Два AWS налога, једна локална мрежа: који пут?
Заједнички Transit Gateway, два независна VPN-а или један уски прокси: бирајте по власништву и обиму штете, а не по томе која је рута данас најлакша за додавање.
Очигледно кадрирање је peering наспрам VPN-а, и то је погрешно кадрирање. Повезан VPC не може позајмити VPN везу суседа за усмеравање од ивице до ивице, тако да та опција никада није била на столу, без обзира шта таблица рута предлаже. Између чега заправо бирате јесте заједничко мрежно средиште, две независне VPN путање и уски улаз за апликацију. Свако од њих одговара на друго питање о томе коме припада усмеравање.
Три опције и она која није опција
Почните брисањем идеје peering-а, па упоредите оно што остаје по власништву, а не по једноставности дијаграма. Табела испод је одлука у сажетом облику.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Ако је налогу A потребна доступност целе локалне мреже, ред са проксијем је погрешног облика. Ако је налогу A потребан један API, прва два реда су више мреже него што захтев тражи.
Када побеђује заједнички Transit Gateway
Transit Gateway повезује сваки VPC и VPN као одвојене мреже, а дељење између налога омогућава власницима VPC-а да користе средиште без спајања налога. У томе је привлачност: једно место где се локални префикси срећу са AWS мрежама и једно место за размишљање који прикључак учи коју руту.
Прикључити све не значи дозволити све. Придруживање и пропагација одлучују који прикључак користи коју таблицу рута, тако да два VPC префикса могу сваки достићи локалну услугу док њихов међусобни приступ остаје искључен дизајном средишта. Локална страна и даље треба повратне руте за AWS префиксе, а то је промена коју мора одобрити други тим.
Трошак је организациони колико и финансијски. Власник средишта контролише односе усмеравања од којих зависе други тимови, па промена на једном прикључку може преместити саобраћај за услугу за коју власник средишта никада није чуо. Сати прикључка и обрада података се сабирају са сваком мрежом коју прикључите, због чега средишта обично расту брже од тима који их води.
Када побеђују одвојени VPN-ови или уски прокси
Два независна VPN-а одговарају малом постављању са стварним оперативним границама: сваки налог мења своје тунеле и ниједан не може покварити други уређивањем таблице рута. Ограничења су на локалној страни. Мрежни пролаз вршњака треба капацитет за додатне тунеле, планови адреса не смеју се преклапати, а две конфигурације које оглашавају исте префиксе требају намерну предност, а не наду.
Прокси је најужи интерфејс. Ако је налогу A потребна једна база података или један API у налогу B, ограничени посредник даје вам дефинисан улаз са сопственом причом о аутентификацији, евидентирању и доступности. То је и опција која се најчешће злоупотребљава: посредник који прослеђује на свако приватно одредиште постао је неограничен релеј са додатним корацима и неће се понашати као транспарентан пренос од VPC-а до локалне мреже ни за шта друго.
Ограничења VPC peering-а вреди прочитати пре свега овога, јер објашњавају зашто се четврта идеја стално враћа и зашто не може функционисати.
Изаберите најужи интерфејс који задовољава захтев
Поредајте питања: треба ли A мрежа, скуп мрежа или једна услуга? Жели ли локални тим један пут или више? Коме је дозвољено да мења усмеравање за саобраћај другог тима? Први одговор који даје најужи интерфејс је архитектура, а све после тога је имплементација.
Забележите одговор уз план префикса, власништво над рутама, инвентар тунела или прикључака и начин отказивања који свака страна очекује. Када неко касније пита зашто налог A не може једноставно да користи VPN налога B, тај запис је одговор и штеди вас од поновног расправљања о исте три опције на следећем пројекту.