Додавання локальної підмережі до AWS VPN: VGW чи Transit Gateway

Наявний Site-to-Site VPN передає 10.60.0.0/16, за тим самим локальним шлюзом з’являється нова сервісна мережа як 10.70.0.0/16, і хтось питає, чи потрібен проксі. Зазвичай ні: маршрутизований шлях може передавати префікс, але лише якщо збігаються три речі, і які саме три залежить від архітектури AWS, яку ви вже використовуєте. Віртуальний приватний шлюз має одну межу таблиці маршрутів; transit gateway додає другу. Правильне оголошення при неправильній таблиці дає сеанс, що виглядає здоровим і нічого не доставляє.

Оголосіть префікс, який шлюз справді може доставити

Локальному шлюзу потрібен шлях до нової мережі, перш ніж будь-яке оголошення матиме сенс. Оголошення 10.70.0.0/16 через BGP повідомляє AWS, куди надсилати пакети цього діапазону; воно не створює локального шляху пересилання, який робить діапазон доступним на іншому кінці. Переконайтеся, що шлюз має маршрут для префікса, який вказує на пристрій, що його утримує, і що пристрій налаштований відповідати за ці адреси. Політика експорту й прийнятні обмеження префіксів — наступне обмеження, бо префікс, який сеанс відфільтровує, до AWS взагалі не доходить.

Тримайте агрегати й конкретніші маршрути усвідомленими. Перекривні шляхи, що надходять із двох боків, — це проєктне рішення, а не деталь, яку виявляють пізніше.

Шлях перший: межа віртуального приватного шлюзу

З віртуальним приватним шлюзом документація AWS VPN з маршрутизації описує два режими розподілу — статичні маршрути й оголошення BGP, — і обидва залежать від таблиці маршрутів підмережі, яку застосунок справді використовує. Поширення зручне, коли ви контролюєте весь діапазон, а явний маршрут легше обґрунтувати, коли потрібно, щоб пункт призначення був указаний поруч із ціллю. У будь-якому разі перевірка одна: чи має таблиця конкретної підмережі застосунку робочий шлях до цілі VPN для нового префікса і чи перемагає він щось конкретніше?

Здоровий сеанс BGP доводить, що канал існує. Він нічого не каже про те, чи взяла конкретна таблиця підмережі цей маршрут.

Шлях другий: transit gateway додає таблицю

Transit gateway ділить це одне питання на два. Підмережа VPC має надіслати пункт призначення на приєднання transit gateway, а потім таблиця маршрутів transit gateway має вибрати приєднання VPN для того самого префікса. Вибір асоціації та поширення визначає, які під’єднані мережі отримають маршрут, тож префікс може бути правильно оголошений VPN і все ж ніколи не досягти VPC, чия таблиця ніколи не була пов’язана з потрібною таблицею маршрутів.

Типова несправність — маршрут, який є в одній таблиці й відсутній у другій, причому кожна команда переконана, що її бік правильний. Коли ви порівнюєте дві архітектури, ця додаткова межа і є вся різниця: більше місць для перевірки та точніший контроль над тим, хто отримує маршрут.

Поширення маршрутів теж не дає префікс кожному приєднанню. Воно розподіляє його до таблиць, налаштованих його приймати.

Зворотний шлях — самостійне політичне рішення

Прихідний трафік — лише половина обміну. Новій локальній мережі потрібен зворотний шлях до вихідних префіксів AWS через правильний шлюз, і політика безпеки на обох кінцях має дозволяти цю пару джерела й призначення. Якщо тунель узгоджує область захисту з селекторами трафіку, новий префікс має бути всередині неї, інакше пакет відкидається до звернення до будь-якої таблиці маршрутів.

Перекриття адрес — інша пастка. Неперетинні, явно власні діапазони тримають це простим; діапазони, що перекриваються, означають трансляцію або перепроєктування, і жодне з них не є взаємозамінним варіантом того самого рецепта.

Перевірте з джерелом у новій мережі й призначенням у підмережі застосунку, потім повторіть у зворотному напрямку. Односторонній тест доводить лише один напрямок.

Коли проксі справді є кращою межею

Проксі заслуговує на своє місце, коли вимога — вузький сервісний інтерфейс, коли застосунок уже очікує цієї архітектури або коли мережевий шлях не вдається змусити передавати префікс без трансляції, якої ви не хочете. Це не запасний варіант для запису в таблиці маршрутів, який ніхто не перевірив.

Вирішуйте в такому порядку: локальне пересилання, оголошення, межа таблиці, політика зворотного шляху. Виправте перше, що не спрацює, і лише потім питайте, чи маршрутизований шлях узагалі є правильною відповіддю.