Satu VPN tapak-ke-tapak untuk beberapa VPC pada AWS Transit Gateway

Dua VPC memerlukan rangkaian pejabat suku ini, dan pada terowong kedua itulah anggaran pecah. AWS Transit Gateway boleh bertindak sebagai hab penghalaan dikongsi: VPN dipasang sekali, dan setiap VPC dipasang pada hab yang sama. Rangkaian tempatan kemudian sampai ke setiap VPC yang dipasang melalui satu sambungan. Itu mengubah siapa yang memiliki keputusan penghalaan, dan itulah bahagian yang kebanyakan reka bentuk silap.

Lampiran VPN dan lampiran VPC ialah objek berasingan pada gateway yang sama, sebab itulah hubungan penghalaan perlu dibina selepas itu.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Mengapa peering bukan jalan pintas yang diharapkan

Alternatif yang menggoda ialah menamatkan VPN pada VPC A dan peering VPC B kepadanya. Peering VPC biasa tidak menyediakan transit dari tepi ke tepi melalui sambungan VPN A. Peer hanya sampai ke alamat yang disediakan oleh peering itu sendiri, dan tepi VPN bukan salah satunya. Transit ialah apa yang hab beri; peering memberi anda sepasang.

Kekangan itu sifat peering, bukan kuota yang boleh dinaikkan.

Persatuan dan penyebaran melakukan kerja berbeza

Di dalam gateway transit, persatuan memilih jadual penghalaan yang digunakan untuk mencari trafik yang tiba dari lampiran. Penyebaran menentukan jadual mana yang menerima awalan yang dipelajari atau disambungkan oleh lampiran. Satu lampiran boleh bersekutu dengan satu jadual sambil menyebar ke beberapa. Mengelirukan kedua-duanya ialah cara reka bentuk berakhir dengan ketercapaian yang tiada siapa rancang.

Hab kecil yang bersambung sepenuhnya ialah kes mudah.

Letakkan setiap lampiran dalam satu jadual dan VPN bersama kedua-dua awalan VPC selesai dengan bersih. Itu juga membenarkan ketercapaian antara VPC yang mungkin tidak pernah diniatkan organisasi, kerana jadual dikongsi tidak mengenal konsep spoke.

Laluan beban kerja tinggal di tempat lain

Setiap subnet beban kerja masih memerlukan laluannya sendiri ke arah gateway transit untuk awalan tempatan yang dimaksudkan. Jadual penghalaan VPC itu ialah objek berasingan daripada jadual gateway transit sendiri. Tambah awalan yang diperlukan dan kekalkan laluan sedia ada daripada menggantikan setiap destinasi dengan default baharu. Laluan subnet juga tidak mengiklankan apa-apa kepada peranti pelanggan.

Pilih penghalaan dinamik atau statik dengan sengaja; peering tidak menyediakan kedua-duanya.

Asingkan spoke tanpa kehilangan akses tempatan

Apabila A dan B kedua-duanya boleh sampai ke pejabat tetapi tidak boleh menghala ke satu sama lain, pisahkan jadual. Jadual bersekutu lampiran VPN memegang awalan VPC. Jadual bersekutu lampiran VPC memegang awalan tempatan, tanpa laluan yang menyatukan A dengan B. Penyebaran yang menghasilkan hubungan itu, jadi anda tidak perlu menerima setiap persatuan lalai.

Ini pengasingan penghalaan, dan ini bukan kebenaran aplikasi.

Kumpulan keselamatan, ACL rangkaian, dinding api hos dan kebenaran setiap perkhidmatan sendiri masih menentukan trafik mana yang diterima. Jika pemeriksaan diperlukan, reka bentuk laluan yang disokongnya secara jelas daripada menganggap hab melakukannya.

Apa yang hab tidak betulkan

Pelan alamat masih mesti tidak bertindih, kerana hab tidak membenarkan satu awalan mengenal pasti dua beban kerja. Setiap lampiran VPC memerlukan liputan Availability Zone yang dijangka oleh beban kerjanya. Dengan BGP, laluan peranti pelanggan kembali ke setiap awalan yang diperlukan mesti sepadan dengan reka bentuk dan dasar importnya. Pengumuman yang hilang kelihatan sama seperti terowong yang rosak.

Sambungan VPN dan gateway transit kini infrastruktur dikongsi.

Rancang redundansi terowong, kapasiti peranti, pemantauan dan penyelenggaraan di sekeliling semua VPC yang bergantung daripada melayan setiap satu sebagai bersambung secara berasingan.

Penghijrahan daripada susunan virtual private gateway sedia ada wajar mendapat pelan eksplisit yang sama. Bina lampiran dan dasar, gerakkan satu laluan beban kerja terkawal, dan sahkan hubungan yang dibenarkan dan dinafikan sebelum bersara laluan lama. Pemusatan membantu apabila ia memberi pasukan rangkaian satu tempat untuk mengurus sambungan dikongsi, dan merugikan apabila ia menyembunyikan siapa boleh sampai kepada siapa di sebalik satu jadual besar.