Dodajanje lokalnega podomrežja v AWS VPN: VGW proti Transit Gateway

Obstoječi Site-to-Site VPN prenaša 10.60.0.0/16, za isto lokalno prehodno točko se pojavi novo storitveno omrežje kot 10.70.0.0/16 in nekdo vpraša, ali je potreben proxy. Običajno ne: usmerjena pot lahko prenaša predpono, a le če se ujemajo tri stvari, in katere tri, je odvisno od arhitekture AWS, ki jo že izvajate. Virtualna zasebna prehodna točka ima eno mejo usmerjevalne tabele; transit gateway doda drugo. Pravilna objava in napačna tabela ustvarita sejo, ki je videti zdrava in ne dostavi ničesar.

Objavite predpono, ki jo prehodna točka res lahko dostavi

Lokalna prehodna točka potrebuje pot v novo omrežje, preden ima kakršna koli objava smisel. Objava 10.70.0.0/16 prek BGP pove AWS, kam pošiljati pakete za to območje; ne ustvari lokalne poti posredovanja, ki naredi območje dosegljivo na drugem koncu. Potrdite, da ima prehodna točka pot za predpono, ki kaže na napravo, ki jo hrani, in da je naprava nastavljena za odgovarjanje na te naslove. Izvozna politika in sprejete omejitve predpon so naslednja omejitev, ker predpona, ki jo seja filtrira, do AWS sploh ne pride.

Agregate in bolj specifične poti ohranjajte namerne. Poti, ki se prekrivajo in prihajajo iz dveh smeri, so oblikovalska odločitev, ne podrobnost, ki jo odkrijete pozneje.

Pot ena: meja virtualne zasebne prehodne točke

Pri virtualni zasebni prehodni točki dokumentacija usmerjanja AWS VPN opisuje dva načina distribucije, statične poti in objave BGP, in oba sta odvisna od usmerjevalne tabele podomrežja, ki jo aplikacija dejansko uporablja. Razširjanje je priročno, ko nadzirate celotno območje, in izrecna pot je lažje utemeljiti, ko želite cilj naveden ob ciljni točki. V vsakem primeru je preverjanje enako: ali tabela konkretnega aplikacijskega podomrežja vsebuje delujočo pot do cilja VPN za novo predpono in ali premaga kaj bolj specifičnega?

Zdrava seja BGP dokazuje, da kanal obstaja. Ne pove ničesar o tem, ali je določena tabela podomrežja pot prevzela.

Pot dva: transit gateway doda tabelo

Transit gateway razdeli to eno vprašanje na dvoje. Podomrežje VPC mora poslati cilj na priključek transit gateway, nato pa mora usmerjevalna tabela transit gateway izbrati priključek VPN za isto predpono. Odločitve o povezavi in razširjanju določajo, katera priključena omrežja dobijo pot, zato je lahko predpona pravilno objavljena prek VPN in vseeno nikoli ne doseže VPC, katerega tabela ni bila nikoli povezana s pravo usmerjevalno tabelo.

Pogosta okvara je pot, ki obstaja v eni tabeli in ne v drugi, pri čemer je vsaka ekipa prepričana, da je njena stran pravilna. Ko primerjate obe arhitekturi, je ta dodatna meja vsa razlika: več mest za pregled in natančnejši nadzor nad tem, kdo dobi pot.

Tudi razširjanje poti ne daje predpone vsakemu priključku. Razporedi jo v tabele, ki so nastavljene, da jo prejmejo.

Povratna pot je samostojna politična odločitev

Prihajajoči promet je le polovica izmenjave. Novo lokalno omrežje potrebuje pot nazaj do izvornih predpon AWS prek prave prehodne točke, varnostna politika na obeh koncih pa mora dovoliti ta par izvora in cilja. Če tunel pogaja obseg zaščite z izbirniki prometa, mora biti nova predpona znotraj njega, sicer je paket zavržen, preden se pregleda katera koli usmerjevalna tabela.

Prekrivanje naslovov je druga past. Ločena, izrecno lastniška območja to ohranjajo preprosto; prekrivajoča se območja pomenijo prevajanje ali prenovo in nobeno ni zamenljiva različica istega recepta.

Preizkusite z izvorom v novem omrežju in ciljem v aplikacijskem podomrežju, nato ponovite v nasprotni smeri. Enosmerni preizkus dokaže le eno smer.

Kdaj je proxy res boljša meja

Proxy si prisluži svoje mesto, ko je zahteva ozek storitveni vmesnik, ko aplikacija to arhitekturo že pričakuje ali ko omrežne poti ni mogoče prisiliti, da bi prenašala predpono brez prevajanja, ki ga ne želite. Ni rezervna rešitev za vnos v usmerjevalni tabeli, ki ga ni nihče preveril.

Odločite se v tem vrstnem redu: lokalno posredovanje, objava, meja tabele, politika vračanja. Popravite prvo, ki ne uspe, in šele nato vprašajte, ali je usmerjena pot sploh pravi odgovor.