Pridanie miestnej podsiete k AWS VPN: VGW verzus Transit Gateway

Existujúca Site-to-Site VPN prenáša 10.60.0.0/16, za tou istou miestnou bránou sa objavuje nová servisná sieť ako 10.70.0.0/16 a niekto sa pýta, či je potrebný proxy. Zvyčajne nie: smerovaná cesta môže prenášať prefix, ale len ak sa zídu tri veci, a ktoré tri, závisí od architektúry AWS, ktorú už prevádzkujete. Virtuálna privátna brána má jednu hranicu smerovacej tabuľky; transit gateway pridáva druhú. Správne ohlásenie a nesprávna tabuľka vytvoria reláciu, ktorá vyzerá zdravo a nič nedoručí.

Zverejnite prefix, ktorý brána skutočne dokáže doručiť

Miestna brána potrebuje cestu k novej sieti skôr, než má akékoľvek ohlásenie zmysel. Ohlásenie 10.70.0.0/16 cez BGP hovorí AWS, kam posielať pakety pre tento rozsah; nevytvára však miestnu preposielaciu cestu, ktorá rozsah sprístupní na druhom konci. Overte, že brána má pre prefix cestu ukazujúcu na zariadenie, ktoré ho drží, a že zariadenie je nakonfigurované odpovedať za tieto adresy. Exportná politika a prijímané limity prefixov sú ďalším obmedzením, pretože prefix, ktorý relácia vyfiltruje, sa do AWS vôbec nedostane.

Agregáty a konkrétnejšie cesty držte zámerné. Prekrývajúce sa cesty prichádzajúce z dvoch smerov sú rozhodnutie o návrhu, nie detail, ktorý sa objaví neskôr.

Cesta prvá: hranica virtuálnej privátnej brány

Pri virtuálnej privátnej bráne dokumentácia smerovania AWS VPN opisuje dva režimy distribúcie, statické cesty a ohlásenia BGP, a oba závisia od smerovacej tabuľky podsiete, ktorú aplikácia skutočne používa. Propagácia je pohodlná, keď ovládate celý rozsah, a explicitná cesta sa ľahšie odôvodňuje, keď chcete mať cieľ uvedený vedľa cieľového bodu. V oboch prípadoch je kontrola rovnaká: obsahuje tabuľka konkrétnej aplikačnej podsiete funkčnú cestu k cieľu VPN pre nový prefix a vyhráva proti niečomu konkrétnejšiemu?

Zdravá relácia BGP dokazuje, že kanál existuje. Nehovorí nič o tom, či daná tabuľka podsiete cestu prevzala.

Cesta druhá: transit gateway pridáva tabuľku

Transit gateway rozdeľuje jednu otázku na dve. Podsieť VPC musí poslať cieľ na pripojenie transit gateway a potom musí smerovacia tabuľka transit gateway vybrať pripojenie VPN pre ten istý prefix. Voľby pridruženia a propagácie určujú, ktoré pripojené siete cestu dostanú, takže prefix môže byť VPN ohlásený správne a napriek tomu sa nikdy nedostane do VPC, ktorého tabuľka nebola nikdy pridružená k správnej smerovacej tabuľke.

Bežná porucha je cesta, ktorá existuje v jednej tabuľke a v druhej nie, pričom každý tím je presvedčený, že jeho strana je správna. Keď obe architektúry porovnáte, táto ďalšia hranica je celý rozdiel: viac miest na kontrolu a presnejšia kontrola nad tým, kto cestu dostane.

Ani propagácia ciest nedáva prefix každému pripojeniu. Rozdeľuje ho do tabuliek nakonfigurovaných na jeho príjem.

Návratová cesta je samostatné politické rozhodnutie

Prichádzajúca prevádzka je len polovica výmeny. Nová miestna sieť potrebuje cestu späť k zdrojovým prefixom AWS cez správnu bránu a bezpečnostná politika na oboch koncoch musí tento pár zdroja a cieľa povoliť. Ak tunel vyjednáva rozsah ochrany so selektormi prevádzky, nový prefix v ňom musí byť, inak je paket zahodený skôr, než sa pozrieme do akejkoľvek smerovacej tabuľky.

Prekryv adries je druhá pasca. Neprekrývajúce sa, výslovne vlastnené rozsahy to udržujú jednoduché; prekrývajúce sa rozsahy znamenajú preklad alebo prepracovanie a ani jedno nie je zameniteľná varianta toho istého receptu.

Testujte so zdrojom v novej sieti a cieľom v aplikačnej podsieti, potom to zopakujte opačným smerom. Jednosmerný test dokazuje iba jeden smer.

Kedy je proxy skutočne lepšou hranicou

Proxy si svoje miesto zaslúži, keď je požiadavkou úzke servisné rozhranie, keď aplikácia túto architektúru už očakáva, alebo keď sa sieťovú cestu nedá prinútiť niesť prefix bez prekladu, ktorý nechcete. Nie je to náhradné riešenie pre záznam v smerovacej tabuľke, ktorý nikto neoveril.

Rozhodujte v tomto poradí: miestne preposielanie, ohlásenie, hranica tabuľky, politika návratu. Opravte prvú, ktorá zlyhá, a až potom sa pýtajte, či je smerovaná cesta vôbec správna odpoveď.