Wie kann ich die Kommunikation zwischen mehreren VPCs über eine einzige VPN-Verbindung zulassen, die an mein Transit-Gateway angeschlossen ist, ohne einen Zugriff zwischen den VPCs zu erlauben?

Lesedauer: 5 Minute
0

Ich habe zwei Virtual Private Clouds (VPCs). On-Premises-Benutzer benötigen Zugriff auf beide VPCs mit einer einzigen VPN-Verbindung. Ich möchte die Netzwerkkonnektivität zwischen den VPCs und dem On-Premises-Netzwerk über eine einzige VPN-Verbindung herstellen. Wie kann ich vorgehen?

Kurzbeschreibung

Wenn Sie über zwei VPCs mit einer einzigen VPN-Verbindung verfügen, z. B. eine Produktions- und eine Entwicklungsumgebung, führen Sie die folgenden Schritte aus, um die Netzwerkkonnektivität zwischen Ressourcen in mehreren VPCs herzustellen, sodass:

  • On-Premises-Benutzer von allen VPCs über das VPN auf Ressourcen zugreifen können
  • VPC-Ressourcen nicht auf Ressourcen in den anderen VPCs zugreifen können

Lösung

Erstellen Sie ein Transit-Gateway und fügen Sie dann Ihre VPCs und ein Site-to-Site-VPN an

  1. Erstellen Sie in der Amazon Virtual Private Cloud (Amazon VPC)-Konsole ein Transit-Gateway.
    Hinweis: Deaktivieren Sie die Routing-Tabellen-Einstellung Default association (Standard-Zuordnung) beim Erstellen Ihres Transit-Gateways.
  2. Verbinden Sie Ihre VPCs mit Ihrem Transit-Gateway.
  3. Erstellen Sie eine Site-to-Site-VPN-Verbindung und verbinden Sie sie mit Ihrem Transit-Gateway.
    Hinweis: Um VPN-Routen automatisch an die Routing-Tabelle des Transit-Gateways zu übertragen, wählen Sie die Routing-Option Dynamic. Diese Option erfordert das Border Gateway Protocol.

Erstellen Sie eine Transit-Gateway-Routing-Tabelle und verknüpfen Sie sie mit Ihren VPCs

  1. Öffnen Sie die Amazon-VPC-Konsole.
  2. Wählen Sie im Navigationsbereich Transit gateways aus.
  3. Stellen Sie sicher, dass die Einstellung Default association route table (Standard-Zuordnungstabelle) für Ihr Transit-Gateway auf Disable (Deaktivieren) gesetzt ist.
    Hinweis: Wenn Default associate route table auf Enable (Aktivieren) gesetzt ist, fahren Sie mit Schritt 9 fort.
  4. Wählen Sie Transit gateway route tables (Transit-Gateway-Routing-Tabellen).
  5. Wählen Sie Create transit gateway route table (Transit-Gateway-Routing-Tabelle erstellen).
    Geben Sie für Name tag Route Table A ein.
    Wählen Sie für Transit gateway ID die ID für Ihr Transit-Gateway aus.
    Wählen Sie dann Create transit gateway route table (Transit-Gateway-Routing-Tabelle erstellen).
  6. Wählen Sie die Routing-Tabelle A, die Sie im vorherigen Schritt erstellt haben, oder die Standard-Routing-Tabelle Ihres Transit-Gateways aus.
  7. Wählen Sie Associations (Zuordnungen) und dann Create association (Zuordnung erstellen).
  8. Wählen Sie unter Choose attachment to associate (Zuzuordnenden Anhang auswählen) die Zuordnungs-IDs für Ihre VPCs aus. Wählen Sie dann Create association (Zuordnung erstellen). Wiederholen Sie diesen Schritt, bis alle Ihre VPCs unter Association angezeigt werden.
  9. Löschen Sie die VPN-Zuordnung aus der Standard-Routing-Tabelle des Transit-Gateways.

