Come posso configurare Direct Connect e il failover VPN con Transit Gateway?

Risoluzione

Crea un gateway di transito e collega l'Amazon VPC, la VPN e Direct Connect

Completa i seguenti passaggi:

1. Crea un gateway di transito.
2. Collega l'Amazon Virtual Private Cloud (Amazon VPC) al gateway di transito.
   Nota: annota l'ID del collegamento da utilizzare in un passaggio successivo.
3. Crea un collegamento VPN sito-sito AWS.
   Nota: per una VPN statica, utilizza route statiche con un CIDR più ampio rispetto alle route propagate Border Gateway Patrol (BGP). Per ulteriori informazioni, consulta Ordine di valutazione delle route.
4. Associa AWS Direct Connect al gateway di transito.
   Nota: per ogni collegamento VPC, devi aggiungere l'intervallo CIDR dell'Amazon VPC alle interazioni con prefisso consentito per i gateway Direct Connect. AWS quindi pubblicizza i prefissi sul lato remoto tramite un'interfaccia virtuale di transito.

Nota: su un'interfaccia virtuale di transito, puoi pubblicizzare un massimo di 200 prefissi per ogni gateway di transito da AWS alle reti on-premises. Per pubblicizzare più di 200 prefissi CIDR, aggrega le route in modo che siano uguali o inferiori a 200 prefissi CIDR in base alle quote di servizio. Dopo aver aggregato le route, aggiungile alla sezione di interazioni con prefisso consentito. Per ulteriori informazioni, consulta Quote di AWS Direct Connect.

(Facoltativo) Evita il routing asimmetrico quando le route VPN sono più specifiche

I CIDR VPC pubblicizzati dalle tabelle di routing VPN di Transit Gateway sono più specifici dei CIDR pubblicizzati tramite un'interfaccia virtuale di transito. Di conseguenza, il gateway del cliente può dare priorità alla VPN sito-sito rispetto a Direct Connect e causare un routing asimmetrico.

Nota: quando crei route aggregate per i CIDR dell'Amazon VPC nel campo del prefisso consentito del gateway Direct Connect, AWS VPN verso la rete on-premises pubblicizza i CIDR di Amazon VPC.

Per risolvere il routing asimmetrico, completa i seguenti passaggi:

1. Aggiungi le route aggregate associate al gateway Direct Connect al collegamento VPN sito-sito associato alla tabella di routing del gateway di transito. Per il collegamento di destinazione nella tabella di routing, seleziona un Amazon VPC con un CIDR. Il CIDR deve far parte della route aggregata verso la tabella di routing del gateway di transito del collegamento VPN sito-sito. Devi pubblicizzare la route aggregata e le route specifiche tramite la VPN sito-sito.
2. Nel gateway del cliente della VPN sito-sito, filtra le route che pubblicizzano prefissi CIDR più specifici rispetto alla VPN. Il gateway del cliente deve avere le stesse route aggregate su entrambe le connessioni. Il gateway preferisce la connessione AWS Direct Connect.

Crea tabelle di routing del gateway di transito e configura la propagazione delle route

Nota: pubblicizza lo stesso set di prefissi durante le sessioni BGP nelle interfacce virtuali di transito di Direct Connect e nella VPN.

Completa i seguenti passaggi:

1. Apri la console Amazon VPC.
2. Nel pannello di navigazione, scegli Gateway di transito.
3. Verifica che l'opzione Tabella di routing di associazione predefinita sia impostata su False. Se è impostata su True, procedi al passaggio successivo.
4. Scegli Tabelle di routing del gateway di transito.
5. Scegli Crea una tabella di routing del gateway di transito.
6. In Tag del nome, inserisci Tabella di routing A.
7. Per ID del gateway di transito, scegli l'ID del gateway di transito.
8. Scegli Crea una tabella di routing del gateway di transito.
9. Seleziona Tabella di routing A o la tabella di routing predefinita del gateway di transito, quindi scegli Associazioni.
10. Scegli Crea associazione.
11. In Scegli il collegamento da associare, scegli gli ID di associazione per gli Amazon VPC, quindi scegli Crea associazione.
    Nota: ripeti il passaggio precedente finché il gateway Direct Connect, la VPN e i VPC Amazon non vengono visualizzati in Associazione.
12. Scegli Route table propagation (Propagazione della tabella di routing).
13. Scegli Propagazione.
14. In Scegli il collegamento da propagare, seleziona il gateway Direct Connect, la VPN e l'Amazon VPC.

Aggiorna le tabelle di routing delle sottoreti dell'Amazon VPC

Completa i seguenti passaggi:

1. Apri la console Amazon VPC.
2. Nel pannello di navigazione, scegli Tabelle di routing.
3. Seleziona la tabella di routing collegata alla sottorete del collegamento.
4. Scegli la scheda Route, quindi scegli Modifica route.
5. Scegli la scheda Aggiungi route.
6. In Destinazione, seleziona la sottorete della rete on-premises.
7. Per Target, seleziona il tuo gateway di transito.
8. Scegli Salva percorsi.

Nota: per visualizzare gli eventi di aggiornamento del routing, attiva Transit Gateway Network Manager. Per ulteriori informazioni, consulta Routing update events (Eventi di aggiornamento del routing).

Testa il failover

Utilizza il test di failover di Direct Connect nel Resiliency Toolkit per testare un failover.

Informazioni correlate

Connettività ibrida con AWS Transit Gateway