AWS Transit Gateway üzerinde birden çok VPC için tek bir siteden siteye VPN

Bu çeyrekte iki VPC ofis ağına ihtiyaç duyuyor ve tahminin kırıldığı yer tam olarak ikinci tünel. AWS Transit Gateway paylaşılan bir yönlendirme merkezi olarak hizmet edebilir: VPN bir kez bağlanır ve her VPC aynı merkeze bağlanır. Ardından şirket içi ağ tek bir bağlantıyla bağlı her VPC'ye ulaşır. Bu, yönlendirme kararının kime ait olduğunu değiştirir ve çoğu tasarımın yanlış yaptığı kısım tam olarak burasıdır.

VPN ilişiği ve VPC ilişikleri aynı ağ geçidi üzerindeki ayrı nesnelerdir, bu yüzden yönlendirme ilişkileri sonradan kurulmalıdır.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Eşleme neden insanların umduğu kısayol değildir

Cazip alternatif, VPN'i VPC A üzerinde sonlandırıp VPC B'yi ona eşlemektir. Sıradan VPC eşlemesi, A'nın VPN bağlantısı üzerinden uçtan uca geçiş sağlamaz. Eş, yalnızca eşlemenin kendisinin sağladığı adreslere ulaşır ve VPN ucu bunlardan biri değildir. Geçişi merkez verir; eşleme size bir çift verir.

Bu kısıtlama eşlemenin bir özelliğidir, yükseltilebilecek bir kota değildir.

İlişkilendirme ve yayma farklı işler yapar

Geçiş ağ geçidinin içinde ilişkilendirme, bir ilişikten gelen trafiği aramak için kullanılan yönlendirme tablosunu seçer. Yayma, hangi tabloların bir ilişiğin öğrenilmiş veya bağlı öneklerini alacağını belirler. Tek bir ilişik bir tabloyla ilişkilendirilirken birkaçına yayılabilir. İkisini karıştırmak, bir tasarımın kimsenin planlamadığı bir erişilebilirlikle bitmesinin yoludur.

Tamamen bağlı küçük bir merkez kolay durumdur.

Her ilişiği tek bir tabloya koyun ve VPN iki VPC önekiyle birlikte temiz biçimde çözülür. Bu ayrıca kuruluşun hiç amaçlamamış olabileceği VPC'ler arası erişilebilirliğe de izin verir, çünkü paylaşılan bir tablo uç kavramını bilmez.

İş yükü rotaları başka yerde yaşar

Her iş yükü alt ağı, amaçlanan yerel önekler için geçiş ağ geçidine doğru kendi rotasına hâlâ ihtiyaç duyar. O VPC yönlendirme tabloları, ağ geçidinin kendi tablolarından ayrı nesnelerdir. Gerekli önekleri ekleyin ve her hedefi yeni bir varsayılanla değiştirmek yerine mevcut rotaları koruyun. Alt ağ rotası da müşteri cihazına hiçbir şey duyurmaz.

Dinamik veya statik yönlendirmeyi bilinçli olarak seçin; eşleme ikisini de sağlamaz.

Yerel erişimi kaybetmeden uçları yalıtın

A ve B ikisi de ofise ulaşabildiğinde ama birbirine yönlenmemesi gerektiğinde tabloları bölün. VPN ilişiğinin ilişkili tablosu VPC öneklerini tutar. VPC ilişiklerinin ilişkili tablosu yerel önekleri tutar, A ile B'yi birleştiren bir rota olmadan. Bu ilişkiyi yayma üretir, bu yüzden her varsayılan ilişkilendirmeyi kabul etmek zorunda kalmazsınız.

Bu yönlendirme yalıtımıdır ve uygulama yetkilendirmesi değildir.

Güvenlik grupları, ağ ACL'leri, ana bilgisayar güvenlik duvarları ve her hizmetin kendi izinleri hangi trafiğin kabul edildiğine hâlâ karar verir. Denetim gerekiyorsa, merkezin bunu yaptığını varsaymak yerine desteklenen yolunu açıkça tasarlayın.

Merkezin düzeltmediği şeyler

Adres planları hâlâ çakışmamalıdır, çünkü merkez bir önekin iki iş yükünü tanımlamasına izin vermez. Her VPC ilişiği, iş yüklerinin beklediği Availability Zone kapsamına ihtiyaç duyar. BGP ile müşteri cihazının her gerekli öneğe dönüş rotaları tasarıma ve onun içe aktarma ilkesine uymalıdır. Eksik bir duyuru tam olarak kopmuş bir tünel gibi görünür.

VPN bağlantısı ve geçiş ağ geçidi artık paylaşılan altyapıdır.

Tünel yedekliliğini, cihaz kapasitesini, izlemeyi ve bakımı tüm bağımlı VPC'lerin çevresinde planlayın, her birini bağımsız bağlı saymak yerine.

Mevcut bir virtual private gateway düzeninden geçiş de aynı açık planı hak eder. İlişikleri ve ilkeleri kurun, kontrollü bir iş yükü yolunu taşıyın ve eski yolu kullanımdan kaldırmadan önce izin verilen ve reddedilen ilişkileri doğrulayın. Merkezileştirme, ağ ekibine paylaşılan bağlantıyı yönetmek için tek bir yer verdiğinde yardımcı olur, kimin kime ulaşabileceğini tek büyük bir tablonun arkasında sakladığında zarar verir.