View a markdown version of this page

Esegui la migrazione della tua rete verso AWS - AWS Trasformazione
Fase 1: mappatura della rete di origineFase 2: file di configurazione aggiuntiviFase 3: Topologie di reteFase 4: mappatura dei gruppi di sicurezzaFase 5: Rivedi e ottimizza la tua reteFase 6: Diagramma di reteFase 7: Configurare la codifica delle risorseFase 8: Implementa la tua reteElimina le risorse di rete distribuiteEstrazione dei file di configurazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esegui la migrazione della tua rete verso AWS

Con AWS Transform, puoi migrare la tua rete AWS in una frazione del tempo necessario per la progettazione e l'implementazione manuale. AWS Transform utilizza un AI-powered agente per tradurre la configurazione dell'ambiente di origine in risorse di AWS rete pronte per la produzione, tra cui VPC, sottoreti, gruppi di sicurezza, gateway NAT, gateway di transito, IP elastici, percorsi e tabelle di percorso. È possibile rivedere e modificare la configurazione di rete generata tramite un'interfaccia conversazionale prima dell'implementazione. Puoi implementarlo direttamente con AWS Transform o scegliere l'autodistribuzione e ricevere Infrastructure as Code (IaC) nel tuo formato preferito: Kit di sviluppo per il cloud AWS (AWS CDK) Landing Zone Accelerator (LZA) o Terraform. HashiCorp

L'agente AWS Transform ti guida attraverso i seguenti passaggi, gestendo l'analisi e la generazione mentre prendi le decisioni:

  1. Carica il tuo file di rete di origine.

  2. Carica file di configurazione aggiuntivi (opzionale, per ambienti RVTools).

  3. Seleziona una topologia di rete.

  4. Seleziona una strategia di mappatura dei gruppi di sicurezza.

  5. Rivedi e ottimizza la tua rete.

  6. Genera un diagramma di rete (opzionale).

  7. Configurare l'etichettatura delle risorse.

  8. Implementa la tua rete.

Nota

Per le implementazioni con più account, è necessario configurare i ruoli IAM tra account e l'accesso affidabile per AWS le organizzazioni prima di iniziare la migrazione della rete. Per ulteriori informazioni sui tipi di migrazione, vedere. Fase 1: selezione del tipo di migrazione

Fase 1: mappatura della rete di origine

AWS Transform genera l'infrastruttura di rete di destinazione da un'ampia varietà di file di configurazione della rete di origine. Carica uno o più file di configurazione dal tuo ambiente di origine e AWS Transform utilizza le informazioni per generare reti di destinazione tra cui Amazon VPC, sottoreti e gruppi di sicurezza. Sebbene AWS Transform non generi risorse firewall o di bilanciamento del carico, la configurazione di questi elementi di rete può essere utilizzata come input per generare reti di destinazione.

AWS Transform accetta file di configurazione dai seguenti tipi di origine:

  • Software Defined Networks (SDN): Import/Export per la virtualizzazione della rete VMware NSX o Cisco ACI config per Cisco Application Centric Infrastructure.

  • Reti VMware vSphere: RVTools. Quando usi i file RVTools, Transform genera solo configurazioni Amazon VPC AWS . Le configurazioni dei gruppi di sicurezza richiedono un input aggiuntivo dal firewall o dai file di rete definiti dal software. Per ulteriori informazioni sulla generazione di gruppi di sicurezza da file aggiuntivi, vedere File di configurazione aggiuntivi.

  • Reti basate sui dati di configurazione del firewall: esporta file da Palo Alto Networks Firewall, Fortinet FortiGate Firewall o Cisco ACI. Per ulteriori informazioni sulle versioni supportate e sulle istruzioni di estrazione, consulta Estrazione dei file di configurazione.

  • Reti ibride che eseguono carichi di lavoro VMware e non VMware: AWS Transform discovery tool o ModelIZEIT.

  • Altri tipi di file: AWS Transform accetta anche altri file di configurazione di rete, come le configurazioni Checkpoint e F5. Se il file di configurazione non è uno dei formati sopra elencati, AWS Transform lo converte automaticamente e lo utilizza per generare reti di destinazione. Questa conversione può richiedere fino a due ore in base alle dimensioni e alla complessità del file.

Nota

La dimensione massima supportata del file di rete di origine è 70 MB.

