AWS VPN میں آن-پریمائزز سب نیٹ شامل کرنا: VGW بمقابلہ Transit Gateway

موجودہ Site-to-Site VPN 10.60.0.0/16 لے کر جا رہا ہے، اسی آن-پریمائزز گیٹ وے کے پیچھے 10.70.0.0/16 کے طور پر نیا سروس نیٹ ورک نمودار ہوتا ہے، اور کوئی پوچھتا ہے کہ کیا پراکسی درکار ہے۔ عام طور پر نہیں: روٹ شدہ راستہ سابقہ لے جا سکتا ہے، مگر صرف اسی صورت میں جب تین چیزیں مل جائیں، اور کون سی تین یہ اسی AWS معماری پر منحصر ہے جو آپ پہلے سے چلا رہے ہیں۔ ورچوئل نجی گیٹ وے کی ایک روٹ ٹیبل حد ہوتی ہے؛ transit gateway دوسری کا اضافہ کرتا ہے۔ اعلان درست اور جدول غلط ہو تو ایسا سیشن بنتا ہے جو صحت مند دکھتا ہے اور کچھ نہیں پہنچاتا۔

ایسا سابقہ شائع کریں جو گیٹ وے واقعی پہنچا سکے

کسی بھی اعلان کے بامعنی ہونے سے پہلے آن-پریمائزز گیٹ وے کو نئے نیٹ ورک کی طرف راستہ درکار ہے۔ BGP کے ذریعے 10.70.0.0/16 کا اعلان AWS کو بتاتا ہے کہ اس حد کے پیکٹ کہاں بھیجنے ہیں؛ یہ وہ مقامی فارورڈنگ راستہ نہیں بناتا جو حد کو دوسرے سرے پر قابل رسائی بناتا ہے۔ تصدیق کریں کہ گیٹ وے کے پاس سابقہ کے لیے راستہ ہے جو اسے رکھنے والے آلے کی طرف اشارہ کرتا ہے، اور آلہ ان پتوں کے لیے جواب دینے کے لیے ترتیب دیا گیا ہے۔ ایکسپورٹ پالیسی اور منظور شدہ سابقہ حدود اگلی رکاوٹ ہیں، کیونکہ جس سابقہ کو سیشن فلٹر کر دیتا ہے وہ AWS تک پہنچتا ہی نہیں۔

مجموعے اور زیادہ مخصوص راستے دانستہ رکھیں۔ دو سمتوں سے آنے والے متوازی راستے ایک ڈیزائن فیصلہ ہیں، بعد میں دریافت ہونے والی تفصیل نہیں۔

راستہ اول: ورچوئل نجی گیٹ وے کی حد

ورچوئل نجی گیٹ وے کے ساتھ، AWS VPN روٹنگ دستاویز دو تقسیم طریقے بیان کرتی ہے، مستقل راستے اور BGP اعلان، اور دونوں اسی سب نیٹ روٹ ٹیبل پر منحصر ہیں جو ایپلیکیشن واقعی استعمال کرتی ہے۔ پھیلاؤ اس وقت آسان ہے جب آپ پوری حد کنٹرول کرتے ہیں، اور واضح راستہ اس وقت سوچنے میں آسان ہے جب آپ منزل کو ہدف کے ساتھ دیکھنا چاہیں۔ بہرحال جانچ ایک ہی ہے: کیا مخصوص ایپلیکیشن سب نیٹ کے جدول میں نئے سابقہ کے لیے VPN ہدف تک کام کرنے والا راستہ ہے، اور کیا وہ کسی زیادہ مخصوص چیز کے مقابلے میں جیتتا ہے؟

صحت مند BGP سیشن ثابت کرتا ہے کہ چینل موجود ہے۔ یہ نہیں بتاتا کہ کسی مخصوص سب نیٹ جدول نے راستہ لیا یا نہیں۔

