Một VPN site-to-site cho nhiều VPC trên AWS Transit Gateway
Gắn VPN một lần và mỗi VPC vào một cổng chuyển tiếp, sau đó tách liên kết khỏi lan truyền để các nhánh đến được văn phòng nhưng không đến nhau.
Hai VPC cần mạng văn phòng trong quý này, và chính ở đường hầm thứ hai là nơi dự toán vỡ. AWS Transit Gateway có thể đóng vai trò một trung tâm định tuyến dùng chung: VPN được gắn một lần, và mỗi VPC được gắn vào cùng trung tâm đó. Sau đó mạng tại chỗ đến được mọi VPC đã gắn qua một kết nối duy nhất. Điều đó thay đổi ai nắm quyết định định tuyến, và đây chính là phần mà hầu hết thiết kế làm sai.
Gắn kết VPN và các gắn kết VPC là những đối tượng riêng trên cùng một cổng, vì thế các quan hệ định tuyến phải được xây sau đó.
On-premises network <-> Site-to-Site VPN <-> Transit Gateway
|- VPC A
|- VPC BVì sao peering không phải lối tắt mà người ta mong đợi
Lựa chọn hấp dẫn là kết thúc VPN trên VPC A và peering VPC B vào đó. Peering VPC thông thường không cung cấp chuyển tiếp từ biên đến biên qua kết nối VPN của A. Peer chỉ đến được những địa chỉ mà chính peering cung cấp, và biên VPN không nằm trong số đó. Chuyển tiếp là thứ một trung tâm mang lại; peering cho bạn một cặp.
Hạn chế đó là thuộc tính của peering, không phải hạn mức có thể nâng lên.
Liên kết và lan truyền làm những việc khác nhau
Bên trong cổng chuyển tiếp, liên kết chọn bảng định tuyến dùng để tra cứu lưu lượng đến từ một gắn kết. Lan truyền quyết định bảng nào nhận các tiền tố đã học hoặc đã kết nối của một gắn kết. Một gắn kết có thể liên kết với một bảng trong khi lan truyền sang nhiều bảng. Nhầm lẫn hai điều này là cách một thiết kế kết thúc với khả năng tiếp cận mà không ai đã hoạch định.
Một trung tâm nhỏ kết nối đầy đủ là trường hợp dễ.
Đặt mọi gắn kết vào một bảng và VPN cùng cả hai tiền tố VPC được giải quyết gọn gàng. Điều đó cũng cho phép khả năng tiếp cận giữa các VPC mà tổ chức có thể chưa từng dự định, vì một bảng dùng chung không có khái niệm nhánh.
Các tuyến của khối lượng công việc sống ở nơi khác
Mỗi mạng con của khối lượng công việc vẫn cần tuyến riêng đến cổng chuyển tiếp cho các tiền tố tại chỗ dự định. Những bảng định tuyến VPC đó là đối tượng riêng so với bảng của chính cổng. Thêm các tiền tố cần thiết và giữ các tuyến hiện có thay vì thay mỗi đích bằng một default mới. Tuyến của mạng con cũng không quảng bá gì cho thiết bị của khách hàng.
Hãy chọn định tuyến động hay tĩnh một cách có chủ đích; peering không cung cấp cả hai.
Cô lập các nhánh mà không mất truy cập tại chỗ
Khi A và B đều được đến văn phòng nhưng không được định tuyến đến nhau, hãy tách các bảng. Bảng được liên kết của gắn kết VPN giữ các tiền tố VPC. Bảng được liên kết của các gắn kết VPC giữ các tiền tố tại chỗ, không có tuyến nào nối A với B. Chính lan truyền tạo ra quan hệ đó, nên bạn không bao giờ phải chấp nhận mọi liên kết mặc định.
Đây là cô lập định tuyến, và nó không phải phân quyền ứng dụng.
Các nhóm bảo mật, ACL mạng, tường lửa trên máy chủ và quyền riêng của từng dịch vụ vẫn quyết định lưu lượng nào được chấp nhận. Nếu cần kiểm tra, hãy thiết kế rõ đường đi được hỗ trợ của nó thay vì giả định trung tâm thực hiện.
Những gì trung tâm không sửa được
Các kế hoạch địa chỉ vẫn phải không chồng lấn, vì trung tâm không cho phép một tiền tố nhận diện hai khối lượng công việc. Mỗi gắn kết VPC cần độ phủ Availability Zone mà khối lượng công việc của nó mong đợi. Với BGP, các tuyến của thiết bị khách hàng quay về mọi tiền tố cần thiết phải khớp với thiết kế và chính sách nhập của nó. Một quảng bá bị thiếu trông đúng như một đường hầm hỏng.
Kết nối VPN và cổng chuyển tiếp giờ là hạ tầng dùng chung.
Hãy hoạch định dự phòng đường hầm, dung lượng thiết bị, giám sát và bảo trì quanh mọi VPC phụ thuộc thay vì coi mỗi cái là kết nối độc lập.
Việc chuyển từ một bố trí virtual private gateway hiện có cũng xứng đáng có cùng kế hoạch rõ ràng. Xây các gắn kết và chính sách, di chuyển một đường đi khối lượng công việc được kiểm soát, và xác nhận các quan hệ được phép và bị từ chối trước khi loại bỏ đường cũ. Tập trung hóa giúp ích khi cho nhóm mạng một nơi để quản lý kết nối dùng chung, và gây hại khi che giấu ai có thể đến được ai phía sau một bảng lớn duy nhất.