写点什么

搭建 Transit Gateway,轻松玩转复杂网络架构

  • 2019-09-27
  • 本文字数:3258 字

    阅读完需:约 11 分钟

AWS 的网络非常强大,提供了用户多种访问云端的方式。包括互联多个 VPC 的 VPC Peering,互联数据中心的 Direct Connect 和 VPN。而对于经常使用 AWS 网络的用户来说,如何轻松的管理复杂的网络架构,一直是每个 AWS 的网络专家关心的问题。比如说如下的网络架构,其实就是一个复杂网络模型的典型案例。



现在,如果有了 AWS Transit Gateway,网络世界就会变成这个样子。AWS Transit Gateway 到底是什么,它是如何帮助网络专家简化网络设计和配置。并且我们又如何使用 AWS Transit Gateway 开始我们的网络配置之旅。下面的文章内容会带给大家一个具体的思路。



AWS Transit Gateway 是一项服务,使客户能够将 Amazon Virtual Private Cloud (VPC) 及其本地网络连接到单个网关。随着 AWS 上运行的工作负载数量的增加,您需要能够跨多个帐户和 Amazon VPC 扩展网络,以跟上增长的速度。今天,您可以使用对等连接来连接 Amazon VPC 对。但是,如果无法集中管理连接策略,而跨多个 Amazon VPC 管理点到点连接,则可能会造成操作成本高昂且操作繁琐。对于本地连接,您需要将 AWS VPN 连接到每个单独的 Amazon VPC。当 VPC 数量增长到数百个时,此解决方案的构建可能非常耗时,也难以进行管理。


使用 AWS Transit Gateway,只需创建和管理从中央网关到网络中每个 Amazon VPC、本地数据中心或远程办公室的单个连接。Transit Gateway 就像一个中心,控制流量在所有连接的网络之间的路由方式,而这些网络就像辐条。这种轴辐式模型可显著简化管理并降低运营成本,因为每个网络只需连接到 Transit Gateway,而不是连接到所有其他网络。任何新的 VPC 都只需连接到 Transit Gateway,然后自动向连接到 Transit Gateway 的所有其他网络开放。这种易连接性使您可以随着增长轻松扩展网络。

预先准备:创建 TGW

选择 VPC 服务,找到 Transit Gateway,先创建一个 Transit Gateway 以备后续使用



创建时写上名字和描述,点击创建即可。其他选项没有特殊需求保留默认即可。



##场景一:使用 TGW 互联 region 内各个 VPC


###配置 Transit Gateway Attachment


Transit Gateway 核心概念之一:Transit Gateway Attachment。简单的理解就是你想要把什么网络资源往 TGW 上面互联,就添加一个 Attachment。



选择当前你的 TGW,选择 VPC 选项,在 VPC ID 里找到你要添加的 VPC,并且选择你要通告出去的子网。注意:一定要看好你要对外发布的子网是哪一个



检查 Transit Gateway Route Tables


Transit Gateway 核心概念之二:Transit Gateway Route Table。Transit Gateway 有自己的路由表,当一个数据包进入了 Transit Gateway 之后,Transit Gateway 会通过查询该路由表来决定该数据包如何路由。


当添加两个 VPC 作为 Transit Gateway 之后,在 Transit Gateway 的路由表中就会自动添加到这两个 VPC 的路由。



在需要互联的 VPC 中,找到相关的路由表,点击 Edit routes,将需要互联的对端 VPC 的 CIDR 添加到路由条目中,下一跳是 Transit Gateway。下图的例子就是在 172.31.0.0/16 的 VPC 路由表中添加到另一个 10.16.0.0/16 的 VPC 的路由,而下一跳就是 Transit Gateway。



可以看见在作为以上配置之后,使用 172.31.0.0/16 中的 EC2 去 ping 在 10.16.0.0/16 的 EC2,是可以 ping 通的



##场景二:使用 TGW 互联 VPN 和 VPC

配置 Transit Gateway Attachment

VPN 和 VPC 一样,也属于 TGW 的一个 attachment,所以依然还是在 TGW Attachment 处添加一个新的 attachment。注意这里的 VPN 是指的 IPSec VPN。



Attachment 的类型选择 VPN。在 VPN attachment 的细节配置中,指定要跟 TGW 使用 VPN 互联的远端路由器/防火墙地址。因为当前 TGW 仅支持使用 BGP 和对端网络进行动态路由学习,所以如果希望动态维护您的网络信息,那么选择 BGP 协议,并且配置好 BGP 的 ASN 号。当然如果您网络较为简单,那么您也可以选择静态路由来维护。这里我们选择动态路由的方式。最后在 Tunnel Options 处,我们留空,即让 AWS 来帮助我们默认生成 VPNtunnel 的 IP 和 VPN 的 Pre-share 密钥



