Dva računa AWS, eno lokalno omrežje: katera pot?
Deljeni Transit Gateway, dva neodvisna VPN-a ali en ozek proxy: izberite po lastništvu in obsegu vpliva, ne po tem, katero pot je danes najlažje dodati.
Očitno uokvirjanje je peering proti VPN in to je napačno uokvirjanje. Povezan VPC si ne more izposoditi VPN povezave soseda za usmerjanje od roba do roba, zato ta možnost nikoli ni bila na mizi, ne glede na to, kaj predlaga tabela poti. V resnici izbirate med skupnim omrežnim središčem, dvema neodvisnima potema VPN in ozkim vhodom v aplikacijo. Vsaka odgovarja na drugo vprašanje o tem, kdo ima v lasti usmerjanje.
Tri možnosti in tista, ki ni možnost
Začnite tako, da idejo peeringa prečrtate, nato primerjajte, kar ostane, po lastništvu in ne po preprostosti diagrama. Spodnja tabela je odločitev v strnjeni obliki.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Če račun A potrebuje dosegljivost celotnega lokalnega omrežja, ima vrstica s proxyjem napačno obliko. Če račun A potrebuje en API, sta prvi dve vrstici več omrežja, kot zahteva zahteva.
Kdaj zmaga deljeni Transit Gateway
Transit Gateway priključi vsak VPC in VPN kot ločeni omrežji, deljenje med računi pa lastnikom VPC omogoča uporabo središča brez združevanja računov. To je privlačnost: eno mesto, kjer se lokalni prefiksi srečajo z omrežji AWS, in eno mesto za razmislek, katera priključitev se nauči katere poti.
Priključiti vse ne pomeni dovoliti vse. Povezava in razširjanje odločata, katera priključitev uporablja katero tabelo poti, zato lahko dva prefiksa VPC vsak doseže lokalno storitev, medtem ko njun medsebojni dostop ostane izključen zaradi zasnove središča. Lokalna stran še vedno potrebuje povratne poti za prefikse AWS, in to je sprememba druge ekipe.
Strošek je organizacijski prav toliko kot finančni. Lastnik središča nadzoruje usmerjevalne odnose, od katerih so odvisne druge ekipe, zato lahko sprememba ene priključitve premakne promet storitve, za katero lastnik središča še ni slišal. Ure priključitve in obdelava podatkov se seštevajo z vsakim omrežjem, ki ga priključite, zato središča običajno rastejo hitreje kot ekipa, ki jih upravlja.
Kdaj zmagata ločena VPN-a ali ozek proxy
Dva neodvisna VPN-a ustrezata majhni namestitvi z resničnimi operativnimi mejami: vsak račun spreminja svoje lastne tunele in nobeden ne more pokvariti drugega z urejanjem tabele poti. Meje so na lokalni strani. Vratar za par potrebuje zmogljivost za dodatne tunele, načrti naslovov se ne smejo prekrivati in dve konfiguraciji, ki oglašujeta iste prefikse, potrebujeta namerno prednost, ne upanja.
Proxy je najožji vmesnik. Če račun A potrebuje eno zbirko podatkov ali en API v računu B, omejen posrednik ponudi opredeljen vhod z lastno zgodbo overjanja, beleženja in razpoložljivosti. Je tudi možnost, ki se najpogosteje zlorabi: posrednik, ki posreduje na vsak zasebni cilj, je postal neomejen rele z dodatnimi koraki in se ne bo obnašal kot pregleden prenos od VPC do lokalnega omrežja za nič drugega.
Omejitve peeringa VPC velja prebrati pred vsem tem, ker pojasnjujejo, zakaj se četrta ideja vedno znova vrača in zakaj ne more delovati.
Izberite najožji vmesnik, ki izpolnjuje zahtevo
Uredite vprašanja: ali A potrebuje omrežje, nabor omrežij ali eno storitev? Ali lokalna ekipa želi eno pot ali več? Kdo sme spremeniti usmerjanje prometa druge ekipe? Prvi odgovor, ki da najožji vmesnik, je arhitektura, in vse za njim je izvedba.
Zabeležite odgovor skupaj z načrtom prefiksov, lastništvom poti, popisom tunelov ali priključitev in načinom odpovedi, ki ga pričakuje vsaka stran. Ko nekdo pozneje vpraša, zakaj račun A ne more preprosto uporabiti VPN računa B, je ta zapis odgovor in vas reši pred ponovnim razpravljanjem o istih treh možnostih v naslednjem projektu.