Umumiy Transit Gateway: AWS RAM da marshrutlar kimga tegishli
RAM orqali almashish boshqa akkauntga VPC ulash imkonini beradi, lekin marshrut jadvallari, assotsiatsiyalar va tarqalishlar shlyuz egasida qoladi. Mana chegara.
Transit Gateway ni Resource Access Manager bilan almashish bitta aniq ishni qiladi: boshqa akkauntga o'zi egalik qilmaydigan resursga nisbatan belgilangan ulash API to'plamini chaqirish imkonini beradi. U shlyuzni, uning marshrut jadvallarini yoki trafik qanday yo'naltirilishini hal qilish huquqini o'tkazmaydi. Odamlar buning aksini taxmin qiladi, chunki ulanish qabul qiluvchining konsolida ko'rinadi va darhol ishlaydi, bu egalik kabi tuyuladi. Ostidagi mexanizm umumiy resursga ruxsat berishdir va har bir bola obyekt egasining akkaunt chegarasida qoladi. Bu bo'linish umumiy tranzit atrofidagi kirish rad etilgan ticketlarning ko'pini tushuntiradi.
Almashish aslida nimani topshiradi
Resurs almashishi resurs, prinsipal va boshqariladigan ruxsatni nomlaydi. Ruxsat o'sha prinsipal bajarishi mumkin bo'lgan amallarni sanaydi, Transit Gateway uchun esa bu ro'yxat umumiy resursdagi ulash amallarini qamrab oladi.
Ro'yxatdan tashqari hamma narsa konsolda emas, API da muvaffaqiyatsiz tugaydi, shuning uchun xato ko'pincha skript birinchi marta ishga tushganda paydo bo'ladi.
Marshrut jadvallari, assotsiatsiyalar va tarqalishlar egasida qoladi
Yo'naltirishni uchta bola obyekt belgilaydi: ulanish qaysi marshrut jadvali bilan bog'langan, u qaysi jadvallarga tarqaladi va o'sha jadvallarda qanday marshrutlar bor. AWS ning almashish hujjatlari qabul qiluvchi almashish orqali tranzit shlyuzning marshrut jadvallarini yoki ularning assotsiatsiyalari va tarqalishlarini yarata, o'zgartira yoki o'chira olmasligini qayd etadi. Bu chaqiruvlar egasining akkauntiga tegishli. Yangi assotsiatsiyaga muhtoj qabul qiluvchi ma'muriy o'zgarish so'raydi, yoqishni unutgan ruxsatdan foydalanmaydi.
Quyidagi jadval loyiha hujjatlariga qo'yadigan bo'linishdir, chunki u xodimlar almashinuvida saqlanadi.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
O'rta qatorni diqqat bilan o'qing: VPC egasi o'z subnet marshrutlarini boshqaradi, shlyuz egasi markaziy yo'naltirish qarorini boshqaradi va ishlaydigan yo'l ikkalasini ham talab qiladi. Hech bir akkaunt buni yolg'iz yakunlay olmaydi.
Bitta yo'l, ikkita akkaunt
Paketni spoke VPC dan mahalliy prefiksgacha kuzatib boring. Spoke subnet marshrut jadvali o'sha prefiksni tranzit shlyuz ulanishiga yuborishi kerak, buni VPC egasi o'zgartirishi mumkin. Keyin shlyuz ulanishning bog'langan jadvalida VPN ulanishiga ishora qiluvchi marshrutga ega bo'lishi kerak va buni faqat egasi o'zgartira oladi. Qaytish trafigi ikkalasining ko'zgusini talab qiladi. Har qanday tomonni o'tkazib yuborsangiz, yarim o'rnatilgan, xavfsizlik devori muammosiga o'xshash yo'l olasiz.
Ikkala o'zgarishni ikkita mas'ul bilan bitta ticketga yozing, aks holda ular turli haftalarda yakunlanadi.
Joylashuv muhim bo'lsa, Availability Zone ID laridan foydalaning
Zona nomlari akkauntning mahalliy taxalluslari. Bir akkauntdagi us-east-1a boshqa akkauntdagi us-east-1a bilan bir xil jismoniy zona bo'lishi kafolatlanmagan. Loyihaga bitta zonada ulanish va ish yuki kerak bo'lsa, AZ ID larini solishtiring va yozib oling.
Nomlarni solishtirish to'g'ri ko'rinadigan diagramma va to'g'ri bo'lmagan kechikish profilini beradi. Buni diagramma hali chizilayotganda tekshiring, kimdir farqni o'lchagandan keyin emas.
Almashishni bekor qilish ma'lumot yo'lini kesmaydi
Almashishni olib tashlash qaytarib olish kabi tuyuladi va bu trafikni darhol to'xtatish emas. AWS shlyuz almashishdan chiqarilganda ulanish ishlashda davom etishini hujjatlashtiradi. Resursni boshqarish ruxsati yo'qoladi, mavjud ulanish esa kimdir uni o'chirmaguncha yoki o'chirib qo'ymaguncha yo'naltirishda davom etadi. Bekor qilishni ikki bosqichda rejalashtiring: almashishni olib tashlang, keyin ulanishni, ikkinchisini egasi bajaradi.
Agar almashish yagona nazoratingiz bo'lsa, nazoratingiz yo'q.
Almashish yozuvi va marshrutlash yozuvini birga saqlang
Ikki artefakt ikki xil savolga javob beradi. Almashish yozuvi resurs bilan kim ishlashi mumkinligini aytadi. Marshrut jadvallari qaysi tarmoqlar haqiqatan gaplasha olishini aytadi. Ularni bir xil egalar ro'yxati bilan birga saqlang, aks holda keyingi hodisa hech qachon muammo bo'lmagan ruxsatni isbotlayotgan odam bilan boshlanadi.
Keyin har bir yo'nalishda bitta oqimni va yetib bo'lmaydigan bo'lib qolishi kerak bo'lgan bitta prefiksni sinab ko'ring.