AWS Transit Gateway 概述和最佳实战

Posted in: AWS Transit Gateway

介绍

让我们使用 AWS Trasit Gateway 连接到 AWS 网络服务。

有以下四种情况。还描述了每个的设置过程。

① 连接中转网关和VPC
②尝试使用 VPN 连接 Transit Gateway 和本地环境
③尝试不同VPC之间的连接
④尝试连接其他地域的VPC

从那时起，我们将构建上面的步骤1到4。

① 连接中转网关和VPC

构成

首先，构建 Transit Gateway 并将其连接到 VPC。之后，我们将连接到本地或连接到另一个VPC或区域，但这只是初步准备。

此外，虽然 Transit Gateway 连接的子网是“tyo_vpc01_1a_pri_gw_sub01”和“tyo_vpc01_1d_pri_gw_sub01”，但不会在这些子网中创建实例。这将是 Transit Gateway 的专用子网。原因是因为以下建议。

*以下 AWS官方博客摘自

问：我想提供一个更具体的示例，并解释在附加 VPC 时指定的子网作为仅附加子网的必要性。您说它会影响该子网内 EC2 实例的路由，但它会产生什么样的影响呢？我想了解更多相关信息。
答：如果 EC2 实例与具有传输网关 (TGW) 连接的实例位于同一子网中，则该 EC2 实例引用与 TGW 相同的路由表。
例如，如果您在具有用于 VPC 内联审核的 TGW ENI 的子网上安装 EC2 实例，则该 EC2 实例将始终被吸入中间盒 ENI 中以进行内联审核，从而无法创建该实例所需的路由表。 EC2 实例将会消失。为了防止这种情况发生，我们建议为 TGW 创建专用子网。

https://aws.amazon.com/jp/blogs/news/webinar-bb-aws-transit-gateway-2019/

设定方法

现在让我们进入设置。

首先，从“VPC”中选择“Transit Gateway”，然后按“创建 Transit Gateway”。

输入任何名称标签并输入“亚马逊自治系统编号 (ASN)”。这将是以后配置 BGP 时的 AS 编号。其他设置为默认值。输入完成后，按“创建中转网关”按钮。

验证状态是否变为可用。

接下来，将 Transit Gateway 连接到子网。首先，选择“Transit Gateway 附件”并按“创建 Transit Gateway 附件”。

在 Transit Gateway 连接屏幕上输入以下信息。

验证状态是否变为可用。

这就是设置的全部内容。在下一页上，使用 VPN 连接 Transit Gateway 和本地环境。

②尝试通过 VPN 连接 Transit Gateway 和本地环境

构成

接下来，使用您之前创建的 Transit Gateway 将本地连接到 VPN。

在施工过程中，我们将完成以下工作：

创建客户网关（创建本地VPN设备的信息）
从 Site-to-Site VPN 下载本地 VPN 设备的示例配置
构建本地 VPN 设备
将本地路由添加到 VPC 路由表
将客户网关连接到您刚刚构建的 Transit Gateway

设定方法

首先，创建客户网关。客户网关注册本地VPN设备的VPN终结IP地址。我们的环境使用 Fortigate。

验证状态是否变为可用。

接下来，将您之前创建的客户网关附加到 Transit Gateway。

验证状态是否变为可用。

这就是AWS端的所有设置。最后，当您查看站点到站点 VPN 时，会看到一个带有 Transit Gateway 和附加客户网关的设置，因此选择它并“下载设置”。此设置是本地 VPN 设备的示例配置。

下载示例配置后，您需要将其放入实际机器中，但本文中我们将省略这一点。

此外，如果本地 VPN 设备可以毫无问题地设置 VPN 和 BGP，则将与 AWS 建立连接，状态将显示为“Up”，详细信息将显示为“X BGP ROUTERS”，如下所示如下所示。

我还将附上本地路由表以供参考。 *您可以看到 BGP 正在学习 VPC (tyo_vpc_01) 的 10.1.0.0/16。（12号线路线）

FGT60D # get router info routing-table all

Routing table for VRF=0
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default

S*      0.0.0.0/0 [5/0] via 61.26.71.129, wan1
B       10.1.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 00:01:30
C       61.26.71.128/25 is directly connected, wan1
C       169.254.157.108/30 is directly connected, P1_AWS-vpn2-T1
C       169.254.157.110/32 is directly connected, P1_AWS-vpn2-T1
C       169.254.181.80/30 is directly connected, P1_AWS-vpn2-T2
C       169.254.181.82/32 is directly connected, P1_AWS-vpn2-T2
C       192.168.0.0/24 is directly connected, internal1


