如何将我的 Site-to-Site VPN 连接配置为首选隧道 A 而不是隧道 B?

1 分钟阅读
1

我的 AWS Site-to-Site VPN 连接由两个虚拟专用网络(VPN)隧道组成。这些隧道存在于客户网关设备与虚拟私有网关或中转网关之间。在将流量从 AWS 发送到本地网络时,如何确保隧道 A 优先于隧道 B?

解决方法

在客户网关和虚拟私有网关或中转网关之间创建的静态 VPN

在这种情况下,虚拟私有网关或中转网关通过单个 VPN 隧道将流量从 AWS 发送到本地网络。此隧道由 AWS 随机选择,被称为首选隧道

如果 AWS VPN 连接(静态路由类型)具有主动/主动配置(两条隧道都启动),则您无法将 AWS 配置为首选特定隧道来发送流量。例如,AWS 随机选择隧道 A 作为将流量从 AWS 发送到本地网络的首选 VPN 隧道。如果隧道 A 出现故障,则来自 AWS 的流量会自动故障转移到隧道 B。
**注意:**对于主动/主动配置,客户网关必须在虚拟隧道接口上激活非对称路由。

如果 AWS VPN 连接(静态路由类型)具有主动/被动配置(隧道 A 处于 UP 状态,但隧道 B 处于 DOWN 状态),则从 AWS 到本地网络的流量将遍历隧道 A,因为它处于 UP 状态。

在客户网关和虚拟私有网关或中转网关之间创建的动态 VPN

适用于停用 ECMP 的虚拟私有网关或中转网关配置

在 AWS VPN 连接时,从 AWS 到本地网络的流量将通过首选隧道(由 AWS 随机选择)发送:

  • 具有主动/主动配置(两条隧道都启动),以及
  • 是否将相同的前缀广告给具有相同边界网关协议(BGP)属性的虚拟私有网关或中转网关。
    **注意:**对于主动/主动配置,客户网关必须在虚拟隧道接口上激活非对称路由。

如果 AWS VPN 连接(动态路由类型)具有主动/被动配置(隧道 A 已处于 UP 状态,但隧道 B 处于 DOWN 状态),则从 AWS 到本地网络的流量将遍历隧道 A,因为它处于 UP 状态。

适用于激活 ECMP 的中转网关配置

中转网关在 VPN 隧道之间对从 AWS 到本地网络的流量进行负载平衡:

  • 如果客户网关设备通过隧道公布相同的前缀,以及
  • 从客户网关设备公布的前缀的 BGP 属性在 VPN 隧道上必须相同。这些 BGP 属性包括 AS_SEQUES MED 中的 AS-Path 前置和第一个 AS。

对于动态 AWS VPN 连接

通过利用首选项标准的顺序,将客户网关设备设置为首选一个 VPN 隧道而不是另一条 VPN 隧道:

  1. 向客户希望从 AWS 接收流量的隧道上的虚拟私有网关或中转网关公布更具体的前缀。
  2. 要匹配每个 VPN 连接使用 BGP 的前缀,请比较 AS PATH,并首选带有最短 AS PATH 的前缀。
  3. 如果 AS 路径长度相同,并且 AS_SEQUES 中的第一个 AS 在多条路径中相同时,将比较多出口鉴别器 (MED)。最好使用 MED 值最低的路径。

**注意:**最佳做法是避免使用 AS Path 前置,以便两条隧道具有相等的 AS PATH 值。如果 AS PATH 值相等,AWS 在 VPN 隧道端点更新期间在隧道上设置的 MED 值将决定隧道优先级。

虚拟私有网关上的 Site-to-Site VPN 连接不支持 ECMP。
中转网关上的 Site-to-Site VPN 连接支持 ECMP。


AWS 官方
AWS 官方已更新 2 年前