Dalawang AWS account, isang lokal na network: aling landas?
Pinagsasaluhang Transit Gateway, dalawang independiyenteng VPN, o isang makipot na proxy: piliin ayon sa pagmamay-ari at lawak ng epekto, hindi ayon sa landas na pinakamadaling idagdag ngayon.
Ang halatang balangkas ay peering kumpara sa VPN, at ito ang maling balangkas. Ang VPC na naka-peer ay hindi maaaring humiram ng VPN koneksyon ng kapitbahay nito para sa routing mula gilid hanggang gilid, kaya ang opsyong iyon ay hindi kailanman nasa mesa, anuman ang iminumungkahi ng isang talahanayan ng ruta. Ang talagang pinipili mo ay sa pagitan ng isang pinagsasaluhang hub ng network, dalawang independiyenteng landas ng VPN, at isang makipot na pasukan ng aplikasyon. Bawat isa ay sumasagot sa ibang tanong tungkol sa kung sino ang nagmamay-ari ng routing.
Tatlong opsyon at ang isa na hindi opsyon
Magsimula sa pagbura ng ideya ng peering, pagkatapos ay ihambing ang natitira sa pagmamay-ari sa halip na sa pagiging simple ng diagram. Ang talahanayan sa ibaba ay ang desisyon sa siksik na anyo.
| Option | Who owns the path | Main cost |
|---|---|---|
| Shared transit gateway | Hub owner, used by both VPC owners | Shared blast radius, attachment and data-processing charges |
| Separate VPNs per account | Each account independently | Peer capacity, duplicated tunnels, overlapping prefixes to coordinate |
| Application proxy | The account that hosts the intermediary | New auth, logging and availability surface, and only one service |
Kung ang account A ay nangangailangan ng maabot ang isang buong lokal na network, ang hilera ng proxy ay maling hugis. Kung ang account A ay nangangailangan ng isang API, ang unang dalawang hilera ay mas maraming network kaysa hinihingi ng pangangailangan.
Kailan nananalo ang pinagsasaluhang Transit Gateway
Ang Transit Gateway ay nag-uugnay sa bawat VPC at sa VPN bilang magkakahiwalay na network, at ang pagbabahagi sa pagitan ng mga account ay nagpapahintulot sa mga may-ari ng VPC na gamitin ang hub nang hindi pinagsasama ang mga account. Iyon ang pang-akit: isang lugar kung saan nagtatagpo ang lokal na mga prefix at ang mga network ng AWS, at isang lugar para isipin kung aling attachment ang natututo ng aling ruta.
Ang pag-ugnay sa lahat ay hindi nangangahulugang pagpapahintulot sa lahat. Ang asosasyon at pagpapalaganap ay nagpapasya kung aling attachment ang gumagamit ng aling talahanayan ng ruta, kaya ang dalawang prefix ng VPC ay maaaring bawat isa ay maabot ang isang lokal na serbisyo habang ang kanilang kapwa pag-access ay nananatiling hindi kasama ng disenyo ng hub. Ang lokal na panig ay nangangailangan pa rin ng mga ruta ng pagbabalik para sa mga prefix ng AWS, at iyon ay isang tiket ng pagbabago ng ibang koponan.
Ang gastos ay pang-organisasyon gayundin pinansyal. Kinokontrol ng may-ari ng hub ang mga relasyon sa routing na umaasa ang ibang mga koponan, kaya ang isang pagbabago sa isang attachment ay maaaring ilipat ang trapiko para sa isang serbisyo na hindi pa naririnig ng may-ari ng hub. Ang mga oras ng attachment at pagpoproseso ng data ay nagsasama sa bawat network na iyong inuugnay, kaya ang mga hub ay may posibilidad na lumaki nang mas mabilis kaysa sa koponang nagpapatakbo sa kanila.
Kailan nananalo ang hiwalay na VPN o isang makipot na proxy
Ang dalawang independiyenteng VPN ay angkop sa isang maliit na deployment na may tunay na mga hangganan sa operasyon: binabago ng bawat account ang sarili nitong mga tunnel, at wala sa kanila ang makakasira sa isa pa sa pamamagitan ng pag-edit ng talahanayan ng ruta. Nasa lokal na panig ang mga limitasyon. Ang peer gateway ay nangangailangan ng kapasidad para sa mga karagdagang tunnel, hindi maaaring magsanib ang mga plano ng address, at ang dalawang configuration na nag-aanunsyo ng parehong mga prefix ay nangangailangan ng sinadyang kagustuhan sa halip na pag-asa.
Ang proxy ay ang pinakamakipot na interface. Kung ang account A ay nangangailangan ng isang database o isang API sa account B, ang isang saklaw na tagapamagitan ay nagbibigay sa iyo ng tinukoy na pasukan na may sariling kuwento ng authentication, pag-log at pagiging available. Ito rin ang opsyong pinakamalamang na maabuso: ang isang tagapamagitan na nagpapasa sa bawat pribadong destinasyon ay naging isang walang limitasyong relay na may karagdagang mga hakbang, at hindi ito kikilos bilang transparent na pagdaan mula VPC patungo sa lokal na network para sa anumang iba pa.
Sulit basahin ang mga paghihigpit sa peering ng VPC bago ang lahat ng ito, dahil ipinaliliwanag nito kung bakit paulit-ulit na bumabalik ang ikaapat na ideya at kung bakit hindi ito maaaring gumana.
Piliin ang pinakamakipot na interface na tumutugon sa pangangailangan
Isaayos ang mga tanong: kailangan ba ng A ng isang network, isang hanay ng mga network, o isang serbisyo? Gusto ba ng lokal na koponan ng isang landas o marami? Sino ang pinapayagang magbago ng routing para sa trapiko ng ibang koponan? Ang unang sagot na gumagawa ng pinakamakipot na interface ay ang arkitektura, at lahat pagkatapos nito ay pagpapatupad.
Itala ang sagot kasama ang plano ng prefix, pagmamay-ari ng ruta, imbentaryo ng tunnel o attachment, at ang paraan ng pagkabigo na inaasahan ng bawat panig. Kapag may nagtanong mamaya kung bakit hindi na lang magamit ng account A ang VPN ng account B, ang rekord na iyon ang sagot, at inililigtas ka nito sa muling pagtatalo sa parehong tatlong opsyon sa susunod na proyekto.