Leggje til eit lokalt subnett i ein AWS VPN: VGW kontra Transit Gateway

Ein eksisterande Site-to-Site VPN fører 10.60.0.0/16, eit nytt tenestenettverk dukkar opp bak same lokale gateway som 10.70.0.0/16, og nokon spør om det trengst ein proxy. Som regel ikkje: ein ruta veg kan føre prefikset, men berre om tre ting stemmer, og kva tre avhenger av AWS-arkitekturen du allereie køyrer. Ein virtuell privat gateway har éi rutetabellgrense; ein transit gateway legg til ei andre. Rett annonsering og feil tabell gjev ein sesjon som ser sunn ut og ikkje leverer noko.

Annonser eit prefiks gatewayen faktisk kan levere

Den lokale gatewayen treng ein vidare veg til det nye nettet før noka annonsering gjev meining. Å annonsere 10.70.0.0/16 via BGP fortel AWS kvar pakkar for det området skal sendast; det lagar ikkje den lokale vidaresendingsvegen som gjer området tilgjengeleg i den andre enden. Stadfest at gatewayen har ei rute for prefikset som peikar på eininga som held det, og at eininga er konfigurert til å svare for desse adressene. Eksportpolitikk og godtekne prefiksgrenser er den neste avgrensinga, for eit prefiks som sesjonen filtrerer bort når aldri fram til AWS.

Hald aggregat og meir spesifikke ruter medvite. Overlappande vegar som kjem frå to retningar er eit designval, ikkje ein detalj ein oppdagar seinare.

Veg éin: grensa for den virtuelle private gatewayen

Med ein virtuell privat gateway skildrar AWS VPN-dokumentasjonen for ruting to distribusjonsmodus, statiske ruter og BGP-annonseringar, og begge avhenger av subnett-rutetabellen som applikasjonen faktisk brukar. Propagering er praktisk når du styrer heile området, og ei eksplisitt rute er lettare å resonnere om når du vil ha destinasjonen oppført ved sida av målet. Uansett er kontrollen den same: inneheld tabellen for det konkrete applikasjonssubnettet ein fungerande veg til VPN-målet for det nye prefikset, og vinn han over noko meir spesifikt?

Ein sunn BGP-sesjon beviser at kanalen finst. Han seier ingenting om ein gjeven subnettabell har teke opp ruta.

Veg to: transit gateway legg til ein tabell

Ein transit gateway deler det eine spørsmålet i to. VPC-subnettet må sende destinasjonen til transit gateway-tilknytinga, og deretter må transit gateway-rutetabellen velje VPN-tilknytinga for same prefiks. Vala for tilknyting og propagering avgjer kva tilknytte nett som får ruta, så eit prefiks kan annonserast rett av VPN-en og likevel aldri nå VPC-en der tabellen aldri vart knytt til den rette rutetabellen.

Den vanlege feilen er ei rute som finst i den eine tabellen og ikkje i den andre, der kvart team er overtydd om at sida deira er rett. Når du samanliknar dei to arkitektura, er denne ekstra grensa heile skilnaden: fleire stader å sjå etter, og meir presis kontroll over kven som får ruta.

Rutepropagering gjev heller ikkje kvar tilknyting prefikset. Ho fordeler det til tabellane som er konfigurerte til å ta imot det.

Returvegen er si eiga politikkavgjerd

Trafikk som kjem inn er berre halvparten av utvekslinga. Det nye lokale nettet treng ein veg tilbake til AWS-kjeldeprefiksa gjennom rett gateway, og tryggleikspolitikken i begge endar må tillate det paret av kjelde og destinasjon. Viss tunnelen forhandlar om eit vernområde med trafikkveljarar, må det nye prefikset liggje innanfor, elles blir pakken kasta før nokon rutetabell blir konsultert.

Adresseoverlapp er den andre fella. Åtskilde, eksplisitt eigde område held dette enkelt; overlappande område tyder omsetjing eller ein ny design, og ingen av dei er ein utskiftbar variant av den same oppskrifta.

Test med ei kjelde i det nye nettet og ein destinasjon i applikasjonssubnettet, og gjer om i den andre retninga. Ein einvegstest beviser berre éin retning.

Når proxyen verkeleg er den betre grensa

Ein proxy fortener plassen sin når kravet er eit smalt tenestegrensesnitt, når applikasjonen allereie ventar den arkitekturen, eller når nettvegen ikkje kan fåast til å føre prefikset utan ei omsetjing du ikkje vil ha. Han er ikkje reservevalet for ein rutetabelloppføring som ingen har kontrollert.

Avgjer i denne rekkjefølgja: lokal vidaresending, annonsering, tabellgrense, returpolitikk. Retta opp den første som feilar, og spør først då om den ruta vegen i det heile er det rette svaret.