我们在 VPC 服务页面下的 Site-to-Site VPN Connections 页面下,可以看见刚刚生成的 VPN Tunnel 信息。从页面最底部的 Tunnel Details 处,我们可以看见 TGW 作为 VPN 头端设备的外网地址及隧道 IP 地址。


配置本地路由器 IPSec 配置,以思科路由器为例

注意:如果您不是太熟悉需要配置什么内容,那么您可以在上一个页面,即 Site-to-Site VPN Connections 页面下,点击 Download Configuration,选择合适您本地的设备型号,即可下载 AWS 的推荐配置。


以下仅截出关键性配置

IPsec 相关配置:

crypto keyring keyring-vpn-0a8854e50782fb208-0
local-address 172.35.10.233
pre-shared-key address 52.76.185.43 key Cieb0p_SzeuNKuDm6oRd2gxwEmV69uz1
crypto isakmp policy 10
encr aes
hash md5
authentication pre-share
group 2
crypto isakmp policy 200
encr aes
authentication pre-share
group 2
lifetime 28800
crypto isakmp keepalive 10 10
crypto isakmp profile isakmp-vpn-0a8854e50782fb208-0
keyring keyring-vpn-0a8854e50782fb208-0
match identity address 52.76.185.43 255.255.255.255
local-address 172.35.10.233
crypto ipsec security-association replay window-size 128
crypto ipsec transform-set ipsec-prop-vpn-0a8854e50782fb208-0 esp-aes esp-sha-hmac
mode tunnel
crypto ipsec df-bit clear
crypto ipsec profile ipsec-vpn-0a8854e50782fb208-0
set transform-set ipsec-prop-vpn-0a8854e50782fb208-0
set pfs group2
复制代码


Tunnel 相关配置:


interface Tunnel1
ip address 169.254.29.78 255.255.255.252
ip tcp adjust-mss 1379
tunnel source 172.35.10.233
tunnel mode ipsec ipv4
tunnel destination 52.76.185.43
tunnel protection ipsec profile ipsec-vpn-0a8854e50782fb208-0
ip virtual-reassembly
复制代码


在路由器上查看 IPSec 的状态,是 Active 的说明 IPSec VPN 已经建立



回到 Site-to-Site VPN Connections 页面下,你可以发现 IPSec 的状态已经变成了 UP。之所以状态是 DOWN,主要原因是因为两端的 BGP Session 还未建立起来



###BGP 相关配置:


ip-172-35-10-233(config)#do sh run | s bgp
router bgp 65000
bgp log-neighbor-changes
neighbor 169.254.29.77 remote-as 64512
neighbor 169.254.29.77 timers 10 30 30
!
address-family ipv4
network 172.35.10.0 mask 255.255.255.0
neighbor 169.254.29.77 activate
neighbor 169.254.29.77 default-originate
neighbor 169.254.29.77 soft-reconfiguration inbound
exit-address-family
复制代码


再次回到 Site-to-Site VPN Connections 页面下,可以发现 VPN 的状态现在是变成了 UP,并且已经提示说 BGP Route 出现了


检查路由表:

在 Transit Gateway Route Tables 中检查从 VPN 站点传输过来的路由。可以发现如果是从 VPN 过来的,那么后面的 Resource Type 会显示是 VPN。



在路由器上查看从 BGP 传输过来的路由表,可以发现之前的两个已经互联到 TGW 上的 VPC 的 CIDR 地址段。



注意:VPN 后面的主机的路由表需要设置成到云上 VPC 网段的下一跳是这个思科的路由器,才能利用 VPN 进行云上互联

继续配置第二条 IPSec VPN 隧道做冗余:

此过程和前面的步骤一致,在此不做赘述。


云上 VPC 需要配置一条静态路由指向 TGW:

最后将 VPC 到 VPN 对端网段的路由写到自己的路由表中,下一跳指向 TGW。



使用 ping 进行对 VPN 网段和云上 VPC 的主机进行测试。可以发现通过 TGW,已经将 VPC 和 VPN 打通



作者介绍


姚远


亚马逊 AWS 解决方案架构师,负责基于 AWS 的云计算方案架构的咨询和设计,同时致力于 AWS 云服务在国内的应用和推广。现致力于网络和 DevOps 相关领域的研究。在加入 AWS 之前,在思科中国担任系统工程师,负责方案咨询和架构设计,在企业私有云和基础网络方面有丰富经验。


本文转载自 AWS 技术博客。


原文链接:


https://amazonaws-china.com/cn/blogs/china/build-transit-gateway-easily-use-complex-network-structure/


2019-09-27 16:573831
用户头像

发布了 1865 篇内容, 共 133.0 次阅读, 收获喜欢 81 次。

关注

评论

发布
暂无评论
发现更多内容

软件测试 | 测试开发 | 测试人生 | 双非学历,从外包到某大厂只用了1年时间,在2线城市年薪近30万,我柠檬了......

