Éin VPN mellom lokasjonar for fleire VPC-ar på AWS Transit Gateway

To VPC-ar treng kontornettverket dette kvartalet, og det er ved den andre tunnelen anslaget rivnar. AWS Transit Gateway kan fungere som eit felles rutingsenter: VPN-en blir kopla til éin gong, og kvar VPC blir kopla til same senter. Deretter når det lokale nettverket kvar tilkopla VPC gjennom éi forbinding. Det endrar kven som eig rutingsavgjerda, og det er den delen dei fleste design gjer feil.

VPN-tilkoplinga og VPC-tilkoplingane er separate objekt på same gateway, difor må ruterelasjonane byggjast etterpå.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Kvifor peering ikkje er den snarvegen folk håpar på

Det freistande alternativet er å avslutte VPN-en på VPC A og peering-kople VPC B til han. Vanleg VPC-peering gir ikkje transitt frå kant til kant gjennom A sin VPN-forbinding. Ein peer når berre adressene som peeringa sjølv tilbyr, og ein VPN-kant er ikkje ein av dei. Transitt er det eit senter gir; peering gir deg eit par.

Den avgrensinga er ein eigenskap ved peering, ikkje ein kvote du kan auke.

Tilknyting og spreiing gjer ulikt arbeid

Inne i transit gatewayen vel tilknytinga den rutetabellen som blir brukt til å slå opp trafikk som kjem frå ei tilkopling. Spreiinga avgjer kva tabellar som får dei lærde eller tilkopla prefiksa til ei tilkopling. Éi tilkopling kan vere tilknytt éin tabell medan ho blir spreidd til fleire. Å blande dei to er måten eit design endar med ein nåbarheit ingen hadde planlagd.

Eit fullt samankopla lite senter er det enkle tilfellet.

Set kvar tilkopling i éin tabell, og VPN-en pluss begge VPC-prefiksa blir løyste reint. Det tillèt òg nåbarheit mellom VPC-ar som organisasjonen kanskje aldri meinte, fordi ein delt tabell ikkje kjenner omgrepet spoke.

Rutene til arbeidslastene bur andre stader

Kvart arbeidslastsubnett treng framleis si eiga rute mot transit gatewayen for dei tiltenkte lokale prefiksa. Dei VPC-rutetabellane er separate objekt frå transit gatewayen sine eigne tabellar. Legg til prefiksa du treng og hald på eksisterande ruter i staden for å bytte ut kvar destinasjon med ein ny standard. Ei subnett-rute annonserer heller ingenting til kundeeininga.

Vel dynamisk eller statisk ruting med vilje; peering gir ingen av dei.

Isoler spokes utan å miste lokal tilgang

Når A og B båe kan nå kontoret men ikkje skal rute til kvarandre, del tabellane. Den tilknytte tabellen for VPN-tilkoplinga held VPC-prefiksa. Den tilknytte tabellen for VPC-tilkoplingane held dei lokale prefiksa, utan ei rute som knyter A til B. Spreiinga skaper den relasjonen, så du treng aldri å godta kvar standardtilknyting.

Dette er ruteisolering, og det er ikkje applikasjonsautorisasjon.

Tryggingsgrupper, nettverks-ACL-ar, vertsbrannmurar og kvar teneste sine eigne løyve avgjer framleis kva trafikk som blir sleppt inn. Viss inspeksjon er naudsynt, designar du den støtta vegen eksplisitt i staden for å anta at senteret gjer det.

Kva senteret ikkje fiksar

Adresseplanar må framleis vere utan overlapp, fordi senteret ikkje lèt eitt prefiks identifisere to arbeidslaster. Kvar VPC-tilkopling treng den Availability Zone-dekninga arbeidslastene ventar. Med BGP må rutene til kundeeininga tilbake til kvart påkravde prefiks samsvare med designet og importpolitikken til det. Ei manglande annonsering ser nøyaktig ut som ein broten tunnel.

VPN-forbindinga og transit gatewayen er no felles infrastruktur.

Planlegg tunellredundans, einingkapasitet, overvaking og vedlikehald rundt alle avhengige VPC-ar i staden for å handsame kvar som uavhengig tilkopla.

Migrering frå ei eksisterande virtual private gateway-ordning fortener den same eksplisitte planen. Bygg tilkoplingane og policyane, flytt éi kontrollert arbeidslastrute, og stadfest dei tillatne og avviste relasjonane før du avviklar den gamle ruta. Sentralisering hjelper når ho gir nettverksteamet éin stad å administrere felles tilkopling, og skader når ho skjuler kven som kan nå kven bak éin stor tabell.