如何透過 BGP 藉由 Direct Connect 連線將 VPC 路由公告給內部部署網路？

2 分的閱讀內容

我想要透過 AWS Direct Connect VIF BGP 工作階段將 Virtual Private Cloud (Amazon VPC) 路由公告給內部部署網路。

簡短描述

AWS 透過 Direct Connect Border Gateway Protocol (BGP) 工作階段公告給內部部署的路由取決於以下連線類型：

Direct Connect 私有 VIF 已連線至虛擬私有閘道 (VGW)
Direct Connect 私有 VIF 已連線至與 VGW 關聯的 Direct Connect 閘道
Direct Connect 傳輸 VIF 已連線至與 Transit Gateway關聯的 Direct Connect 閘道

解決方案

Direct Connect 內部部署網路透過 BGP 或透過重新分發至 BGP 來手動公告路由。AWS 重新公告到內部部署的路由依閘道類型而變更。

Direct Connect 私有 VIF 正在連線至 VGW

與 VGW 關聯的 VPC 的 IPv4/IPv6 CIDR 會自動公告到內部部署 BGP 對等。例如，VPC 的 CIDR 10.55.0.0/16 VGW 與私有 VIF 直接關聯。前綴 10.55.0.0/16 會自動公告到內部部署。如果存在與 VPC 關聯的其他 CIDR，則這些前綴會公告到 BGP 對等。

Direct Connect 私有 VIF 已連線至與 VGW 關聯的 Direct Connect 閘道

您最多可擁有 10 個與 Direct Connect 關聯的 VGW。所有 VPC CIDR 前綴都已公告到內部部署 BGP 對等。允許的前綴清單將篩選從 AWS 到內部部署 BGP 對等的 BGP 公告。

允許的前綴清單允許相同的 CIDR 或 CIDR 的較小子網路公告到 Direct Connect。

在以下範例中，VPC-A CIDR 10.77.0.0/16、VPC-B CIDR 10.66.0.0/16 和 VPCC 192.168.0.0/16 已連接至 Direct Connect 閘道

如果允許的前綴清單設定為僅允許 10.0.0.0/8，則在內部部署 BGP 對等級接收前綴 10.77.0.0/16 和 10.66.0.0/16。這是因為前綴是允許的前綴清單的子網路，但 192.168.0.0/16 在內部部署 BGP 對等上沒有接收。

如果允許的前綴清單設定為允許 10.0.0.0/8 和 192.168.5.0/24，則在內部部署 BGP 對等級接收前綴 10.77.0.0/16 和 10.66.0.0/16。這是因為前綴是允許的前綴清單的子網路，但 192.168.0.0/16 在內部部署 BGP 對等上沒有接收，因為該 IP 範圍與允許的清單不相符。

Direct Connect 傳輸 VIF 正在連線至與 Transit Gateway 關聯的 Direct Connect 閘道

您可以將一個 Direct Connect 閘道連線至最多三個 Transit Gateway。數百個 VPC 可在 Transit Gateway 中以及透過 Direct Connect 連線來直接傳送流量。內部部署網路必須有所有個別 VPC 的路由，或使用彙總路由。透過 Direct Connect 從 Transit Gateway 公告到內部部署的路由已在允許的前綴中定義。

所有前綴都會公告到內部部署 BGP 對等。允許的前綴清單將會從 Transit Gateway 公告到內部部署 Direct Connect 對等。您可以公告任何 IP 地址 (如 8.8.8.8/32) 的路由，即使該路由並非連線至 Transit Gateway 的 VPC CIDR。

Transit Gateway 允許的前綴清單具有 20 個前綴限制。在以下範例中，VPC-A CIDR 10.77.0.0/16、VPC-B CIDR 10.66.0.0/16 和 VPCC 192.168.0.0/16 已連接至連線至 Direct Connect 閘道的 Transit Gateway。如果允許的前綴清單設定為允許 10.0.0.0/8 和 192.168.5.0/24，您將不會在內部部署網路上收到三個 VPC CIDR 前綴。而是會收到透過 BGP 公告的前綴 10.0.0.0/8 和 192.168.5.0/24。

如果允許的前綴清單設定為允許 10.0.0.0/8 和 192.168.0.0/16，您將收到透過 BGP 公告的前綴 10.0.0.0/8 和 192.168.0.0/16。

如果允許的前綴清單設定為僅允許 0.0.0.0/0，則您只會收到透過 BGP 公告的預設路由 0.0.0.0/0。

對與 Direct Connect 閘道關聯的 VGW 或 Transit Gateway 上允許的前綴所做的變更將會針對路由進行更新，並且不會關閉 BGP 工作階段。

**注意：**對允許的前綴清單所做的變更可能需要幾分鐘才能傳播。