AWS Site-to-Site VPN lejn NAT Gateway: VGW kontra Transit Gateway

Kulħadd ipinġi l-istess dijagramma l-ewwel darba: VPN fil-VPC, NAT gateway barra lejn l-internet, lest. Iżda AWS ma tappoġġjax dik il-mogħdija meta l-VPN tispiċċa fuq virtual private gateway, u l-falliment huwa daqshekk sieket li t-timijiet jerġgħu jibnuh aktar minn darba. Id-disinn li jaħdem jeħtieġ transit gateway, li jbiddel il-gateway u t-tabelli tar-rotot fuq iż-żewġ naħat. Qabbel iż-żewġ forom qabel ma tibda tpinġi.

It-topoloġija li tidher ovvja u mhijiex appoġġjata

Id-dokumentazzjoni tal-NAT gateway ta' AWS tiġbed linja li tissorprendi lil kull min bena biss disinni ta' VPC waħda: it-traffiku minn konnessjoni Site-to-Site VPN ma jistax jiġi rrutat lejn NAT gateway permezz ta' virtual private gateway. It-tip ta' gateway li fuqu tispiċċa l-VPN jiddeċiedi jekk teżistix mogħdija ta' traduzzjoni. L-iżball jibqa' għax l-istat tat-tunnell huwa UP u istanza EC2 fl-istess subnet tilħaq l-internet mingħajr problemi. L-ebda waħda miż-żewġ osservazzjonijiet ma tittestja d-direzzjoni miksura.

Fil-prattika l-pakkett jasal b'indirizz tas-sors min-netwerk lokali u ma jsibx hop li jmiss appoġġjat li jittraduċih. Skont it-tabelli jiġi mwarrba fil-fruntiera tal-ħruġ, u għax it-tunnell jibqa' UP waqt li istanza fl-istess subnet tilħaq l-internet, il-falliment jiġi rrappurtat bħala problema ta' firewall lokali.

Virtual private gateway kontra transit gateway

Virtual private gateway tappartjeni lil VPC waħda. Tispiċċa l-VPN, tinstalla r-rotot fit-tabelli ta' dik il-VPC u tieqaf hemm. M'għandhiex mudell ta' attachment, għalhekk ma tistax tgħaddi traffiku lil VPC oħra jew lil segment tal-ħruġ maqsum. Dan l-ambitu ta' VPC waħda huwa l-limitazzjoni kollha, u l-ebda rotta li żżid fil-VPC ma tibdlu.

Transit gateway huwa ċentru reġjonali fejn il-VPN, kull spoke VPC u VPC tas-servizzi maqsuma jidhru bħala attachments. Għandu t-tabelli tiegħu stess, li jagħżlu liema attachment jirċievi prefiss partikolari.

Dan iċ-ċentru jagħmel il-ħruġ ċentralizzat possibbli: il-VPN tinżel bħala attachment wieħed, il-VPC tal-ħruġ bħala ieħor, u tabella ta' transit gateway tibgħat il-prefissi lejn l-internet mill-ewwel għat-tieni. B'virtual private gateway m'hemmx tieni attachment fejn jintbagħat xi ħaġa, u għalhekk id-disinn ma jistax jissewwa wara.

Il-mogħdija tal-ħruġ appoġġjata, hop b'hop

Id-disinn ta' referenza għandu ħames hops u kull vleġġa hija deċiżjoni ta' routing li trid tikkonfigura. It-traffiku joħroġ min-netwerk lokali fl-attachment tas-Site-to-Site VPN, it-tabella tat-transit gateway tgħaddih lill-attachment tal-VPC tal-ħruġ, fejn it-tabella tas-subnet tibagħtu lil NAT gateway pubbliku. In-NAT gateway jittraduċi s-sors u l-internet gateway iwassal il-pakkett barra.

