AWS VPN’ga mahalliy quyi tarmoqni qo‘shish: VGW yoki Transit Gateway

Mavjud Site-to-Site VPN 10.60.0.0/16 manzilini tashimoqda, o‘sha mahalliy shlyuz orqasida 10.70.0.0/16 sifatida yangi xizmat tarmog‘i paydo bo‘ldi va kimdir proksi kerakmi deb so‘ramoqda. Odatda kerak emas: marshrutlangan yo‘l prefiksni tashiy oladi, lekin faqat uch narsa to‘g‘ri kelsa, qaysi uchtasi esa siz allaqachon ishlatayotgan AWS arxitekturasiga bog‘liq. Virtual xususiy shlyuzning bitta marshrut jadvali chegarasi bor; transit gateway ikkinchisini qo‘shadi. E’lon to‘g‘ri, jadval noto‘g‘ri bo‘lsa, sog‘lom ko‘rinadigan, ammo hech narsa yetkazmaydigan sessiya hosil bo‘ladi.

Shlyuz haqiqatan yetkaza oladigan prefiksni e’lon qiling

Har qanday e’lon mazmunli bo‘lishidan oldin mahalliy shlyuzga yangi tarmoqqa qarab yo‘l kerak. 10.70.0.0/16 ni BGP orqali e’lon qilish AWS’ga o‘sha diapazon paketlarini qayerga yuborishni aytadi; u diapazonni narigi uchida yetib boradigan qiladigan mahalliy uzatish yo‘lini yaratmaydi. Shlyuzda prefiks uchun uni saqlovchi qurilmaga ishora qiluvchi marshrut borligini va qurilma o‘sha manzillarga javob berishga sozlanganini tasdiqlang. Eksport siyosati va qabul qilinadigan prefiks limitlari keyingi cheklov, chunki sessiya filtrlab tashlagan prefiks AWS’ga umuman yetib bormaydi.

Agregatlar va aniqroq marshrutlarni ataylab saqlang. Ikki tomondan keladigan ustma-ust tushuvchi yo‘llar dizayn qarori, keyin aniqlanadigan tafsilot emas.

Birinchi yo‘l: virtual xususiy shlyuz chegarasi

Virtual xususiy shlyuz bilan AWS VPN marshrutlash hujjati ikkita tarqatish rejimini tavsiflaydi: statik marshrutlar va BGP e’lonlari, ikkalasi ham ilova haqiqatan ishlatadigan quyi tarmoq marshrut jadvaliga bog‘liq. Butun diapazonni nazorat qilsangiz tarqalish qulay, maqsad yonida manzilni ko‘rishni istasangiz aniq marshrut haqida fikr yuritish osonroq. Har qanday holatda tekshiruv bir xil: aniq ilova quyi tarmog‘ining jadvalida yangi prefiks uchun VPN maqsadiga ishlaydigan yo‘l bormi va u aniqroq narsaga qarshi g‘olib keladimi?

Sog‘lom BGP sessiyasi kanal mavjudligini isbotlaydi. Muayyan quyi tarmoq jadvali marshrutni olganmi-yo‘qmi, bu haqda hech narsa demaydi.

Ikkinchi yo‘l: transit gateway jadval qo‘shadi

Transit gateway o‘sha bitta savolni ikkiga bo‘ladi. VPC quyi tarmog‘i manzilni transit gateway biriktirmasiga yuborishi kerak, so‘ng transit gateway marshrut jadvali o‘sha prefiks uchun VPN biriktirmasini tanlashi kerak. Birlashtirish va tarqatish tanlovlari qaysi ulangan tarmoqlar marshrutni olishini belgilaydi, shuning uchun prefiks VPN tomonidan to‘g‘ri e’lon qilinishi mumkin, ammo jadvali to‘g‘ri marshrut jadvali bilan hech qachon bog‘lanmagan VPC’ga hech qachon yetib bormasligi mumkin.

Odatiy nosozlik — bir jadvalda bor, ikkinchisida yo‘q marshrut, har bir jamoa o‘z tomoni to‘g‘ri deb ishonadi. Ikki arxitekturani solishtirganda, aynan shu qo‘shimcha chegara butun farq: ko‘rish uchun ko‘proq joy va marshrutni kim olishini aniqroq nazorat qilish.

Marshrutlarni tarqatish ham har bir biriktirmaga prefiks bermaydi. Uni qabul qilishga sozlangan jadvallarga taqsimlaydi.

Qaytish yo‘li o‘zining alohida siyosat qarori

Keladigan trafik almashinuvning yarmi xolos. Yangi mahalliy tarmoqqa to‘g‘ri shlyuz orqali AWS manba prefikslariga qaytish yo‘li kerak, ikki chetdagi xavfsizlik siyosati esa o‘sha manba va manzil juftiga ruxsat berishi kerak. Tunnel trafik selektorlari bilan himoya doirasini kelishsa, yangi prefiks uning ichida bo‘lishi kerak, aks holda paket har qanday marshrut jadvali ko‘rilishidan oldin tashlab yuboriladi.

Manzillarning ustma-ust tushishi boshqa tuzoq. Alohida, aniq egalik qilingan diapazonlar buni sodda saqlaydi; ustma-ust tushuvchi diapazonlar tarjima yoki qayta loyihalashni bildiradi va ikkalasi ham o‘sha retseptning almashtiriladigan varianti emas.

Yangi tarmoqda manba va ilova quyi tarmog‘ida manzil bilan sinab ko‘ring, so‘ng teskari yo‘nalishda takrorlang. Bir tomonlama sinov faqat bitta yo‘nalishni isbotlaydi.

Proksi haqiqatan yaxshiroq chegara bo‘lganda

Proksi o‘z o‘rnini talab tor xizmat interfeysi bo‘lganda, ilova allaqachon shu arxitekturani kutganda yoki tarmoq yo‘lini siz xohlamagan tarjimasiz prefiks tashishga majbur qilib bo‘lmaganda egallaydi. U hech kim tekshirmagan marshrut jadvali yozuvi uchun zaxira yechim emas.

Shu tartibda qaror qiling: mahalliy uzatish, e’lon, jadval chegarasi, qaytish siyosati. Birinchi muvaffaqiyatsiz bo‘lganini tuzating, shundan keyingina marshrutlangan yo‘l umuman to‘g‘ri javobmi deb so‘rang.