Erstellen Sie eine zweite Transit-Gateway-Routing-Tabelle und verknüpfen Sie sie mit Ihrer VPN-Verbindung

  1. Wählen Sie in der Amazon-VPC-Konsole Transit gateway route tables (Transit-Gateway-Routing-Tabellen) aus.
  2. Wählen Sie Create transit gateway route table (Transit-Gateway-Routing-Tabelle erstellen).
    Geben Sie für Name tag Route Table B ein.
    Wählen Sie für Transit gateway ID die ID für Ihr Transit-Gateway aus.
    Wählen Sie dann Create transit gateway route table (Transit-Gateway-Routing-Tabelle erstellen).
  3. Wählen Sie die Routing-Tabelle B aus, die Sie im vorherigen Schritt erstellt haben
  4. Wählen Sie Associations (Zuordnungen) und dann Create association (Zuordnung erstellen).
  5. Verknüpfen Sie die von Ihnen erstellte VPN-Verbindung mit Routing-Tabelle B.

Übertragen Sie Routen von Ihren VPCs und VPN an beide Routing-Tabellen

  1. Wählen Sie in der Amazon-VPC-Konsole Transit gateway route tables (Transit-Gateway-Routing-Tabellen) aus.
  2. Wählen Sie Route Table A aus.
  3. Wählen Sie Actions und dann Create propagation (Übertragung erstellen) aus.
  4. Wählen Sie unter Choose attachment to propagate (Zu übertragenden Anhang auswählen) die Übertragung für das VPN aus. Wenn Sie die Übertragung für alle Anhänge aktiviert haben, stellen Sie sicher, dass die VPN-Verbindungszuordnung in dieser Routing-Tabelle nicht aktiviert ist.
    Wichtig: Wenn Sie anstelle eines dynamischen Routings eine VPN-Verbindung mit statischer Route erstellt haben, müssen Sie eine statische Route für das On-Premises-Netzwerk zum VPN in Routing-Tabelle A erstellen. Für richtlinienbasierte statische VPN-Verbindungen ist nur ein Paar Sicherheitszuordnungen (SA) zulässig. Konsolidieren Sie die On-Premises-CIDR und CIDR von VPCs in einer einzigen SA. Weitere Informationen finden Sie unter Wie behebe ich Verbindungsprobleme zwischen einem AWS-VPN-Endpunkt und einem richtlinienbasierten VPN?
  5. Wählen Sie Create propagation (Übertragung erstellen).
  6. Wählen Sie in den Routing-Tabellen des Transit-Gateways die Routing-Tabelle B aus.
  7. Wählen Sie Actions und dann Create propagation (Übertragung erstellen) aus.
  8. Wählen Sie unter Choose attachment to propagate (Zu übertragenden Anhang auswählen) die Übertragung für alle VPCs aus. Wählen Sie dann Create propagation Übertragung erstellen.

Konfigurieren Sie die Routing-Tabelle, die Ihrer VPC und dem Anhangsubnetz zugeordnet ist

  1. Wählen Sie in der Amazon-VPC-Konsole Route tables aus.
  2. Wählen Sie die Routing-Tabelle aus, die dem Anhangsubnetz zugeordnet ist.
  3. Wählen Sie die Registerkarte Routes und dann Edit routes (Routen bearbeiten) aus.
  4. Wählen Sie die Registerkarte Add route (Route hinzufügen).
    Wählen Sie unter Destination (Ziel) das Subnetz des On-Premises-Netzwerks aus.
    Wählen Sie für Target Ihr Transit-Gateway aus.
  5. Wählen Sie Save routes (Routen speichern).

Hinweis: Wenn Ihr Anwendungsfall einen restriktiveren Zugriff zwischen Ihren VPCs erfordert, erstellen Sie für jede VPC eine separate Routing-Tabelle und konfigurieren Sie die Routen. Denken Sie daran:

  • Das Routing in der Transit-Gateway-Routing-Tabelle basiert auf der Zuordnung der Transit-Gateway-Zuordnung und der Transit-Gateway-Routing-Tabelle
  • Sie können Routen zu jedem Ziel im Transit-Gateway-Anhang in jeder Transit-Gateway-Routing-Tabelle konfigurieren. Der Transit-Gateway-Anhang muss nicht mit dieser bestimmten Routing-Tabelle verknüpft sein.

AWS OFFICIAL
AWS OFFICIALAktualisiert vor 2 Jahren