راستہ دوم: transit gateway ایک جدول کا اضافہ کرتا ہے

Transit gateway اس ایک سوال کو دو میں تقسیم کرتا ہے۔ VPC سب نیٹ کو منزل transit gateway منسلکہ کو بھیجنی ہوتی ہے، پھر transit gateway روٹ ٹیبل کو اسی سابقہ کے لیے VPN منسلکہ منتخب کرنا ہوتا ہے۔ انجمن اور پھیلاؤ کے انتخاب طے کرتے ہیں کہ کون سے منسلک نیٹ ورک راستہ پاتے ہیں، اس لیے کوئی سابقہ VPN کی طرف سے درست اعلان ہو کر بھی ایسے VPC تک کبھی نہیں پہنچ سکتا جس کا جدول کبھی درست روٹ ٹیبل سے منسلک ہی نہیں ہوا۔

عام ناکامی یہ ہے ایک راستہ جو ایک جدول میں ہے اور دوسرے میں نہیں، اور ہر ٹیم کو یقین ہے کہ اس کا پہلو درست ہے۔ جب آپ دونوں معماریوں کا موازنہ کرتے ہیں تو یہی اضافی حد پورا فرق ہے: دیکھنے کی زیادہ جگہیں، اور راستہ کس کو ملے گا اس پر زیادہ درست کنٹرول۔

راستہ پھیلاؤ بھی ہر منسلکہ کو سابقہ نہیں دیتا۔ یہ اسے ان جدولوں میں تقسیم کرتا ہے جو اسے وصول کرنے کے لیے ترتیب دیے گئے ہیں۔

واپسی کا راستہ اپنا الگ پالیسی فیصلہ ہے

آنے والا ٹریفک تبادلے کا صرف نصف ہے۔ نئے آن-پریمائزز نیٹ ورک کو درست گیٹ وے کے ذریعے AWS ماخذ سابقوں تک واپسی کا راستہ درکار ہے، اور دونوں سروں کی حفاظتی پالیسی کو اس ماخذ اور منزل کے جوڑے کی اجازت دینی ہوگی۔ اگر ٹنل ٹریفک سلیکٹر کے ساتھ حفاظتی دائرہ طے کرے تو نیا سابقہ اس کے اندر ہونا چاہیے، ورنہ پیکٹ کسی بھی روٹ ٹیبل کو دیکھنے سے پہلے ہی گرا دیا جاتا ہے۔

پتوں کا متوازی ہونا دوسرا جال ہے۔ الگ اور واضح ملکیت والی حدود اسے سادہ رکھتی ہیں؛ متوازی حدود کا مطلب ترجمہ یا از سرِ نو ڈیزائن ہے، اور ان میں سے کوئی بھی اسی ترکیب کا بدلا جا سکنے والا روپ نہیں۔

نئے نیٹ ورک میں ماخذ اور ایپلیکیشن سب نیٹ میں منزل کے ساتھ جانچیں، پھر مخالف سمت میں دہرائیں۔ یک طرفہ جانچ صرف ایک سمت ثابت کرتی ہے۔

کب پراکسی واقعی بہتر حد ہے

پراکسی اپنی جگہ اس وقت کماتی ہے جب ضرورت تنگ سروس انٹرفیس ہو، ایپلیکیشن پہلے سے اسی معماری کی توقع رکھتی ہو، یا نیٹ ورک راستے کو اس ترجمے کے بغیر سابقہ لے جانے پر مجبور نہ کیا جا سکے جو آپ نہیں چاہتے۔ یہ ایسی روٹ ٹیبل اندراج کے لیے متبادل حل نہیں ہے جسے کسی نے جانچا ہی نہ ہو۔

اس ترتیب سے فیصلہ کریں: مقامی فارورڈنگ، اعلان، جدول کی حد، واپسی کی پالیسی۔ جو پہلے ناکام ہو اسے درست کریں، اور اسی کے بعد پوچھیں کہ کیا روٹ شدہ راستہ ہی درست جواب ہے۔