Como faço para permitir a comunicação entre várias VPCs a partir de uma única conexão VPN conectada ao meu gateway de trânsito, mas não permitir que as VPCs acessem umas às outras?

Resolução

Crie um gateway de trânsito e, em seguida, conecte suas VPCs e uma Site-to-Site VPN

Execute as seguintes etapas:

1. Abra o console da Amazon Virtual Private Cloud (Amazon VPC).
2. Crie um gateway de trânsito.
   Observação: desative a configuração Associação da tabela de rotas padrão ao criar seu gateway de trânsito.
3. Conecte sua VPC ao seu gateway de trânsito.
4. Crie uma conexão AWS Site-to-Site VPN e conecte-a ao seu gateway de trânsito.
   Observação: para propagar automaticamente as rotas VPN para a tabela de rotas do gateway de trânsito, escolha Dinâmica para a Opção de roteamento. Essa opção exige o Protocolo de Gateway da Borda (BGP).

Crie uma tabela de rotas do gateway de trânsito e associe-a às suas VPCs

Execute as seguintes etapas:

1. Abra o console da Amazon VPC.
2. No painel de navegação, escolha gateways de trânsito.
3. Verifique se a configuração da Tabela de rotas de associação padrão para seu gateway de trânsito está definida como Desativar.
   Observação: se a Associação da tabela de rotas padrão estiver definida como Ativar, exclua primeiro as associações de VPN e VPCs da tabela de rotas do gateway de trânsito padrão.
4. Escolha Tabelas de rotas do gateway de trânsito.
5. Escolha Criar tabela de rotas do gateway de trânsito e, em seguida, execute as etapas a seguir:
   Em Etiqueta de nome, insira Tabela de rotas A.
   Para ID do gateway de trânsito, escolha o ID do gateway de trânsito.
6. Escolha Criar tabela de rotas do gateway de trânsito.
7. Selecione a tabela de rotas.
8. Escolha Associações e, em seguida, escolha Criar associação.
9. Em Escolher anexo a ser associado, escolha os IDs de anexo do gateway de trânsito para suas VPCs.
10. Escolha Criar associação. Repita as etapas 9 e 10 até que todas as suas VPCs apareçam em Associações.

Crie uma segunda tabela de rotas do gateway de trânsito e associe-a à sua conexão VPN

Execute as seguintes etapas:

1. Abra o console da Amazon VPC.
2. No painel de navegação, escolha Tabelas de rotas de gateway de trânsito.
3. Escolha Criar tabela de rotas do gateway de trânsito e, em seguida, execute as etapas a seguir:
   Em Etiqueta de nome, insira Tabela de rotas B.
   Para ID do gateway de trânsito, escolha o ID do gateway de trânsito.
4. Escolha Criar tabela de rotas do gateway de trânsito.
5. Selecione a tabela de rotas.
6. Escolha Associações e, em seguida, escolha Criar associação.
7. Em Escolher anexo para associar, escolha o ID do anexo do gateway de trânsito para sua conexão VPN.
8. Escolha Criar associação.

Propague rotas de suas VPCs e VPN para as respectivas tabelas de rotas

Execute as seguintes etapas:

1. Abra o console da Amazon VPC.
2. No painel de navegação, escolha Tabelas de rotas de gateway de trânsito.
3. Selecione a Tabela de rotas A.
4. Escolha Propagações e, em seguida, escolha Criar propagação.
5. Em Escolher anexo a ser propagado, escolha a propagação para a conexão VPN. 
   Importante: se você criou uma conexão VPN de rota estática, então crie uma rota estática para a rede on-premises até a VPN na tabela de rotas A. Para conexões VPN estáticas baseadas em políticas, somente um par de associações de segurança (SAs) é permitido. Consolide o CIDR on-premises e o CIDR do VPC em uma única SA. Para mais informações, consulte Como soluciono problemas de conexão entre um endpoint de VPN da AWS e uma VPN baseada em políticas?
6. Escolha Criar propagação.
7. Nas tabelas de rotas do gateway de trânsito, selecione Tabela de rotas B.
8. Escolha Propagações e, em seguida, escolha Criar propagação.
9. Em Escolher anexo para propagar, escolha os IDs de anexo do gateway de trânsito para suas VPCs.
10. Escolha Criar propagação. Repita as etapas 9 e 10 até que todas as suas VPCs apareçam em Propagações.

Configure a tabela de rotas associada à sua Amazon VPC e à sub-rede de anexos

Execute as seguintes etapas:

1. em console da Amazon VPC.
2. No painel de navegação, escolha Tabelas de rotas.
3. Escolha a tabela de rotas anexada à sub-rede da instância de origem do Amazon Elastic Compute Cloud (Amazon EC2).
4. Escolha a etiqueta Rotas e, em seguida, escolha Editar rotas.
5. Escolha a etiqueta Adicionar rota e, em seguida, execute as etapas a seguir:
   Em Destino, escolha a sub-rede da rede local.
   Para Alvo, escolha seu gateway de trânsito.
6. Escolha Salvar rotas.

Se você precisar ter acesso restritivo entre suas VPCs, crie uma tabela de rotas separada para cada VPC e configure as rotas. O roteamento da tabela de rotas do gateway de trânsito é baseado na associação do anexo do gateway de trânsito e da tabela de rotas do gateway de trânsito. É possível configurar rotas para qualquer anexo do gateway de trânsito de destino em qualquer tabela de rotas do gateway de trânsito. Você não precisa associar o anexo do gateway de trânsito de destino à tabela de rotas específica.

Informações relacionadas

Como soluciono problemas de conectividade local com a VPC por meio do gateway de trânsito?

Por que não consigo me conectar ao Amazon VPC quando uso uma VPN site a site que termina em um gateway de trânsito?