Comment configurer Direct Connect et le basculement VPN avec AWS Transit Gateway ?

Résolution

Créer une passerelle de transit et attacher votre Amazon VPC, VPN et Direct Connect

Procédez comme suit :

1. Créez une passerelle de transit.
2. Attachez votre Amazon Virtual Private Cloud (Amazon VPC) à votre passerelle de transit.
   Remarque : Notez l'ID de l’attachement à utiliser ultérieurement.
3. Créez un attachement AWS Site-to-Site VPN.
   Remarque : Pour un VPN statique, utilisez des routes statiques qui comportent un CIDR plus large que les routes propagées par le protocole de passerelle frontière (BGP). Pour plus d'informations, consultez la section Ordre d’évaluation des routes.
4. Associez AWS Direct Connect à votre passerelle de transit.
   Remarque : Pour chaque attachement de VPC, vous devez également ajouter la plage d'adresses CIDR Amazon VPC aux interactions de préfixes autorisés pour les passerelles Direct Connect. AWS annonce ensuite les préfixes au côté distant via une interface virtuelle de transit.

Remarque : Sur une interface virtuelle de transit, vous pouvez annoncer un maximum de 200 préfixes pour chaque passerelle de transit depuis AWS vers les réseaux sur site. Pour annoncer plus de 200 préfixes CIDR, résumez les routes afin qu'elles soient égales ou inférieures à 200 préfixes CIDR en fonction des quotas de service. Après avoir résumé les routes, ajoutez-les à la section sur les interactions de préfixes autorisés. Pour plus d'informations, consultez la section Quotas AWS Direct Connect.

(Facultatif) Empêcher le routage asymétrique lorsque les routes VPN sont plus spécifiques

Les CIDR de VPC que vous annoncez à partir des tables de routage de VPN Transit Gateway sont plus spécifiques que les CIDR que vous annoncez via une interface virtuelle de transit. Par conséquent, la passerelle client peut donner la priorité au Site-to-Site VPN par rapport à Direct Connect et provoquer un routage asymétrique.

Remarque : Lorsque vous créez des routes résumées pour les CIDR Amazon VPC dans le champ Préfixe autorisé par la passerelle Direct Connect, AWS VPN sur le réseau sur site annonce des CIDR Amazon VPC.

Pour résoudre le routage asymétrique, procédez comme suit :

1. Ajoutez les routes résumées que vous avez associées à la passerelle Direct Connect à l’attachement Site-to-Site VPN que vous avez associé à la table de routage de passerelle de transit. Pour l'attachement cible dans la table de routage, sélectionnez un Amazon VPC avec un CIDR. Le CIDR doit faire partie de la route résumée vers la table de routage de passerelle de transit du Site-to-Site VPN. Vous devez publier la route résumée et les routes spécifiques sur le Site-to-Site VPN.
2. Dans la passerelle client du Site-to-Site VPN, filtrez les routes qui annoncent des préfixes CIDR plus spécifiques sur le Site-to-Site VPN. La passerelle client doit avoir les mêmes routes résumées sur les deux connexions. La passerelle préfère la connexion AWS Direct Connect.

Créer des tables de routage de passerelle de transit et configurer la propagation des routes

Remarque : Annoncez le même ensemble de préfixes sur les sessions BGP dans les interfaces virtuelles de transit Direct Connect et le VPN.

Effectuez les opérations suivantes :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Passerelles de transit.
3. Vérifiez que la table de routage d’association par défaut est définie sur Faux. Si elle est définie sur Vrai, passez à l'étape suivante.
4. Sélectionnez Tables de routage de passerelle de transit.
5. Sélectionnez Créer une table de routage de passerelle de transit.
6. Dans Identification de nom, saisissez Table de routage A.
7. Dans ID de passerelle de transit, choisissez l'ID de votre passerelle de transit.
8. Sélectionnez Créer une table de routage de passerelle de transit.
9. Sélectionnez Table de routage A ou la table de routage par défaut de votre passerelle de transit, puis choisissez Associations.
10. Sélectionnez Créer une association.
11. Pour Choisir un attachement à associer, choisissez les ID d'association pour vos Amazon VPC, puis choisissez Créer une association.
    Remarque : Répétez l’étape précédente jusqu'à ce que votre passerelle Direct Connect, votre VPN et vos Amazon VPC s'affichent tous sous Association.
12. Choisissez Propagation de la table de routage.
13. Choisissez Propagation.
14. Pour Choisir l'attachement à propager, sélectionnez votre passerelle Direct Connect, votre VPN et vos Amazon VPC.

Mettre à jour les tables de routage de sous-réseaux Amazon VPC

Procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Tables de routage.
3. Sélectionnez la table de routage attachée au sous-réseau d’attachements.
4. Choisissez l'onglet Routes, puis sélectionnez Modifier les routes.
5. Choisissez l'onglet Ajouter une route.
6. Pour Destination, sélectionnez le sous-réseau du réseau sur site.
7. Pour le champ Cible, sélectionnez votre passerelle de transit.
8. Choisissez Enregistrer les itinéraires.

Remarque : Pour consulter vos événements de mise à jour du routage, activez Transit Gateway Network Manager. Pour plus d'informations, consultez la section Événements de mise à jour du routage.

Tester le basculement

Utilisez le test de basculement Direct Connect du kit d’outils de résilience pour tester un basculement.

Informations connexes

Connectivité hybride à AWS Transit Gateway