Iżżid subnet lokali ma’ AWS VPN: VGW kontra Transit Gateway

VPN Site-to-Site eżistenti jġorr 10.60.0.0/16, wara l-istess gateway lokali jidher netwerk tas-servizz ġdid bħala 10.70.0.0/16, u xi ħadd jistaqsi jekk huwiex meħtieġ proxy. Normalment le: triq bir-rotta tista’ ġġorr il-prefiss, iżda biss jekk tliet affarijiet jaqblu, u liema tlieta jiddependi mill-arkitettura AWS li diġà qed tħaddem. Gateway privat virtwali għandu limitu wieħed tat-tabella tar-rotot; transit gateway iżid tieni wieħed. Avviż tajjeb u tabella ħażina jipproduċu sessjoni li tidher f’saħħitha u ma twassal xejn.

Ippubblika prefiss li l-gateway tassew jista’ jwassal

Il-gateway lokali jeħtieġ triq ’il quddiem lejn in-netwerk ġdid qabel ma jkollu tifsira xi avviż. Li tħabbar 10.70.0.0/16 permezz ta’ BGP jgħid lil AWS fejn għandu jibgħat il-pakketti għal dak il-firxa; ma joħloqx it-triq lokali tat-trasferiment li tagħmel il-firxa aċċessibbli fit-tarf l-ieħor. Ikkonferma li l-gateway għandu rotta għall-prefiss li tindika lejn l-apparat li jżommu, u li l-apparat huwa konfigurat biex iwieġeb għal dawk l-indirizzi. Il-politika tal-esportazzjoni u l-limiti tal-prefiss aċċettati huma l-kostrizzjoni li jmiss, għax prefiss li s-sessjoni tiffiltra qatt ma jasal għand AWS.

Żomm l-aggregati u r-rotot aktar speċifiċi b’mod intenzjonat. Triqat li jikkoinċidu u li ġejjin minn żewġ direzzjonijiet huma deċiżjoni tad-disinn, mhux dettall li jiġi skopert aktar tard.

Triq waħda: il-limitu tal-gateway privat virtwali

B’gateway privat virtwali, id-dokumentazzjoni tar-rotta tal-AWS VPN tiddeskrivi żewġ modi ta’ distribuzzjoni, rotot statiċi u avviżi BGP, u t-tnejn jiddependu mit-tabella tar-rotot tas-subnet li l-applikazzjoni fil-fatt tuża. Il-propagazzjoni hija konvenjenti meta tikkontrolla l-firxa kollha, u rotta espliċita hija eħfef biex tiddeduċiha meta trid id-destinazzjoni mniżżla ħdejn il-mira. Fi kwalunkwe każ il-verifika hija l-istess: it-tabella tas-subnet tal-applikazzjoni speċifika fiha triq li taħdem lejn il-mira VPN għall-prefiss il-ġdid, u tirbaħ kontra xi ħaġa aktar speċifika?

Sessjoni BGP f’saħħitha tipprova li l-kanal jeżisti. Ma tgħid xejn dwar jekk tabella tas-subnet partikolari kkonsmatx ir-rotta.

Triq tnejn: it-transit gateway iżid tabella

Transit gateway jaqsam dik il-mistoqsija waħda fi tnejn. Is-subnet tal-VPC trid tibgħat id-destinazzjoni lejn l-attakkament tat-transit gateway, u mbagħad it-tabella tar-rotot tat-transit gateway trid tagħżel l-attakkament VPN għall-istess prefiss. L-għażliet tal-assoċjazzjoni u tal-propagazzjoni jiddeterminaw liema netwerks imwaħħla jirċievu r-rotta, għalhekk prefiss jista’ jiġi mħabbar b’mod korrett mill-VPN u xorta qatt ma jasal għall-VPC li t-tabella tiegħu qatt ma ġiet assoċjata mat-tabella tar-rotot it-tajba.

Il-falliment komuni huwa rotta li teżisti f’tabella waħda u mhux fl-oħra, b’kull tim konvint li n-naħa tiegħu hija korretta. Meta tqabbel iż-żewġ arkitetturi, dan il-limitu żejjed huwa d-differenza kollha: aktar postijiet fejn tħares, u kontroll aktar preċiż fuq min jirċievi r-rotta.

Il-propagazzjoni tar-rotot lanqas ma tagħti l-prefiss lil kull attakkament. Tiddistribwih lit-tabelli konfigurati biex jirċevuh.

It-triq tar-ritorn hija deċiżjoni tal-politika tagħha stess

It-traffiku li jasal huwa biss nofs l-iskambju. In-netwerk lokali l-ġdid jeħtieġ triq lura lejn il-prefissi tas-sors AWS permezz tal-gateway it-tajjeb, u l-politika tas-sigurtà fiż-żewġt itruf trid tippermetti dik il-par ta’ sors u destinazzjoni. Jekk it-tunnel jinnegozja ambitu ta’ protezzjoni b’seletturi tat-traffiku, il-prefiss il-ġdid irid ikun ġo fih, inkella l-pakkett jintrema qabel ma tiġi kkonsultata xi tabella tar-rotot.

L-koinċidenza tal-indirizzi hija n-nassa l-oħra. Firxiet mifruda u proprjetà espliċita jżommu dan sempliċi; firxiet li jikkoinċidu jfissru traduzzjoni jew disinn mill-ġdid, u ebda waħda mhi varjant skambjabbli tal-istess riċetta.

Ittestja b’sors fin-netwerk il-ġdid u destinazzjoni fis-subnet tal-applikazzjoni, imbagħad irrepeti fid-direzzjoni l-oħra. Test f’direzzjoni waħda jipprova direzzjoni waħda biss.

Meta l-proxy tassew huwa l-aħjar limitu

Proxy jaqla’ postu meta r-rekwiżit huwa interface tas-servizz dejqa, meta l-applikazzjoni diġà tistenna dik l-arkitettura, jew meta t-triq tan-netwerk ma tistax tiġi mġiegħla ġġorr il-prefiss mingħajr traduzzjoni li ma tridx. Mhuwiex is-soluzzjoni ta’ riżerva għal entrata fit-tabella tar-rotot li ħadd ma vverifika.

Iddeċiedi f’dan l-ordni: trasferiment lokali, avviż, limitu tat-tabella, politika tar-ritorn. Sejjaħ l-ewwel waħda li tfalli, u biss imbagħad staqsi jekk it-triq bir-rotta hijiex tassew it-tweġiba t-tajba.