FGT60D #

最后，在应用于VPC的路由表中配置本地路由。

将本地网络路由到目标 Transit Gateway。

验证配置的路由现在是否处于活动状态。

这样就通过 Transit Gateway 完成了本地与 AWS 之间的连接。确认从本地PC到EC2实例的traceroute成功。（我假设没有显示 2 跳，因为它们是 VPN 隧道）

C:\Users\ktrwa>tracert -d 10.1.11.100

10.1.11.100 へのルートをトレースしています。経由するホップ数は最大 30 です

  1     4 ms     8 ms     8 ms  192.168.0.254
  2     *        *        *     要求がタイムアウトしました。
  3    12 ms    19 ms    15 ms  10.1.11.100

トレースを完了しました。

C:\Users\ktrwa>

这就是 Transit Gateway VPN 连接的全部内容。在下一页中，我们将在不同的 VPC 之间进行连接。

③尝试不同VPC之间的连接

构成

接下来，通过 Transit Gateway 连接两个 VPC。

在施工过程中，我们将完成以下工作：

将 VPC (tyo_vpc_02) 连接到已创建的 Transit Gateway
将本地路由添加到VPC（tyo_vpc_02）的路由表中

设定方法

验证状态是否变为可用。

接下来，将本地路由添加到 tyo_vpc_02 的路由表中，该路由表将成为连接目标。

验证添加的路由状态是否为Active。

如果查看本地路由表，您可以看到 tyo_vpc_02 (10.2.0.0/16) 网络是使用 BGP 获知的。（见第 13 行）

FGT60D # get router info routing-table all

Routing table for VRF=0
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default

S*      0.0.0.0/0 [5/0] via 61.26.71.129, wan1
B       10.1.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 09:18:42
B       10.2.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 00:06:26
C       61.26.71.128/25 is directly connected, wan1
C       169.254.157.108/30 is directly connected, P1_AWS-vpn2-T1
C       169.254.157.110/32 is directly connected, P1_AWS-vpn2-T1
C       169.254.181.80/30 is directly connected, P1_AWS-vpn2-T2
C       169.254.181.82/32 is directly connected, P1_AWS-vpn2-T2
C       192.168.0.0/24 is directly connected, internal1


FGT60D #

我们还确认可以从本地 PC 与 tyo_vpc_02 (10.2.0.0/16) 中存在的 EC2 实例进行通信。

C:\Users\ktrwa>tracert -d 10.2.1.100

10.2.1.100 へのルートをトレースしています。経由するホップ数は最大 30 です

  1     3 ms     6 ms     5 ms  192.168.0.254
  2     *        *        *     要求がタイムアウトしました。
  3    15 ms    13 ms    18 ms  10.2.1.100

トレースを完了しました。

C:\Users\ktrwa>

至此，不同VPC之间的连接就完成了。接下来，连接到另一个区域。

③尝试不同VPC之间的连接

构成

接下来，通过 Transit Gateway 连接两个 VPC。

在施工过程中，我们将完成以下工作：

将 VPC (tyo_vpc_02) 连接到已创建的 Transit Gateway
将本地路由添加到VPC（tyo_vpc_02）的路由表中

设定方法

验证状态是否变为可用。

接下来，将本地路由添加到 tyo_vpc_02 的路由表中，该路由表将成为连接目标。

验证添加的路由状态是否为Active。

如果查看本地路由表，您可以看到 tyo_vpc_02 (10.2.0.0/16) 网络是使用 BGP 获知的。（见第 13 行）

FGT60D # get router info routing-table all

Routing table for VRF=0
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default

S*      0.0.0.0/0 [5/0] via 61.26.71.129, wan1
B       10.1.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 09:18:42
B       10.2.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 00:06:26
C       61.26.71.128/25 is directly connected, wan1
C       169.254.157.108/30 is directly connected, P1_AWS-vpn2-T1
C       169.254.157.110/32 is directly connected, P1_AWS-vpn2-T1
C       169.254.181.80/30 is directly connected, P1_AWS-vpn2-T2
C       169.254.181.82/32 is directly connected, P1_AWS-vpn2-T2
C       192.168.0.0/24 is directly connected, internal1