测吧(北京)科技有限公司

Python图像处理丨带你认识图像量化处理及局部马赛克特效

华为云开发者联盟

人工智能 企业号九月金秋榜

内存管理:程序是如何被优雅的装载到内存中

C++后台开发

内存管理 Linux内核 内核源码 内核开发 嵌入式开发

软件测试 | 测试开发 | 测试人生 | 年薪50w+ 并入职名企大厂,这是双非学历小哥哥给自己30岁的礼物

测吧(北京)科技有限公司

软件测试 测试

IDaaS 系统ArkID一账通内置插件:图形验证码认证因素的配置流程

龙归科技

单点登录 Idaas

软件测试 | 测试开发 | 测试人生 | 三十而立终圆大厂梦,测试开发开启新征程

测吧(北京)科技有限公司

软件测试 测试 测试开发

干货|app自动化之如何参数化用例

霍格沃兹测试开发学社

Meta公司内部项目-RaptorX:将Presto性能提升10倍

Alluxio

presto Alluxio #Facebook meta 9月月更

软件测试 | 测试开发 | 多种框架小程序测试环境构建总结

测吧(北京)科技有限公司

软件测试 测试

软件测试中的『草莓酱定律』

BY林子

敏捷测试 草莓酱定律 温伯格

NFT拍卖交易系统开发NFT商城

薇電13242772558

NFT

软件测试 | 测试开发 | 测试人生 | 拿到多个 offer 从了一线互联网公司并涨薪70%,90后小哥哥免费分享面试经验~

测吧(北京)科技有限公司

软件测试 测试 offer

软件测试 | 测试开发 | Jenkins job 机制该如何使用?

测吧(北京)科技有限公司

测试 测试工程师

瓴羊智能客服,基于钉钉重磅推出一体化的智能服务解决方案

瓴羊企业智能服务

干货|app自动化测试之Appium 原理 与 JsonWP 协议分析

霍格沃兹测试开发学社

软件测试 | 测试开发 | 测试人生 | 从传统行业到名企大厂,薪资翻倍,我做到了

测吧(北京)科技有限公司

软件测试 测试

AI 时代的视频云转码移动端化——更快、更好、更低、更广

ZEGO即构

AI 音视频开发 视频云转码

干货|app自动化测试之Appium 源码修改定制分析

霍格沃兹测试开发学社

干货|app自动化测试之Appium问题分析及定位

霍格沃兹测试开发学社

软件测试 | 测试开发 | 浅谈测试需求分析

测吧(北京)科技有限公司

测试 需求 用户需求分析

软件测试 | 测试开发 | ADBLib 在 android 中的使用

测吧(北京)科技有限公司

android 测试

The main application of radio technology in aerospace field/IPQ4019 IPQ4029 ,802.11AC 2x2 2.4G&5G

wallys-wifi6

IPQ4019 ipq4029

软件测试 | 测试开发 | 测试人生 | 双非院校跨城重新开始,薪资翻了2倍还多,这个90后小姐姐好飒

测吧(北京)科技有限公司

测试 测试工程师

软件测试 | 测试开发 | 从跨专业手工测试转岗外包,再到 Python 测试开发,跳槽涨薪 85%!

测吧(北京)科技有限公司

软件测试 测试

软件测试 | 测试开发 | Jenkins 持续集成体系介绍

测吧(北京)科技有限公司

软件测试 测试

干货|app自动化测试之Andriod WebView如何测试

霍格沃兹测试开发学社

干货|app自动化测试之Appium 源码分析

霍格沃兹测试开发学社

软件测试 | 测试开发 | 测试人生 | 毕业2年,拒绝独角兽入职名企大厂涨薪10万+,这个95后小姐姐好飒

测吧(北京)科技有限公司

测试

软件测试 | 测试开发 | 测试人生 | 双非院校、入职某知名电商公司薪资翻倍还有股票奖励,这个90后小姐姐也太飒了吧?

测吧(北京)科技有限公司

测试 面试题 软件测试面试题

软件测试 | 测试开发 | 测试人生 | 97年双非学历的小哥哥,2线城市涨薪100%,我酸了......

测吧(北京)科技有限公司

软件测试 测试

云原生数据库极致弹性体验 - Amazon Aurora Serverless v2

亚马逊云科技 (Amazon Web Services)

数据库 云原生

搭建 Transit Gateway,轻松玩转复杂网络架构_语言 & 开发_亚马逊云科技 (Amazon Web Services)_InfoQ精选文章