前提

为了完成本次的 workshop, 您需要提前了解 AWS Transit gateway 的相关知识。

什么是AWS Transit Gateway

AWS Transit Gateway 是一项服务,使客户能够将其Amazon Virtual Private Cloud(VPC)和其内部部署网络连接到高度可用的网关。 AWS Transit Gateway提供更轻松的连接,更好的可见性,更多控制和按需带宽。

AWS Transit Gateway 通过中央枢纽连接 VPC 和本地网络。这简化了您的网络,并且结束了复杂的对等关系。它用作云路由器 - 每个新连接都只进行一次。

随着您进行全球扩展,区域间的对等使用 AWS 全球网络将 AWS Transit Gateway 连接在一起。您的数据可自动加密,且从来不会通过公共互联网传播。而且,由于处于中央位置,AWS Transit Gateway Network Manager对您的整个网络有独特的视角,甚至会连接到软件定义的广域网 (SD-WAN) 设备。

过去,客户使用他们自己构建和管理的第三方解决方案和/或传输VPC。为了消除大部分无法区分的繁重工作,我们将使用 ** AWS Transit Gateway ** 服务提供此连接和路由。

Transit gateway 概念

为了更好的学习Transit gateway,以下是中转网关的关键概念:

  • 挂载 (Attachments) — 您可以挂载以下各项:

    • 一个或多个 VPC
    • Connect SD-WAN/第三方网络设备
    • AWS Direct Connect 网关
    • 与另一个中转网关的对等连接
    • 与中转网关的 VPN 连接
  • 中转网关最大传输单位 (Transit gateway Maximum Transmission Unit - MTU) — 网络连接的最大传输单位 (MTU) 是能够通过该连接传递的最大可允许数据包的大小(以字节为单位)。连接的 MTU 越大,可在单个数据包中传递的数据越多。对于 VPC、AWS Direct Connect、Transit Gateway Connect 和对等连接挂载之间的流量,中转网关支持的 MTU 为 8500 字节。VPN 连接上的流量可以具有的 MTU 为 1500 字节。

  • 中转网关路由表 (Transit gateway route table ) — 中转网关具有默认的路由表,且可选具有其他路由表。路由表包含动态路由和静态路由,它们根据数据包的目标 IP 地址决定下一个跃点。这些路由的目标可以是任何中转网关挂载。默认情况下,Transit Gateway 挂载与默认的中转网关路由表关联。

  • 关联 (Associations ) — 每个挂载 (Attachments)只同一个中转网关路由表相互关联。每个中转网关路由表可以与零到多个挂载 (Attachment) 关联。

  • 路由传播 (Route propagation ) — VPC、VPN 连接或 Direct Connect 网关可以动态地将路由传播到中转网关路由表。默认情况下,使用 Connect 挂载,路由会传播到中转网关路由表。使用 VPC 时,您必须创建静态路由以将流量发送到中转网关。使用 VPN 连接或 Direct Connect 网关时,路由使用边界网关协议 (BGP) 从中转网关传播到本地路由器。使用对等连接的连接时,您必须在中转网关路由表中创建静态路由以指向对等连接。

Transit gateway 设计最佳实践

  • 为每个中转网关 VPC 附件使用单独的子网。对于每个子网,请使用小型 CIDR(例如 /28),以便您有更多地址用于 EC2 资源。当您使用单独的子网时,您可以配置以下内容:
    • 将与中转网关子网关联的入站和出站 NACL 保持打开状态。
    • 根据流量,您可以将 NACL 应用于工作负载子网。
  • 创建一个网络 ACL 并将其与关联到中转网关的所有子网相关联。确保网络 ACL 在入站和出站方向打开。
  • 将同一个 VPC 路由表与关联到中转网关的所有子网相关联,除非您的网络设计需要多个 VPC 路由表(例如,通过多个 NAT 网关路由流量的中间盒 VPC)。
  • 使用边界网关协议 (BGP) 站点到站点 VPN 连接。如果用于连接的客户网关设备或防火墙支持多路径,请启用该功能。
  • 为 AWS Direct Connect 网关挂载和 BGP 站点到站点 VPN 挂载启用路由传播。
  • 您不需要额外的中转网关即可实现高可用性,因为根据设计,中转网关具有高可用性。
  • 限制中转网关路由表的数量,除非您的设计需要多个中转网关路由表。
  • 对于多区域部署,我们建议您为每个中转网关使用唯一自治系统编号(Amazon 端的 ASN)。为了实现冗余,请在灾难恢复区域中使用多个中转网关。有关更多信息,请参阅使用 AWS Transit Gateway 区域间对等构建全局网络 (http://aws.amazon.com/blogs/networking-and-content-delivery/building-a-global-network-using-aws-transit-gateway-inter-region-peering/)