VPC-to-VPC inspeksi lalu lintas - AWS Panduan Preskriptif

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

VPC-to-VPC inspeksi lalu lintas

VPC-to-VPC inspeksi lalu lintas terjadi ketika lalu lintas berasal dari satu VPC dan ditakdirkan untuk yang lain. VPC Lalu lintas dialihkan ke alat VPC untuk inspeksi lalu lintas sebelum tiba di tujuan. VPC Diagram berikut menunjukkan bagaimana arus lalu lintas jika instans Amazon Elastic Compute Cloud (AmazonEC2) Workload spoke VPC1 perlu berkomunikasi dengan EC2 instance. Workload spoke VPC2

Diagram arsitektur inspeksi lalu lintas antara dua palang VPCs dan alat VPC

Dalam kasus penggunaan ini, dua spoke VPCs menampung EC2 instans beban kerja di dua Availability Zone dan sebuah alat VPC menampung peralatan firewall pihak ketiga untuk inspeksi lalu lintas. VPCsMereka saling berhubungan menggunakan AWS Transit Gateway. Diagram menunjukkan aliran paket berikut ketika sebuah EC2 instance Workload spoke VPC1 di Availability Zone 1 mengirimkan paket ke instance Workload spoke VPC2 di Availability Zone 1:

  1. Paket dari sebuah EC2 instance Workload spoke VPC1 di Availability Zone 1 masuk ke Transit Gateway elastic network interface di subnet gateway transit di Availability Zone 1.

  2. Berdasarkan rute default yang ditentukan dalam tabel VPC rute, paket mendarat di gateway transit.

  3. Di gateway transit, tabel rute gateway transit spoke dikaitkan dengan Workload spoke VPC1 lampiran yang menentukan lompatan berikutnya.

  4. Hop berikutnya adalah alatVPC. Karena VPC lampiran alat mengaktifkan mode alat, gateway transit menentukan antarmuka elastis network Transit Gateway mana yang akan meneruskan lalu lintas, berdasarkan 4 tupel paket IP.

  5. Jika Transit Gateway memilih elastic network interface Transit Gateway di Availability Zone 1 diAppliance VPC, lalu lintas tetap ke Availability Zone 1 untuk permintaan dan lalu lintas respons.

  6. Lalu lintas dikirim ke Gateway Load Balancer endpoint 1 dalam Availability Zone 1.

  7. Endpoint Load Balancer Gateway secara logis terhubung ke Load Balancer Gateway menggunakan. AWS PrivateLink Load Balancer Gateway menggunakan algoritma hash 4-tuple untuk memilih alat firewall untuk masa pakai aliran dan kemudian meneruskan lalu lintas untuk diperiksa ke alat tersebut di Availability Zone 1. Appliance VPC Load Balancer Gateway membuat GENEVE terowongan antara itu dan alat firewall.

  8. Lalu lintas diperiksa berdasarkan kebijakan firewall.

  9. Setelah paket berhasil diperiksa, paket dikirim kembali ke Load Balancer Gateway dan kemudian ke titik akhir Gateway Load Balancer di Availability Zone 1. Appliance VPC

  10. Pada titik akhir Load Balancer Gateway, paket dikirim ke gateway transit berdasarkan tabel rute. VPC

  11. Setelah paket tiba di gateway transit, ia memeriksa tabel rute yang terkait untuk 10.2.0.0/16 jaringan, yang merupakan jaringan tujuan.

  12. Paket dikirim ke Transit Gateway elastic network interface Workload spoke VPC2 di Availability Zone 1 sebelum tiba di instance tujuanEC2. Lalu lintas kembali mengikuti jalur yang sama tetapi sebaliknya.

catatan

Transit Gateway mempertahankan afinitas Availability Zone dan menggunakan Availability Zone yang sama dengan permintaan asli yang dibuat. Misalnya, jika sebuah EC2 instance Workload spoke VPC2 di Availability Zone 2 memulai permintaan, paket diteruskan ke subnet elastic network interface Transit Gateway di Availability Zone 2, mendarat Workload spoke VPC2 di gateway transit, dan kemudian diteruskan ke Transit Gateway elastic network interface subnet di Availability Zone 2 di tujuan. VPC Dengan menyalakan mode alat di alatVPC, Anda dapat memastikan bahwa aliran simetri dipertahankan menggunakan hash 4-tuple untuk masa pakai lalu lintas.