On-premises network
  -> Site-to-Site VPN attachment on the transit gateway
  -> transit gateway route table
  -> egress VPC attachment
  -> public NAT gateway in that VPC
  -> internet gateway

Żewġ dettalji jiddeċiedu jekk l-aħħar hops jaħdmux. In-NAT gateway irid ikun pubbliku, b'elastic IP u rotta lejn internet gateway, għax NAT gateway privat jittraduċi bejn netwerks u qatt ma jsir ħruġ tal-internet.

Ippjana NAT gateway wieħed għal kull Availability Zone li trid isservi, b'kull tabella tas-subnet turi lejn dik lokali. Żomm it-tabella tat-transit gateway u t-tabelli tal-VPC bħala oġġetti separati fin-noti tiegħek, għax waħda tagħżel attachment u l-oħra riżors ġewwa l-VPC. Rotta default f'waħda biss minnhom tħalli nofs il-mogħdija mhux definita u tipproduċi l-fallimenti parzjali li huma l-aktar diffiċli li jiġu attribwiti.

Il-mogħdija lura hija fejn dawn id-disinni jfallu

NAT gateway iżomm l-istat għall-flussi li jkun ra qabel, għalhekk it-tweġibiet għal konnessjoni tal-ħruġ jiġu lura mingħajr regola ġdida tad-dħul. Dik il-proprjetà ma tippubblikax servizz lokali fuq l-internet, u li tittrattaha bħallikieku tagħmel hekk tiswa tim jum jiġġieled konnessjoni li qatt ma kienet se tinbena. Għat-traffiku li jibda mill-klijent erba' rotot iridu jaqblu: il-politika lokali, it-tabella tat-transit gateway, it-tabella tas-subnet tal-ħruġ u t-tabella tas-subnet NAT. Jekk tonqos l-aħħar waħda, it-talba titlaq mill-bini filwaqt li t-tweġiba tmut ġewwa AWS.

Ivverifika b'klijent reali wara l-VPN u ara liema indirizz tas-sors pubbliku jippreżenta. Jekk huwa l-elastic IP tan-NAT gateway, it-traduzzjoni qed issir; jekk huwa xi ħaġa oħra, qed tkejjel ħruġ differenti.

Il-verżjoni asimmetrika ta' dan il-falliment tajjeb li tintgħaraf kmieni. Meta t-tabella tas-subnet NAT ta' Availability Zone waħda jkollha r-rotta lura lejn il-prefiss tal-klijent u oħra ma jkollhiex, konnessjonijiet ġodda jirnexxu jew ifallu skont iż-żona fejn jaqa' l-fluss, u l-mudell jinqara ħażin bħala internet instabbli. Qabbel it-tabelli tas-subnet għal kull żona li sservi minflok ma ssewwi dik fejn infetaħ it-ticket, għax ir-rotta nieqsa hija l-ħsara kollha u fuq in-naħa l-oħra xejn m'għandu jinbidel.

Meta proxy espliċitu huwa d-disinn aħjar

Proxy HTTP fuq istanza fil-VPC tal-ħruġ huwa alternattiva leġittima u spiss l-irħas. Il-klijenti jiġu konfigurati biex jużawh, il-proxy jiftaħ il-konnessjoni tiegħu stess barra, u l-mogħdija lura ssir il-problema tiegħu minflok tisliba ta' routing simetriku. Għal ftit applikazzjonijiet dan ineħħi l-biċċa l-kbira tax-xogħol tat-transit gateway. Jagħti wkoll reġistri għal kull utent li NAT gateway ma jistax jipproduċi.

Madankollu mhuwiex trasparenti. Kull ħaġa li tinjora s-settings tal-proxy, u kull protokoll li mhuwiex HTTP, ma sejrinx fuq dik il-mogħdija.

L-għażla tiddependi fuq x'jirrekordjaw verament l-applikazzjonijiet tiegħek u kemm għandek bżonn identità fir-reġistri. Fejn jitkellmu HTTP, il-proxy jaqla' postu; fejn għandek bżonn ħruġ ġenerali għal protokolli arbitrarji, id-disinn bit-transit gateway huwa dak appoġġjat minn AWS. Li tiddeċiedi dan bil-quddiem irħas milli tiskoprih wara li jinbnew it-tabelli tar-rotot.