AWS Site-to-Site VPN sí NAT Gateway: VGW tabi Transit Gateway

Gbogbo eniyan ya apẹrẹ kanna ni akoko akọkọ: VPN sinu VPC, NAT gateway jade si intanẹẹti, o ti tan. Ṣugbọn AWS ko ṣe atilẹyin ọna yẹn nigbati VPN ba pari lori virtual private gateway, ati pe ikuna jẹ́ ohun jẹ́ẹ́kíẹ́jẹ́ debi pe awọn ẹgbẹ́ tún un kọ́ ju ẹẹkan lọ. Apẹrẹ ti o ṣiṣẹ nilo transit gateway kan, eyi ti o yipada gateway ati awọn tabili ọna ni ẹgbẹ mejeeji. Ṣe afiwe awọn apẹrẹ meji ki o to ya ohunkohun.

Topology ti o dabi ẹni pe o han gbangba ti a ko si ṣe atilẹyin

Iwe-ipamo NAT gateway AWS fa ila kan ti o ya awọn ẹni ti wọn kọ́ apẹrẹ VPC kan ṣoṣo lẹnu: a ko le tọ́ traffiki lati asopọ Site-to-Site VPN lọ si NAT gateway nipasẹ virtual private gateway. Iru gateway ti VPN pari lori rẹ̀ ni o pinnu boya ọna itumọ kan wa rara. Aṣiṣe naa wa nitori ipo tunnel jẹ UP ati pe EC2 instance kan ninu subnet kanna de intanẹẹti laini wahala. Ko si ọkan ninu awọn akiyesi mejeeji ti o dan wo itọsọna ti o bajẹ.

Ni iṣe, pakẹti naa de pẹlu adirẹsi orisun lati nẹtiwọọki ibilẹ ati pe ko ri hop ti o tẹle ti a ṣe atilẹyin ti yoo tumọ rẹ̀. Gẹgẹbi awọn tabili, a sọ ọ́ nù ni aala ijade, ati nitori tunnel wa ni UP nigba ti instance kan ninu subnet kanna de intanẹẹti, a royin ikuna naa gẹgẹbi iṣoro firewall ni ibilẹ.

Virtual private gateway tabi transit gateway

Virtual private gateway kan jẹ́ ti VPC kan ṣoṣo. O pari VPN naa, o fi awọn ọna sinu awọn tabili ọna VPC yẹn, o si duro nibẹ̀. Ko ni awoṣe attachment, nitorina ko le fi traffiki ranṣẹ si VPC miiran tabi si apakan ijade ti a pin. Iwọn VPC kan yẹn ni gbogbo aala, ati pe ko si ọna ti o ba fi kun inu VPC ti yoo yi i pada.

Transit gateway jẹ ile-iṣẹ agbegbe kan nibiti VPN, gbogbo spoke VPC ati VPC awọn iṣẹ ti a pin farahan gẹgẹbi attachments. O ni awọn tabili ọna tirẹ, ti wọn yan iru attachment ti yoo gba prefix kan.

Ile-iṣẹ yẹn ni o jẹ ki ijade aarin ṣeeṣe: VPN de gẹgẹbi attachment kan, VPC ijade gẹgẹbi omiiran, tabili ọna transit gateway si fi awọn prefix ti o lọ si intanẹẹti lati akọkọ si ekeji. Pẹlu virtual private gateway ko si attachment keji lati fi ohunkohun ranṣẹ, nitorina a ko le ṣe atunṣe apẹrẹ naa lẹhinna.

Ọna ijade ti a ṣe atilẹyin, hop nipasẹ hop

Apẹrẹ itọkasi ni hops marun ati pe gbogbo ọfà jẹ ipinnu ipa-ọna ti o gbọdọ ṣe atunto. Traffiki fi nẹtiwọọki ibilẹ silẹ sinu attachment Site-to-Site VPN, tabili transit gateway fi a ranṣẹ si attachment VPC ijade, nibiti tabili subnet fi a ranṣẹ si NAT gateway ti gbogbo eniyan. NAT gateway tumọ orisun naa, internet gateway si gbe pakẹti naa jade.

