Dy llogari AWS, një rrjet lokal: cila rrugë?
Transit Gateway i përbashkët, dy VPN të pavarura ose një proxy i ngushtë: zgjidhni sipas pronësisë dhe shtrirjes së ndikimit, jo sipas rrugës më të lehtë për t'u shtuar sot.
Kornizimi i dukshëm është peering kundrejt VPN, dhe është kornizimi i gabuar. Një VPC e lidhur me peering nuk mund të marrë hua lidhjen VPN të fqinjit të saj për rrugëtim nga skaji në skaj, kështu që ai opsion nuk ishte kurrë në tavolinë, pavarësisht se çfarë sugjeron një tabelë rrugësh. Ajo që zgjidhni në të vërtetë është midis një hubi rrjeti të përbashkët, dy shtigjeve VPN të pavarura dhe një hyrjeje të ngushtë aplikacioni. Secili përgjigjet një pyetjeje tjetër se kush e zotëron rrugëtimin.
Tre opsione dhe ai që nuk është opsion
Filloni duke fshirë idenë e peering, më pas krahasoni atë që mbetet sipas pronësisë dhe jo sipas thjeshtësisë së diagramit. Tabela më poshtë është vendimi në formë të ngjeshur.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Nëse llogaria A ka nevojë për arritshmëri në një rrjet lokal të plotë, rreshti i proxy ka formën e gabuar. Nëse llogaria A ka nevojë për një API të vetme, dy rreshtat e parë janë më shumë rrjet sesa kërkon kërkesa.
Kur fiton Transit Gateway i përbashkët
Një Transit Gateway lidh çdo VPC dhe VPN si rrjete të veçanta, dhe ndarja midis llogarive u lejon pronarëve të VPC të përdorin hubin pa bashkuar llogaritë. Ky është tërheqja: një vend ku prefikset lokale takojnë rrjetet AWS, dhe një vend për të arsyetuar se cili lidhje mëson cilën rrugë.
Lidhja e gjithçkaje nuk do të thotë lejimi i gjithçkaje. Shoqërimi dhe përhapja vendosin cila lidhje përdor cilën tabelë rrugësh, kështu që dy prefikse VPC mund të arrijnë secili një shërbim lokal ndërsa aksesi i tyre i ndërsjellë mbetet i përjashtuar nga dizajni i hubit. Ana lokale ende ka nevojë për rrugë kthimi për prefikset AWS, dhe ky është një biletë ndryshimi e një ekipi tjetër.
Kostoja është organizative po aq sa financiare. Pronari i hubit kontrollon marrëdhëniet e rrugëtimit nga të cilat varen ekipet e tjera, kështu që një ndryshim në një lidhje mund të zhvendosë trafikun e një shërbimi për të cilin pronari i hubit nuk ka dëgjuar kurrë. Orët e lidhjes dhe përpunimi i të dhënave mblidhen me çdo rrjet që lidhni, dhe për këtë arsye hubet priren të rriten më shpejt se ekipi që i drejton.
Kur fitojnë VPN të veçanta ose një proxy i ngushtë
Dy VPN të pavarura përshtaten me një vendosje të vogël me kufij realë operativë: çdo llogari ndryshon tunelet e veta, dhe asnjëra nuk mund të prishë tjetrën duke redaktuar një tabelë rrugësh. Kufijtë janë në anën lokale. Porta e çiftit ka nevojë për kapacitet për tunelet shtesë, planet e adresave nuk duhet të mbivendosen, dhe dy konfigurime që reklamojnë të njëjtat prefikse kanë nevojë për një preferencë të qëllimshme dhe jo për shpresë.
Një proxy është ndërfaqja më e ngushtë. Nëse llogaria A ka nevojë për një bazë të dhënash ose një API në llogarinë B, një ndërmjetës i kufizuar ju jep një hyrje të përcaktuar me historinë e vet të vërtetimit, regjistrimit dhe disponueshmërisë. Është gjithashtu opsioni më i prirur për keqpërdorim: një ndërmjetës që përçon në çdo destinacion privat është bërë një rele pa kufizime me hapa shtesë, dhe nuk do të sillet si tranzit transparent nga VPC në rrjetin lokal për asgjë tjetër.
Vlen të lexohen kufizimet e peering të VPC përpara gjithë kësaj, sepse shpjegojnë pse idea e katërt kthehet vazhdimisht dhe pse nuk mund të funksionojë.
Zgjidhni ndërfaqen më të ngushtë që plotëson kërkesën
Renditni pyetjet: a ka nevojë A për një rrjet, një grup rrjetesh apo një shërbim të vetëm? A dëshiron ekipi lokal një shteg apo disa? Kush lejohet të ndryshojë rrugëtimin për trafikun e ekipit tjetër? Përgjigjja e parë që prodhon ndërfaqen më të ngushtë është arkitektura, dhe gjithçka pas saj është zbatim.
Regjistroni përgjigjen bashkë me planin e prefikseve, pronësinë e rrugëve, inventarin e tuneleve ose lidhjeve dhe mënyrën e dështimit që pret secila anë. Kur dikush më vonë pyet pse llogaria A nuk mund të përdorë thjesht VPN-në e llogarisë B, ai regjistrim është përgjigjja, dhe ju kursen riargumentimin e të njëjtave tre opsione në projektin tjetër.