Мы настроили AWS VPC в 2 регионах, как показано выше. Теперь VPN-подключение работает между двумя экземплярами, каждый из которых напрямую подключен к VPC на каждом конце настройки VPN (то есть VPC PROD в eu-west1 и VPC PROD в ap-south1). Таким образом, «Удаленная служба» может взаимодействовать с «Prod-службой». Это показано зеленой пунктирной линией.
Поскольку между 2 VPC eu-west1 есть пиринговое соединение, я надеялся, что VPC PROD в ap-south1 сможет общаться с VPC ADMIN в eu-west1. Похоже, это не так. То есть "Удаленная служба"не могуобщаться с "Административной службой". Показано красной пунктирной линией.
VPC ADMIN имеет записи в таблице маршрутизации:
10.100.0.0/16 ==> peering connection to VPC PROD (eu-west1)
VPC PROD (eu-west1) имеет записи таблицы маршрутизации:
10.100.0.0/16 ==> Virtual Private Gateway (VPG) / VPN connection
Кроме того, VPC PROD (ap-south1) имеет записи таблицы маршрутизации:
172.20.0.0/16 and 172.30.0.0/16 ==> strongswan instance.
Я предполагаю, что проблема может быть в том, что трафик от ap-south1 поступает в маршрутизатор VPG eu-west1 и имеет жесткое требование, чтобы он мог достичь своей конечной точки в связанном с VPG VPC, и он не будет смотреть на таблицу маршрутизации VPC и, таким образом, не будет поддерживать использование соответствующей записи в таблице маршрутизации для отправки трафика на пиринговое соединение к VPC ADMIN. Может ли кто-нибудь подтвердить, должно ли это работать?
На данный момент единственный способ запустить это, похоже, создать второе VPN-подключение, которое будет иметь VPG, связанный с VPC ADMIN. Затем настройте маршрутизацию в ap-south1, чтобы она попала в старый VPN для 172.20.0.0/16 (VPC PROD)и новый VPN для 172.30.0.0/16 (VPC ADMIN). Это должно сработать, но будет стоить в два раза дороже и потребует больше настроек для поддержки...
Есть ли еще идеи, как это реализовать?
решение1
По замыслу это не работает.
Маршрутизация от края к краю через шлюз или частное соединение
Если какое-либо VPC в пиринговых отношениях имеет одно из следующих подключений, вы не можете расширить пиринговые отношения на это подключение:
- VPN-подключение
...
http://docs.aws.amazon.com/AmazonVPC/latest/PeeringGuide/invalid-peering-configurations.html
Пиринг VPC разрешает доступ только от экземпляра к экземпляру через границу VPC. Он не разрешает доступ к какому-либо «шлюзу», например, интернет-шлюзу, шлюзу NAT, конечной точке сервиса VPC, AWS Direct Connect или аппаратному VPN.
Трафик, проходящий через пиринговое соединение, не может «транзитировать» VPC и выйти на другую сторону.
решение2
Есть несколько партнеров AWS Networking, которые предоставляют пиринговые соединения между регионами и/или между учетными записями.https://aws.amazon.com/networking/partner-solutions/
решение3
Вам необходимо использовать экземпляры EC2 для обеспечения маршрутизации Edge to Edge. Документ ниже https://aws.amazon.com/answers/networking/aws-multiple-vpc-vpn-connection-sharing/ Транзитный участок VPC