Kuongeza subnet ya ndani kwenye AWS VPN: VGW dhidi ya Transit Gateway

VPN ya Site-to-Site iliyopo inabeba 10.60.0.0/16, mtandao mpya wa huduma unaonekana nyuma ya lango lile lile la ndani kama 10.70.0.0/16, na mtu anauliza kama proksi inahitajika. Kwa kawaida haihitajiki: njia iliyoelekezwa inaweza kubeba kiambishi awali, lakini tu ikiwa mambo matatu yanapatana, na yapi matatu inategemea usanifu wa AWS unaoendesha tayari. Lango la kibinafsi la mtandao lina mpaka mmoja wa jedwali la njia; transit gateway linaongeza lingine. Tangazo sahihi na jedwali lisilo sahihi huzalisha kikao kinachoonekana kizima na kisichowasilisha chochote.

Tangaza kiambishi awali ambacho lango linaweza kukifikisha kwa kweli

Lango la ndani linahitaji njia ya kuelekea mtandao mpya kabla tangazo lolote kuwa na maana. Kutangaza 10.70.0.0/16 kupitia BGP huiambia AWS wapi kutuma pakiti za wigo huo; haliundi njia ya ndani ya upelekaji inayofanya wigo kufikiwa upande wa pili. Thibitisha kuwa lango lina njia ya kiambishi awali inayoelekeza kwenye kifaa kinachokishikilia, na kifaa kimeundwa kujibu anwani hizo. Sera ya usafirishaji nje na mipaka ya kiambishi awali inayokubaliwa ni kizuizi kinachofuata, kwa sababu kiambishi awali ambacho kikao kinachuja hakifiki AWS hata kidogo.

Weka mikusanyiko na njia mahususi zaidi kwa makusudi. Njia zinazopishana zinazotoka pande mbili ni uamuzi wa usanifu, si maelezo yanayogunduliwa baadaye.

Njia ya kwanza: mpaka wa lango la kibinafsi la mtandao

Ukiwa na lango la kibinafsi la mtandao, nyaraka za uelekezaji za AWS VPN zinaeleza mbinu mbili za usambazaji, njia tuli na matangazo ya BGP, na zote zinategemea jedwali la njia la subnet ambalo programu hutumia kwa kweli. Usambazaji ni rahisi unapodhibiti wigo mzima, na njia iliyo wazi ni rahisi kufikiria unapotaka lengwa liandikwe kando ya lengo. Kwa vyovyote vile ukaguzi ni uleule: je, jedwali la subnet mahususi ya programu lina njia inayofanya kazi kuelekea lengo la VPN kwa kiambishi awali kipya, na je, inashinda kitu chochote mahususi zaidi?

Kikao kizima cha BGP kinathibitisha kuwa kituo kipo. Hakisemi chochote kuhusu kama jedwali fulani la subnet limechukua njia hiyo.

Njia ya pili: transit gateway linaongeza jedwali

Transit gateway linagawanya swali hilo moja kuwa mawili. Subnet ya VPC inapaswa kutuma lengwa kwenye kiambatisho cha transit gateway, kisha jedwali la njia la transit gateway linapaswa kuchagua kiambatisho cha VPN kwa kiambishi awali kilekile. Maamuzi ya uhusiano na usambazaji huamua ni mitandao ipi iliyounganishwa inapokea njia, kwa hiyo kiambishi awali kinaweza kutangazwa kwa usahihi na VPN na bado kisifike kamwe kwenye VPC ambayo jedwali lake halikuwahi kuhusishwa na jedwali sahihi la njia.

Hitilafu ya kawaida ni njia iliyopo kwenye jedwali moja na haipo kwenye lingine, huku kila timu ikiamini upande wake ni sahihi. Unapolinganisha usanifu huo miwili, mpaka huu wa ziada ndio tofauti yote: sehemu nyingi za kuangalia, na udhibiti sahihi zaidi juu ya nani anapata njia hiyo.

Usambazaji wa njia pia haumpi kila kiambatisho kiambishi awali. Unakisambaza kwenye majedwali yaliyoundwa kukipokea.

Njia ya kurudi ni uamuzi wake wa sera

Trafiki inayofika ni nusu ya mabadilishano tu. Mtandao mpya wa ndani unahitaji njia ya kurudi kwenye viambishi awali vya chanzo vya AWS kupitia lango sahihi, na sera ya usalama kwenye pande zote mbili inapaswa kuruhusu jozi hilo la chanzo na lengwa. Ikiwa handaki linajadiliana wigo wa ulinzi na vichaguzi vya trafiki, kiambishi awali kipya kinapaswa kuwa ndani yake, vinginevyo pakiti hutupwa kabla ya kuangalia jedwali lolote la njia.

Kupishana kwa anwani ni mtego mwingine. Wigo zilizotenganishwa na zinazomilikiwa kwa uwazi huweka hili kuwa rahisi; wigo zinazopishana zinamaanisha tafsiri au usanifu upya, na hakuna hata moja ambayo ni toleo linalobadilishwa la mapishi yale yale.

Jaribu kwa chanzo kwenye mtandao mpya na lengwa kwenye subnet ya programu, kisha rudia upande mwingine. Jaribio la upande mmoja linathibitisha upande mmoja tu.

Wakati proksi ndiyo mpaka bora kwa kweli

Proksi inapata nafasi yake wakati hitaji ni kiolesura chembamba cha huduma, wakati programu inatarajia usanifu huo tayari, au wakati njia ya mtandao haiwezi kufanywa kubeba kiambishi awali bila tafsiri usiyoitaka. Si suluhisho mbadala la kuingiza kwenye jedwali la njia ambalo hakuna aliyekagua.

Amua kwa mpangilio huu: upelekaji wa ndani, tangazo, mpaka wa jedwali, sera ya kurudi. Rekebisha la kwanza linaloshindikana, na kisha tu uliza kama njia iliyoelekezwa ndiyo jibu sahihi kabisa.