FGT60D #

我们还确认可以从本地 PC 与 tyo_vpc_02 (10.2.0.0/16) 中存在的 EC2 实例进行通信。

C:\Users\ktrwa>tracert -d 10.2.1.100

10.2.1.100 へのルートをトレースしています。経由するホップ数は最大 30 です

  1     3 ms     6 ms     5 ms  192.168.0.254
  2     *        *        *     要求がタイムアウトしました。
  3    15 ms    13 ms    18 ms  10.2.1.100

トレースを完了しました。

C:\Users\ktrwa>

至此，不同VPC之间的连接就完成了。接下来，连接到另一个区域。

④尝试连接其他地域的VPC

构成

最后连接其他地域的VPC。

在施工过程中，我们将完成以下工作：

在大阪地区创建一个要连接的 Transit Gateway。
在大阪区域连接中转网关和 VPC (osa_vpc_01)
从东京地区的 Transit Gateway 向大阪地区的 Transit Gateway 发出对等互连请求

设定方法

构建时，首先切换到连接目的地的大阪地区，从“Transit Gateway”创建Transit Gateway。

接下来，切换到东京区域并与您之前创建的大阪区域中的 Transit Gateway 对等。

状态为待接受。（如果您在大阪地区接受请求，则可以使用）

接下来，返回大阪地区并接受东京地区的Transit Gateway附件。

验证状态是否变为可用。

至此，东京地区和大阪地区已使用 Transit Gateway 建立对等关系。剩下要做的唯一一件事就是设置路由。执行以下路由设置。

将本地路由添加到大阪地区VPC路由表
将本地路由添加到大阪地区的 Transit Gateway 路由表
将大阪地区的 VPC 路由添加到东京地区的 Transit Gateway 路由表

首先，我们设置大阪地区的路由。

接下来，将本地路由添加到 Transit Gateway 路由表中。

接下来，切换到东京区域，并在 Transit Gateway 路由表中添加大阪区域 VPC 的路由。

添加上述性路由后，该路由会发布到本地VPN设备上，可以看到它通过BGP学习到了大阪地区的VPC（10.101.0.0/16）。（14号线路线）

FGT60D # get router info routing-table all

Routing table for VRF=0
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       * - candidate default

S*      0.0.0.0/0 [5/0] via 61.26.71.129, wan1
B       10.1.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 13:47:10
B       10.2.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 04:34:54
B       10.101.0.0/16 [20/100] via 169.254.157.109, P1_AWS-vpn2-T1, 00:05:54
C       61.26.71.128/25 is directly connected, wan1
C       169.254.157.108/30 is directly connected, P1_AWS-vpn2-T1
C       169.254.157.110/32 is directly connected, P1_AWS-vpn2-T1
C       192.168.0.0/24 is directly connected, internal1


FGT60D #

本地与大阪地区VPC通信没有问题。

C:\Users\ktrwa>tracert -d 10.101.1.100

10.101.1.100 へのルートをトレースしています。経由するホップ数は最大 30 です

  1     4 ms    12 ms     7 ms  192.168.0.254
  2     *        *        *     要求がタイムアウトしました。
  3     *        *        *     要求がタイムアウトしました。
  4     *        *        *     要求がタイムアウトしました。
  5    48 ms    18 ms    29 ms  10.101.1.100

トレースを完了しました。

C:\Users\ktrwa>

以上是关于使用 Transit Gateway 连接到另一个区域的内容。最后我会做一个总结。

概括

这次，我们使用 AWS Transit Gateway 构建了以下内容并检查了实际的路由表和连接性。

最终校准的配置如下图所示，黄色区域为当前构建区域。

Transit Gateway附件如果是VPN连接的话是附加在客户网关上的，其他VPC或者其他地域的连接也是通过这个附件连接的，所以很容易理解，因为它是聚合为入口的，所以没有似乎不太可能。

另一方面，对于那些不习惯路由的人来说，路由可能看起来有点困难。至于路由表，Transit Gateway路由表和VPC侧的路由表，VPN允许动态路由，但VPC和Region之间似乎使用静态路由。
正确地画出这个区域的配置图，以及在哪里和哪里进行通信很重要，所以这里有必要添加路由。（这个想法本身与普通的本地网络相同。）

Tags: AWS Transit Gateway 概述和最佳实战