Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Greifen Sie auf Netzwerksegmente zu über AWS PrivateLink

Sie können über einen Tunnel-VPC-Endpunkt (Tunnelendpunkt) privat auf ein Netzwerksegment in einer anderen VPC zugreifen. Über einen Tunnelendpunkt können Sie privat und sicher auf Ressourcen zugreifen, die sich innerhalb einer Reihe von CIDR-Bereichen in einem anderen Netzwerk befinden. Ein CIDR-Bereich stellt ein Netzwerksegment dar, sodass eine Verbraucheranwendung jede Ressource innerhalb dieses Netzwerksegments erreichen kann, ohne dass der Anbieter jede Ressource auflisten muss. Dies ist nützlich, wenn die Ressourcen kurzlebig sind oder nicht im Voraus bekannt sind. Bei Tunnel-Endpunkten müssen Sie mithilfe der GENEVE-Kapselung in eine andere VPC tunneln.

Preisgestaltung

Wenn Sie über einen Tunnelendpunkt auf ein Netzwerksegment zugreifen, wird Ihnen jede Stunde in Rechnung gestellt, in der Ihr Tunnelendpunkt bereitgestellt wird. Die Abrechnung erfolgt auch pro GB an verarbeiteten Daten, wenn Sie auf das Netzwerksegment zugreifen. Weitere Informationen finden Sie unter AWS PrivateLink Preise. Wenn Sie Ihr Netzwerksegment mithilfe von Ressourcenkonfigurationen und Ressourcen-Gateways gemeinsam nutzen, wird Ihnen pro GB an Daten, die von Ihren Ressourcen-Gateways verarbeitet werden, in Rechnung gestellt. Weitere Informationen finden Sie unter Amazon VPC Lattice Preise.

-Übersicht

Sie können auf Netzwerksegmente in Ihrem Konto oder auf solche, die von einem anderen Konto aus für Sie freigegeben wurden, zugreifen. Um auf ein Netzwerksegment zuzugreifen, erstellen Sie zunächst einen Tunnelendpunkt, der eine Verbindung zwischen Ihrer VPC und einem Ressourcen-Gateway in der VPC herstellt, von der aus das Netzwerksegment gemeinsam genutzt wird. Anschließend kapseln Sie den Anwendungsdatenverkehr mit GENEVE und senden ihn an den Tunnelendpunkt. Der Endpunkt entfernt den GENEVE-Header und sendet das innere Paket an sein Ziel in der anderen VPC. Dabei wird überprüft, ob das Ziel in dem Netzwerksegment liegt, das von der anderen VPC aus mit Ihnen geteilt wurde. Wenn es außerhalb liegt, erlaubt der Endpunkt keinen Zugriff darauf.

Überlegungen

GENEVE-Verkapselung

Der Anwendungsverkehr muss in GENEVE gekapselt sein. Der GENEVE-Verkehr muss UDP und Port 6081 am Tunnelendpunkt verwenden. Der VNI muss auf eingestellt sein. 0 Das innere Paket muss ein Layer-3-IP-Paket sein. Im inneren Paket wird UDP nur für DNS-Abfragen unterstützt. Der reguläre Anwendungsverkehr im inneren Paket muss über TCP erfolgen.

DNS-Hostnamen

Ein Tunnelendpunkt hat einen regionalen DNS-Namen. Er wird in IPs in den Subnetzen aufgelöst, in denen der Tunnelendpunkt erstellt wird. Diese IPs sollten das Ziel Ihres GENEVE-encapsulated Datenverkehrs sein, nicht des Anwendungsdatenverkehrs. Private DNS-Namen werden für Tunnelendpunkte nicht unterstützt.

DNS-Auflösung

Mit einem Tunnelendpunkt können Sie DNS im Kontext der VPC auflösen, die das Netzwerksegment gemeinsam nutzt. Sie können eine Domain über den Tunnelendpunkt mit dem DNS-Resolver der Remote-VPC auflösen. Dazu verwenden Sie ihn 169.254.168.253 als Nameserver. Sie legen es als Ziel der DNS-Abfrage im inneren Paket fest und kapseln es in GENEVE, wie Sie es für den Anwendungsverkehr tun. Die DNS-Auflösung sieht genauso aus wie für einen Client in der Remote-VPC. Sie basiert auf dem konfigurierten DHCP-Optionssatz der Remote-VPC. Es berücksichtigt private gehostete Routen 53-Zonen oder benutzerdefinierte Resolver, die in der Remote-VPC konfiguriert sind.

Privates DNS

Private DNS-Namen werden für Tunnelendpunkte nicht unterstützt.

Subnetze und Availability Zones

Sie können Ihren Tunnelendpunkt mit einem Subnetz pro Availability Zone konfigurieren. Elastische Netzwerkschnittstellen werden für den Endpunkt in diesen Subnetzen erstellt. Jedem ENI wird aus seinem Subnetz eine IP-Adresse zugewiesen, die auf dem IP-Adresstyp des Endpunkts basiert. In einer Produktionsumgebung empfehlen wir aus Gründen der Hochverfügbarkeit und Ausfallsicherheit, mindestens zwei Availability Zones für jeden Endpunkt zu konfigurieren. Die Subnetze des Endpunkts müssen sich so befinden Availability Zones , dass sie sich mit den Availability Zones Subnetzen überschneiden, in denen sich das Ressourcen-Gateway befindet.

IP-Adresstypen

Die äußeren und inneren Pakete können unterschiedliche IP-Typen haben. Die folgenden Kombinationen werden unterstützt: IPv4 über IPv4, IPv6 über IPv4, IPv4 über IPv6 und IPv6 über IPv6.

Der IP-Typ des Tunnelendpunkts entscheidet über den IP-Typ des äußeren GENEVE-Pakets. Der IP-Typ der Remote-VPC entscheidet über den IP-Typ des inneren Pakets. Ein Netzwerksegment, das gemeinsam genutzt wird, kann sowohl IPv4- als auch IPv6-Bereiche haben.

Tunnel-Endpunkte unterstützen IPv4-, IPv6- oder Dualstack-Adressen. Der IP-Adresstyp eines Tunnelendpunkts muss mit den Subnetzen für den Tunnelendpunkt kompatibel sein, wie hier beschrieben:

Die IPv6-Adressen des Endpunkts sind über das Internet nicht erreichbar. denyAllIgwTrafficist auf seinen Netzwerkschnittstellen aktiviert.