paket bagi julat itu; ia tidak mencipta laluan penghantaran tempatan yang menjadikan julat itu boleh dicapai di hujung yang lain. Sahkan bahawa gateway mempunyai laluan untuk awalan yang menunjuk ke peranti yang memegangnya, dan peranti dikonfigurasikan untuk menjawab alamat tersebut. Dasar eksport dan had awalan yang diterima ialah kekangan seterusnya, kerana awalan yang ditapis oleh sesi tidak pernah sampai ke AWS langsung.

Kekalkan agregat dan laluan yang lebih khusus secara sengaja. Laluan bertindih yang datang dari dua arah ialah keputusan reka bentuk, bukan butiran yang ditemui kemudian.

Laluan satu: sempadan gateway persendirian maya

Dengan gateway persendirian maya, dokumentasi penghalaan AWS VPN menerangkan dua mod pengedaran, laluan statik dan pengumuman BGP, dan kedua-duanya bergantung pada jadual laluan subnet yang benar-benar digunakan oleh aplikasi. Penyebaran mudah apabila anda mengawal seluruh julat, dan laluan eksplisit lebih mudah difikirkan apabila anda mahu destinasi disenaraikan di sebelah sasaran. Walau apa pun, semakan adalah sama: adakah jadual subnet aplikasi tertentu mengandungi laluan berfungsi ke sasaran VPN untuk awalan baharu, dan adakah ia menang terhadap apa-apa yang lebih khusus?

Sesi BGP yang sihat membuktikan saluran itu wujud. Ia tidak mengatakan apa-apa tentang sama ada jadual subnet tertentu telah mengambil laluan itu.

Laluan dua: transit gateway menambah jadual

Transit gateway membahagikan satu soalan itu kepada dua. Subnet VPC mesti menghantar destinasi ke lampiran transit gateway, dan kemudian jadual laluan transit gateway mesti memilih lampiran VPN untuk awalan yang sama. Pilihan persekutuan dan penyebaran menentukan rangkaian terlampir mana yang menerima laluan itu, jadi sesuatu awalan boleh diumumkan dengan betul oleh VPN dan masih tidak pernah sampai ke VPC yang jadualnya tidak pernah dikaitkan dengan jadual laluan yang betul.

Kegagalan biasa ialah laluan yang wujud dalam satu jadual dan tidak dalam yang lain, dengan setiap pasukan yakin pihaknya betul. Apabila anda membandingkan kedua-dua seni bina, sempadan tambahan inilah keseluruhan perbezaannya: lebih banyak tempat untuk diperiksa, dan kawalan yang lebih tepat ke atas siapa yang menerima laluan itu.

Penyebaran laluan juga tidak memberikan awalan kepada setiap lampiran. Ia mengagihkannya kepada jadual yang dikonfigurasikan untuk menerimanya.

Laluan pulangan ialah keputusan dasar tersendiri

Trafik yang tiba hanyalah separuh daripada pertukaran. Rangkaian tempatan baharu memerlukan laluan balik ke awalan sumber AWS melalui gateway yang betul, dan dasar keselamatan di kedua-dua hujung mesti membenarkan pasangan sumber dan destinasi itu. Jika terowong berunding skop perlindungan dengan pemilih trafik, awalan baharu mesti berada di dalamnya, jika tidak paket digugurkan sebelum mana-mana jadual laluan dirujuk.

Pertindihan alamat ialah perangkap yang lain. Julat terpisah yang dimiliki secara eksplisit menjadikan ini mudah; julat bertindih bermakna terjemahan atau reka bentuk semula, dan kedua-duanya bukan varian yang boleh ditukar ganti bagi resipi yang sama.

Uji dengan sumber dalam rangkaian baharu dan destinasi dalam subnet aplikasi, kemudian ulangi ke arah bertentangan. Ujian satu arah hanya membuktikan satu arah.

Bila proksi benar-benar sempadan yang lebih baik

Proksi mendapat tempatnya apabila keperluan ialah antara muka perkhidmatan yang sempit, apabila aplikasi sudah menjangka seni bina itu, atau apabila laluan rangkaian tidak dapat dibuat untuk membawa awalan tanpa terjemahan yang anda tidak mahu. Ia bukan pilihan sandaran untuk entri jadual laluan yang tiada siapa periksa.

Putuskan dalam susunan ini: penghantaran tempatan, pengumuman, sempadan jadual, dasar pulangan. Betulkan yang pertama gagal, dan hanya selepas itu tanya sama ada laluan yang dihalakan itu memang jawapan yang betul.