Como configuro minha conexão do Site-to-Site VPN para preferir o túnel A em vez do túnel B?

Resolução

Configure uma Site-to-Site VPN para preferir determinado túnel com VPNs estáticas ou dinâmicas.

VPNs estáticas entre um gateway do cliente e um gateway privado virtual ou gateway de trânsito

Com as VPNs estáticas, o gateway privado virtual ou gateway de trânsito envia tráfego da AWS para a rede on-premises em um único túnel VPN. A Site-to-Site VPN escolhe um túnel preferido. Para configurar uma Site-to-Site VPN para preferir um túnel específico, use uma configuração ativa/passiva em que o túnel A esteja ATIVO, mas o túnel B esteja INATIVO. Como o túnel A está ativo, o tráfego da Site-to-Site VPN para a rede on-premises atravessa o túnel A.

Se a conexão de roteamento estático tiver uma configuração ativa/ativa em que os dois túneis estejam ativos, não será possível configurar a Site-to-Site VPN para preferir um túnel específico. Por exemplo, a Site-to-Site VPN pode escolher aleatoriamente o túnel A como o túnel VPN preferido para enviar tráfego da AWS para a rede on-premises. Se o túnel A cair, o tráfego da Site-to-Site VPN será automaticamente transferido para o túnel B.

VPNs dinâmicas criadas entre um gateway do cliente e um gateway privado virtual ou um gateway de trânsito

Configurações de gateway privado virtual ou gateway de trânsito com o roteamento por ECMP desativado

Se você desativar o roteamento por ECMP (Equal Cost Multipath), a Site-to-Site VPN enviará tráfego para a rede on-premises pelo túnel A quando as seguintes condições forem verdadeiras:

• A conexão da Site-to-Site VPN tem uma configuração ativa/ativa (os dois túneis estão ativos).
• A conexão da Site-to-Site VPN anuncia os mesmos prefixos para o gateway privado virtual ou gateway de trânsito com os mesmos atributos do Protocolo de Gateway da Borda (BGP).

Observação: com uma configuração ativa/ativa, é preciso ativar o roteamento assimétrico nas interfaces de túnel virtual do gateway do cliente.

O resultado de uma configuração ativa/passiva é o mesmo para roteamento dinâmico e para roteamento passivo. Como o túnel A está ativo, o tráfego da Site-to-Site VPN para a rede on-premises atravessa o túnel A.

Configurações de gateway de trânsito com roteamento por ECMP ativado

Se você ativar o roteamento por ECMP, a carga do gateway de trânsito equilibrará a carga do tráfego entre os túneis VPN quando as seguintes condições forem verdadeiras:

• O dispositivo de gateway do cliente anuncia os mesmos prefixos nos túneis.
• Os atributos do BGP para os prefixos anunciados pelo dispositivo de gateway do cliente são idênticos nos túneis VPN. Esses atributos do BGP incluem o prefixo AS-Path, o primeiro Sistema Autônomo (AS) em AS_SEQUENCE e o Discriminador de múltiplas saídas (MED).

Para mais informações, consulte Como posso obter o roteamento ECMP com vários túneis Site-to-Site VPN associados a um gateway de trânsito?

Para restrições sobre o uso do ECMP com o Transit Gateway, consulte Equal Cost Multipath routing (Roteamento Equal Cost Multipath).

Configurações de gateway do cliente

Configure seu dispositivo de gateway do cliente para preferir um túnel Site-to-Site VPN em vez de outro. Para isso, execute qualquer uma das seguintes ações:

• Anuncie um prefixo mais específico para o gateway privado virtual ou gateway de trânsito no túnel preferido.
• Reduza o valor de AS PATH. Se os prefixos corresponderem e cada conexão VPN usar BGP, o gateway do cliente preferirá o prefixo com o AS PATH mais curto.
• Diminua o valor de MED. Se os valores de AS PATH tiverem o mesmo comprimento e o primeiro valor de AS em AS_SEQUENCE for o mesmo em todos os caminhos, o gateway do cliente comparará os valores de MED. O gateway do cliente prefere o caminho com o menor valor de MED.

Observação: é uma prática recomendada não acrescentar valores de AS PATH para que ambos os túneis tenham um valor de AS PATH igual. Com um valor AS PATH igual, o valor MED que a AWS define no túnel durante as atualizações do endpoint do túnel VPN determina a prioridade do túnel.

Observação: a AWS VPN não é compatível com ECMP para conexões Site-to-Site VPN em um gateway privado virtual. A AWS VPN é compatível com ECMP para conexões Site-to-Site VPN em um gateway de trânsito.