Dua akaun AWS, satu rangkaian tempatan: laluan mana?
Transit Gateway dikongsi, dua VPN bebas atau satu proksi sempit: pilih mengikut pemilikan dan skop kesan, bukan mengikut laluan yang paling mudah ditambah hari ini.
Rangka kerja yang jelas ialah peering berbanding VPN, dan itu rangka kerja yang salah. VPC yang di-peer tidak boleh meminjam sambungan VPN jirannya untuk penghalaan dari hujung ke hujung, jadi pilihan itu tidak pernah tersedia, apa pun yang dicadangkan oleh jadual laluan. Yang sebenarnya anda pilih ialah hab rangkaian dikongsi, dua laluan VPN bebas dan satu pintu masuk aplikasi yang sempit. Setiap satu menjawab soalan berbeza tentang siapa yang memiliki penghalaan.
Tiga pilihan dan satu yang bukan pilihan
Mulakan dengan memadam idea peering, kemudian bandingkan apa yang tinggal berdasarkan pemilikan dan bukan kesederhanaan rajah. Jadual di bawah ialah keputusan dalam bentuk ringkas.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Jika akaun A memerlukan kebolehcapaian ke seluruh rangkaian tempatan, baris proksi adalah bentuk yang salah. Jika akaun A memerlukan satu API, dua baris pertama ialah lebih banyak rangkaian daripada yang diminta oleh keperluan.
Bila Transit Gateway dikongsi menang
Transit Gateway melampirkan setiap VPC dan VPN sebagai rangkaian berasingan, dan perkongsian merentas akaun membolehkan pemilik VPC menggunakan hab tanpa menggabungkan akaun. Itulah tarikannya: satu tempat di mana awalan tempatan bertemu rangkaian AWS, dan satu tempat untuk menaakul lampiran mana mempelajari laluan mana.
Melampirkan semuanya tidak bermakna membenarkan semuanya. Persatuan dan penyebaran menentukan lampiran mana menggunakan jadual laluan mana, jadi dua awalan VPC masing-masing boleh mencapai perkhidmatan tempatan sementara akses bersama mereka kekal dikecualikan oleh reka bentuk hab. Pihak tempatan masih memerlukan laluan balik untuk awalan AWS, dan itu ialah tiket perubahan pasukan lain.
Kosnya bersifat organisasi serta kewangan. Pemilik hab mengawal hubungan penghalaan yang bergantung kepada pasukan lain, jadi perubahan pada satu lampiran boleh memindahkan trafik bagi perkhidmatan yang tidak pernah didengar oleh pemilik hab. Jam lampiran dan pemprosesan data bertambah dengan setiap rangkaian yang anda lampirkan, itulah sebabnya hab cenderung berkembang lebih cepat daripada pasukan yang mengendalikannya.
Bila VPN berasingan atau proksi sempit menang
Dua VPN bebas sesuai untuk penggunaan kecil dengan sempadan operasi sebenar: setiap akaun menukar terowongnya sendiri, dan tiada satu pun boleh merosakkan yang lain dengan menyunting jadual laluan. Hadnya terletak di pihak tempatan. Get laluan rakan memerlukan kapasiti untuk terowong tambahan, pelan alamat tidak boleh bertindih, dan dua konfigurasi yang mengiklankan awalan yang sama memerlukan keutamaan yang disengajakan dan bukan harapan.
Proksi ialah antara muka paling sempit. Jika akaun A memerlukan satu pangkalan data atau satu API dalam akaun B, perantara berskop memberi anda pintu masuk yang ditentukan dengan cerita pengesahan, pengelogan dan ketersediaan sendiri. Ia juga pilihan yang paling mudah disalahgunakan: perantara yang memajukan ke setiap destinasi peribadi telah menjadi geganti tanpa had dengan langkah tambahan, dan ia tidak akan berkelakuan sebagai transit telus dari VPC ke rangkaian tempatan untuk apa-apa yang lain.
Sekatan peering VPC patut dibaca sebelum semua ini, kerana ia menjelaskan mengapa idea keempat terus kembali dan mengapa ia tidak boleh berfungsi.
Pilih antara muka paling sempit yang memenuhi keperluan
Susun soalan: adakah A memerlukan satu rangkaian, satu set rangkaian atau satu perkhidmatan? Adakah pasukan tempatan mahu satu laluan atau beberapa? Siapa yang dibenarkan menukar penghalaan untuk trafik pasukan lain? Jawapan pertama yang menghasilkan antara muka paling sempit ialah seni bina, dan semua selepas itu ialah pelaksanaan.
Catat jawapan bersama pelan awalan, pemilikan laluan, inventori terowong atau lampiran dan mod kegagalan yang dijangka oleh setiap pihak. Apabila seseorang kemudian bertanya mengapa akaun A tidak boleh hanya menggunakan VPN akaun B, catatan itu ialah jawapannya, dan ia menyelamatkan anda daripada membahaskan tiga pilihan yang sama dalam projek seterusnya.