Një VPN nga vendi në vend për disa VPC në AWS Transit Gateway

Dy VPC kanë nevojë për rrjetin e zyrës këtë tremujor, dhe është në tunelin e dytë ku vlerësimi thyhet. AWS Transit Gateway mund të veprojë si një qendër e përbashkët rrugëtimi: VPN lidhet një herë dhe çdo VPC lidhet me të njëjtën qendër. Rrjeti lokal pastaj arrin çdo VPC të lidhur përmes një lidhjeje të vetme. Kjo ndryshon kush zotëron vendimin e rrugëtimit, dhe është pikërisht pjesa që shumica e projekteve e bëjnë gabim.

Lidhja e VPN-së dhe lidhjet e VPC-ve janë objekte të veçanta në të njëjtën portë, prandaj marrëdhëniet e rrugëtimit duhet të ndërtohen më pas.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Pse peering nuk është shkurtesa që njerëzit shpresojnë

Alternativa joshëse është të përfundoni VPN-në në VPC A dhe të lidhni VPC B me të përmes peering. Peering-u i zakonshëm i VPC-ve nuk ofron tranzit nga skaji në skaj përmes lidhjes VPN të A. Një peer arrin vetëm adresat që ofron vetë peering-u, dhe skaji i VPN-së nuk është një prej tyre. Tranzitin e jep një qendër; peering-u ju jep një çift.

Ky kufizim është veti e peering-ut, jo një kuotë që mund të rritet.

Asociimi dhe përhapja bëjnë punë të ndryshme

Brenda portës së tranzitit, asociimi zgjedh tabelën e rrugëtimit që përdoret për të kërkuar trafikun që vjen nga një lidhje. Përhapja vendos cilat tabela marrin prefikset e mësuara ose të lidhura të një lidhjeje. Një lidhje e vetme mund të asociohet me një tabelë ndërsa përhapet në disa. Ngatërrimi i këtyre dyjave është mënyra se si një projekt përfundon me arritshmëri që askush nuk e kishte planifikuar.

Një qendër e vogël plotësisht e lidhur është rasti i lehtë.

Vendosni çdo lidhje në një tabelë të vetme dhe VPN-ja bashkë me të dy prefikset e VPC-ve zgjidhet pastër. Kjo lejon gjithashtu arritshmëri mes VPC-ve që organizata mund të mos e ketë dashur kurrë, sepse një tabelë e përbashkët nuk e njeh konceptin e spokut.

Rrugët e ngarkesave të punës jetojnë diku tjetër

Çdo nënrrjet ngarkese pune ka ende nevojë për rrugën e vet drejt portës së tranzitit për prefikset lokale të synuara. Ato tabela rrugëtimi të VPC-ve janë objekte të veçanta nga tabelat e vetë portës. Shtoni prefikset e nevojshme dhe ruani rrugët ekzistuese në vend që të zëvendësoni çdo destinacion me një default të ri. Rruga e nënrrjetit gjithashtu nuk shpall asgjë për pajisjen e klientit.

Zgjidhni me vetëdije rrugëtim dinamik ose statik; peering-u nuk ofron asnjë.

Izoloni spoket pa humbur aksesin lokal

Kur A dhe B mund të arrijnë të dyja zyrën por nuk duhet të rrugëtojnë drejt njëra-tjetrës, ndani tabelat. Tabela e asociuar e lidhjes së VPN-së mban prefikset e VPC-ve. Tabela e asociuar e lidhjeve të VPC-ve mban prefikset lokale, pa asnjë rrugë që bashkon A me B. Përhapja e prodhon atë marrëdhënie, prandaj nuk ju duhet të pranoni kurrë çdo asociim të parazgjedhur.

Ky është izolim rrugëtimi, dhe nuk është autorizim aplikacioni.

Grupet e sigurisë, ACL-të e rrjetit, muret e zjarrit të hosteve dhe lejet e secilit shërbim ende vendosin çfarë trafiku pranohet. Nëse kërkohet inspektim, projektoni shprehimisht rrugën e tij të mbështetur në vend që të supozoni se qendra e kryen atë.

Çfarë qendra nuk rregullon

Planet e adresave duhet të mbeten pa mbivendosje, sepse qendra nuk lejon që një prefiks të identifikojë dy ngarkesa pune. Çdo lidhje VPC ka nevojë për mbulimin e Availability Zone që presin ngarkesat e saj. Me BGP, rrugët e pajisjes së klientit përsëri drejt çdo prefiksi të kërkuar duhet të përputhen me projektin dhe politikën e importit. Një shpallje që mungon duket saktësisht si një tunel i prishur.

Lidhja VPN dhe porta e tranzitit tani janë infrastrukturë e përbashkët.

Planifikoni tepricën e tuneleve, kapacitetin e pajisjeve, monitorimin dhe mirëmbajtjen rreth të gjitha VPC-ve të varura në vend që të trajtoni secilën si të lidhur në mënyrë të pavarur.

Migrimi nga një rregullim ekzistues me virtual private gateway meriton të njëjtin plan eksplicit. Ndërtoni lidhjet dhe politikat, zhvendosni një rrugë të kontrolluar të ngarkesës së punës dhe konfirmoni marrëdhëniet e lejuara dhe të refuzuara përpara se të tërhiqni rrugën e vjetër. Centralizimi ndihmon kur i jep ekipit të rrjetit një vend të vetëm për të administruar lidhshmërinë e përbashkët, dhe dëmton kur fsheh kush mund të arrijë kë pas një tabele të vetme të madhe.