AWS Transit Gateway'da bir nechta VPC uchun yagona saytlararo VPN

VPN'ni bir marta va har bir VPC'ni bitta tranzit shlyuziga ulang, so'ngra assotsiatsiyani tarqatishdan ajrating, shunda shoxlar ofisga yetadi, lekin bir-biriga yetmaydi.

Bu chorakda ikkita VPC ofis tarmog'iga muhtoj va aynan ikkinchi tunnelda hisob buziladi. AWS Transit Gateway umumiy marshrutlash markazi bo'lib xizmat qilishi mumkin: VPN bir marta ulanadi va har bir VPC o'sha markazga ulanadi. Keyin mahalliy tarmoq bitta ulanish orqali barcha ulangan VPC'larga yetadi. Bu marshrutlash qarori kimga tegishli ekanini o'zgartiradi va aksariyat loyihalar xato qiladigan qism aynan shu.

VPN ulanishi va VPC ulanishlari bir shlyuzdagi alohida obyektlar, shuning uchun marshrutlash munosabatlarini keyin qurish kerak.

On-premises network <-> Site-to-Site VPN <-> Transit Gateway
                                            |- VPC A
                                            |- VPC B

Nega peering odamlar kutgan qisqa yo'l emas

Jozibali muqobil — VPN'ni VPC A'da tugatib, VPC B'ni unga peering qilish. Oddiy VPC peering A'ning VPN ulanishi orqali chetdan chetga tranzit bermaydi. Peer faqat peeringning o'zi bergan manzillarga yetadi va VPN cheti ulardan biri emas. Tranzitni markaz beradi; peering sizga juftlik beradi.

Bu cheklov peeringning xossasi, ko'tarish mumkin bo'lgan kvota emas.

Assotsiatsiya va tarqatish har xil ish qiladi

Tranzit shlyuzi ichida assotsiatsiya ulanishdan kelayotgan trafikni izlash uchun ishlatiladigan marshrut jadvalini tanlaydi. Tarqatish qaysi jadvallar ulanishning o'rganilgan yoki bog'langan prefikslarini olishini hal qiladi. Bitta ulanish bitta jadval bilan assotsiatsiyalangan bo'lib, ayni paytda bir nechtasiga tarqalishi mumkin. Ikkalasini chalkashtirish loyihaning hech kim rejalashtirmagan yetib borish bilan tugashining yo'lidir.

To'liq bog'langan kichik markaz oson holat.

Har bir ulanishni bitta jadvalga qo'ying va VPN ikkala VPC prefiksi bilan birga toza hal bo'ladi. Bu tashkilot hech qachon niyat qilmagan VPC'lar orasidagi yetib borishga ham ruxsat beradi, chunki umumiy jadval shox tushunchasini bilmaydi.

Ish yuklamalari marshrutlari boshqa joyda yashaydi

Har bir ish yuklamasi quyi tarmog'i mo'ljallangan mahalliy prefikslar uchun tranzit shlyuzi tomon o'z marshrutiga hali ham muhtoj. O'sha VPC marshrut jadvallari shlyuzning o'z jadvallaridan alohida obyektlar. Kerakli prefikslarni qo'shing va har bir manzilni yangi default bilan almashtirish o'rniga mavjud marshrutlarni saqlang. Quyi tarmoq marshruti ham mijoz qurilmasiga hech narsa e'lon qilmaydi.

Dinamik yoki statik marshrutlashni ongli ravishda tanlang; peering ikkalasini ham bermaydi.

Mahalliy kirishni yo'qotmasdan shoxlarni ajratib oling

A va B ikkalasi ham ofisga yeta oladigan, lekin bir-biriga marshrutlanmasligi kerak bo'lsa, jadvallarni ajrating. VPN ulanishining assotsiatsiyalangan jadvali VPC prefikslarini saqlaydi. VPC ulanishlarining assotsiatsiyalangan jadvali mahalliy prefikslarni saqlaydi, A'ni B bilan bog'laydigan marshrut bo'lmasa. Bu munosabatni tarqatish yaratadi, shuning uchun har bir standart assotsiatsiyani qabul qilish shart emas.

Bu marshrutlash izolyatsiyasi, bu esa ilova avtorizatsiyasi emas.

Xavfsizlik guruhlari, tarmoq ACL'lari, xost xavfsizlik devorlari va har bir xizmatning o'z ruxsatlari qaysi trafik qabul qilinishini hali ham hal qiladi. Agar tekshiruv kerak bo'lsa, markaz buni qiladi deb taxmin qilish o'rniga uning qo'llab-quvvatlanadigan yo'lini aniq loyihalashtiring.

Markaz tuzatmaydigan narsa

Manzil rejalari hali ham bir-birining ustiga chiqmasligi kerak, chunki markaz bitta prefiksning ikkita ish yuklamasini belgilashiga ruxsat bermaydi. Har bir VPC ulanishi o'z ish yuklamalari kutgan Availability Zone qamroviga muhtoj. BGP bilan mijoz qurilmasining har bir kerakli prefiksga qaytish marshrutlari loyiha va uning import siyosatiga mos kelishi kerak. Yo'qolgan e'lon xuddi uzilgan tunnelga o'xshaydi.

VPN ulanishi va tranzit shlyuzi endi umumiy infratuzilma.

Tunnellarning zaxiraligini, qurilma quvvatini, monitoring va texnik xizmatni barcha bog'liq VPC'lar atrofida rejalashtiring, har birini mustaqil ulangan deb hisoblash o'rniga.

Mavjud virtual private gateway tuzilmasidan migratsiya ham xuddi shu aniq rejani talab qiladi. Ulanishlar va siyosatlarni quring, bitta nazorat qilinadigan ish yuklamasi marshrutini ko'chiring va eski marshrutni bekor qilishdan oldin ruxsat etilgan va rad etilgan munosabatlarni tasdiqlang. Markazlashtirish tarmoq jamoasiga umumiy ulanishni boshqarish uchun bitta joy berganida yordam beradi, bitta katta jadval ortida kim kimga yeta olishini yashirganida zarar keltiradi.

O'xshash maqolalar