AWS VPN’e şirket içi bir alt ağ ekleme: VGW ve Transit Gateway

Mevcut bir Site-to-Site VPN 10.60.0.0/16’yı taşıyor, aynı şirket içi ağ geçidinin arkasında 10.70.0.0/16 olarak yeni bir hizmet ağı görünüyor ve biri proxy gerekip gerekmediğini soruyor. Genellikle gerekmez: yönlendirilmiş bir yol öneki taşıyabilir, ancak yalnızca üç şey birbirini tutarsa, hangi üçünün olduğu ise zaten çalıştırdığınız AWS mimarisine bağlıdır. Sanal özel ağ geçidinin bir yönlendirme tablosu sınırı vardır; transit gateway ikincisini ekler. Duyuru doğru, tablo yanlış olduğunda sağlıklı görünen ama hiçbir şey iletmeyen bir oturum oluşur.

Ağ geçidinin gerçekten iletebileceği bir önek duyurun

Herhangi bir duyuru anlam kazanmadan önce şirket içi ağ geçidinin yeni ağa doğru bir yolu olmalıdır. 10.70.0.0/16’yı BGP üzerinden duyurmak AWS’ye o aralığın paketlerinin nereye gönderileceğini söyler; aralığı diğer uçta erişilebilir kılan yerel iletim yolunu oluşturmaz. Ağ geçidinde önek için onu tutan cihaza işaret eden bir rota olduğunu ve cihazın bu adreslere yanıt verecek şekilde yapılandırıldığını doğrulayın. Dışa aktarma ilkesi ve kabul edilen önek sınırları bir sonraki kısıttır, çünkü oturumun filtrelediği önek AWS’ye hiç ulaşmaz.

Toplulaştırmaları ve daha belirgin yolları bilinçli tutun. İki yönden gelen örtüşen yollar bir tasarım kararıdır, sonradan keşfedilecek bir ayrıntı değil.

Yol bir: sanal özel ağ geçidi sınırı

Sanal özel ağ geçidiyle AWS VPN yönlendirme belgeleri iki dağıtım kipini tanımlar: statik rotalar ve BGP duyuruları; ikisi de uygulamanın gerçekten kullandığı alt ağ yönlendirme tablosuna bağlıdır. Tüm aralığı kontrol ettiğinizde yayılım elverişlidir, hedefin yanında hedef adresi görmek istediğinizde ise açık rota hakkında düşünmek daha kolaydır. Her durumda denetim aynıdır: belirli uygulama alt ağının tablosunda yeni önek için VPN hedefine çalışan bir yol var mı ve daha belirgin bir şeye karşı kazanıyor mu?

Sağlıklı bir BGP oturumu kanalın var olduğunu kanıtlar. Belirli bir alt ağ tablosunun rotayı alıp almadığı hakkında hiçbir şey söylemez.

Yol iki: transit gateway bir tablo ekler

Transit gateway bu tek soruyu ikiye böler. VPC alt ağı hedefi transit gateway ekine göndermelidir, ardından transit gateway yönlendirme tablosu aynı önek için VPN ekini seçmelidir. İlişkilendirme ve yayılım seçimleri hangi bağlı ağların rotayı alacağını belirler, bu yüzden bir önek VPN tarafından doğru duyurulup yine de tablosu doğru yönlendirme tablosuyla hiç ilişkilendirilmemiş VPC’ye hiç ulaşmayabilir.

Yaygın arıza şudur: bir tabloda bulunan, diğerinde bulunmayan bir rota, her ekip kendi tarafının doğru olduğuna inanır. İki mimariyi karşılaştırdığınızda bu ek sınır bütün farktır: bakılacak daha çok yer ve rotayı kimin alacağı üzerinde daha kesin denetim.

Rota yayılımı da her eke öneki vermez. Onu alacak şekilde yapılandırılmış tablolara dağıtır.

Dönüş yolu kendi başına bir ilke kararıdır

Gelen trafik değişimin yalnızca yarısıdır. Yeni şirket içi ağın doğru ağ geçidi üzerinden AWS kaynak öneklerine dönüş yoluna ihtiyacı vardır ve iki uçtaki güvenlik ilkesi bu kaynak-hedef çiftine izin vermelidir. Tünel trafik seçicileriyle bir koruma kapsamı pazarlığı yapıyorsa yeni önek bunun içinde olmalıdır, yoksa paket herhangi bir yönlendirme tablosuna bakılmadan atılır.

Adres örtüşmesi diğer tuzaktır. Ayrık ve açıkça sahip olunan aralıklar bunu basit tutar; örtüşen aralıklar çeviri ya da yeniden tasarım anlamına gelir ve hiçbiri aynı tarifin birbirinin yerine geçen bir çeşidi değildir.

Yeni ağda bir kaynak ve uygulama alt ağında bir hedefle test edin, sonra ters yönde yineleyin. Tek yönlü test yalnızca tek bir yönü kanıtlar.

Proxy gerçekten daha iyi sınır olduğunda

Proxy yerini, gereksinim dar bir hizmet arayüzü olduğunda, uygulama bu mimariyi zaten beklediğinde veya ağ yolu öneki istemediğiniz bir çeviri olmadan taşımaya zorlanamadığında kazanır. Kimsenin denetlemediği bir yönlendirme tablosu girdisi için yedek çözüm değildir.

Şu sırayla karar verin: yerel iletim, duyuru, tablo sınırı, dönüş ilkesi. İlk başarısız olanı düzeltin ve ancak ondan sonra yönlendirilmiş yolun doğru yanıt olup olmadığını sorun.