On-premises network
  -> Site-to-Site VPN attachment on the transit gateway
  -> transit gateway route table
  -> egress VPC attachment
  -> public NAT gateway in that VPC
  -> internet gateway

Awọn alaye meji pinnu boya awọn hop ikẹhin yoo ṣiṣẹ. NAT gateway gbọdọ jẹ ti gbogbo eniyan, pẹlu elastic IP ati ọna si internet gateway, nitori NAT gateway aladani tumọ laarin awọn nẹtiwọọki ati pe ko ṣe ijade intanẹẹti rara.

Ṣe eto NAT gateway kan fun gbogbo Availability Zone ti o fẹ́ sin, ki tabili subnet kọọkan tọ́ka si ti ibilẹ. Tọju tabili transit gateway ati awọn tabili VPC gẹgẹbi awọn ohun ọtọtọ ninu awọn akọsilẹ rẹ, nitori ọkan yan attachment kan ekeji yan orisun inu VPC. Ọna aiyipada ninu ọkan nikan fi idaji ọna silẹ ti ko ṣe alaye ati pe o ṣẹda awọn ikuna apakan ti o ṣòro julọ lati so mọ́.

Awọn apẹrẹ wọnyi kuna lori ọna ipadabọ

NAT gateway tọju ipo fun awọn ṣiṣan ti o ti ri tẹlẹ, nitorina awọn idahun si asopọ ijade pada laisi ofin iwọle tuntun. Iwa yẹn ko ṣe ikede iṣẹ ibilẹ lori intanẹẹti, ati pe bi o ba ṣe bẹ́ẹ̀ ń jẹ́ ki ẹgbẹ́ kan fi ọjọ kan ṣe àtúnyẹ̀wò asopọ kan ti ko ni ṣẹlẹ̀ rara. Fun traffiki ti alabara bẹrẹ, awọn ọna mẹrin gbọdọ gbà: eto imulo ibilẹ, tabili transit gateway, tabili subnet ijade ati tabili subnet NAT. Ti ikẹhin ba sonu, ibeere naa fi ile silẹ nigba ti idahun naa ku ninu AWS.

Ṣe ayẹwo pẹlu alabara gidi kan lẹhin VPN ki o wo adirẹsi orisun gbangba ti o fi han. Ti o ba jẹ elastic IP ti NAT gateway, itumọ n ṣẹlẹ; ti o ba jẹ nkan miiran, o ń wọn ijade miiran.

Ẹya aiṣedeede ti ikuna yii yẹ ki a mọ̀ ni kutukutu. Nigbati tabili subnet NAT ti Availability Zone kan ni ọna ipadabọ si prefix alabara ti ekeji ko ni, awọn asopọ tuntun máa ń ṣaṣeyọri tabi kuna gẹgẹbi agbegbe ti ṣiṣan naa ba ṣubu sinu, ati pe a ka apẹrẹ naa ni aṣiṣe gẹgẹbi intanẹẹti aiduro. Ṣe afiwe awọn tabili subnet fun gbogbo agbegbe ti o sin dipo ki o tún èyí ti o ṣii tikẹẹti ṣe, nitori ọna ti o sonu ni gbogbo abawọn ati pe ko si nkan ni apa keji ti o nilo lati yipada.

Nigbati proxy ti o han gbangba jẹ apẹrẹ ti o dara julọ

HTTP proxy lori instance kan ninu VPC ijade jẹ yiyan ti o tọ ati nigbagbogbo din owo. Awọn alabara ni a ṣe atunto lati lo o, proxy naa ṣii asopọ tirẹ si ita, ọna ipadabọ si di iṣoro rẹ̀ dipo àlọ́na ipa-ọna symmetrical. Fun awọn ohun elo diẹ, eyi yọ ọpọlọpọ iṣẹ transit gateway kuro. O tun fun ni akọsilẹ fun olumulo kọọkan ti NAT gateway ko le ṣe.

Ṣugbọn ko ṣe kedere. Ohunkohun ti o foju awọn eto proxy, ati gbogbo ilana ti kii ṣe HTTP, kii yoo tẹle ọna yẹn.

Yiyan da lori ohun ti awọn ohun elo rẹ ń sọ ni otitọ ati iye idanimọ ti o nilo ninu awọn akọsilẹ. Nibiti wọn ti ń sọ HTTP, proxy gba ipò rẹ̀; nibiti o nilo ijade gbogbogbo fun awọn ilana lainidii, apẹrẹ transit gateway ni eyi ti AWS ṣe atilẹyin. Pinnu yẹn ni ilosiwaju din owo ju wiwa rẹ̀ lẹhin ti a ti kọ awọn tabili ọna.