Nota

Per consentire la rimozione delle regole obsolete dei gruppi di sicurezza durante la revisione della rete, inviate i dati sul traffico di rete osservati dallo strumento di rilevamento AWS Transform o da ModelIZEit insieme alla configurazione della rete di origine. Per ulteriori informazioni, consulta Raccomandazioni guidate sulla rete.

avvertimento

Scaricate RVTools solo dal sito ufficiale Dell all'indirizzo. https://www.dell.com/en-us/shop/vmware/sl/rvtools Non scaricare RVTools da fonti non ufficiali.

Ogni segmento di rete di origine è mappato sul proprio VPC distinto. La segmentazione della rete varia in base al tipo di sorgente:

  • vNetwork: AWS trasforma i gruppi di VM tramite vSwitch e LAN virtuale (VLAN). Le VLAN possono essere visualizzate in più vSwitch (eccetto VLAN 0).

  • Reti NSX: AWS trasforma i segmenti della rete in base ai router, raggruppando Tier-1 i router e raccogliendone i segmenti.

Fase 2: file di configurazione aggiuntivi

Per gli ambienti sorgente RVTools, è possibile caricare facoltativamente file di configurazione aggiuntivi per abilitare la generazione di gruppi di sicurezza. Se non carichi file di configurazione aggiuntivi, non viene generato alcun gruppo di sicurezza per la migrazione. RVTools-based

AWS Transform supporta i seguenti tipi di file di configurazione aggiuntivi. È possibile caricare un solo file di configurazione da una piattaforma.

  • Cisco Application Centric Infrastructure (ACI) fornisce configurazioni di policy di rete.

  • Palo Alto Networks fornisce politiche di sicurezza firewall.

  • Fortinet FortiGate fornisce politiche di sicurezza firewall.

Quando carichi un firewall o un file Cisco ACI, AWS Transform genera infrastrutture di rete e gruppi di sicurezza. Quando si carica solo un file RVTools, AWS Transform genera solo l'infrastruttura di rete.

Per ulteriori informazioni sulle versioni supportate e sulle istruzioni di estrazione, vedere Estrazione dei file di configurazione.

Fase 3: Topologie di rete

Durante la fase di definizione della rete, si seleziona una topologia di rete. È possibile scegliere la topologia VPC isolati o la topologia Hub and Spoke.

VPC isolati

Cosa viene distribuito

I VPC isolati sono ambienti di rete indipendenti che funzionano come unità separate all'interno. AWS I tuoi VPC sono completamente isolati, senza percorsi di comunicazione integrati tra di loro. Questa separazione offre il massimo livello di protezione dei confini della rete.

AWS Transform crea le seguenti risorse:

  • Un VPC dedicato per ogni segmento di rete di origine rilevato.

  • Sottoreti private basate sulla configurazione della rete di origine.

  • Gruppi di sicurezza (se hai fornito file di configurazione del firewall o dell'SDN).

Completa la configurazione

AWS Transform implementa l'infrastruttura di rete principale per te. Completate la configurazione finale di connettività e sicurezza per soddisfare i requisiti della vostra organizzazione.

Per abilitare l'accesso a Internet per un VPC isolato, completa i seguenti passaggi:

  1. Crea un gateway Internet e collegalo al VPC.

  2. Crea sottoreti pubbliche in ogni zona di disponibilità in cui hai bisogno dell'accesso a Internet. Aggiungi un percorso per 0.0.0.0/0 puntare al gateway Internet. Per ulteriori informazioni sulla configurazione della sottorete, consulta Subnet for your VPC.

  3. Crea gateway NAT nelle sottoreti pubbliche (uno per AZ per l'alta disponibilità). Assegna un IP elastico per ogni gateway NAT.

  4. Aggiorna le tabelle di routing della tua sottorete privata. Aggiungi un percorso per 0.0.0.0/0 puntare al gateway NAT nella stessa AZ.

  5. Rivedi le regole del tuo gruppo di sicurezza. Assicurati che le regole in uscita consentano il traffico necessario ai tuoi carichi di lavoro (HTTPS, DNS, ecc.).

Per la VPC-to-VPC comunicazione, configurate il peering VPC o un Transit Gateway e aggiornate le tabelle di routing in ogni VPC per indirizzare il traffico verso la connessione peering o l'allegato TGW.

Hub and Spoke

In questo modello, un AWS Transit Gateway funge da hub centrale che collega più VPC per carichi di lavoro (i raggi).

Cosa viene implementato

AWS Transform crea le seguenti risorse:

  • Spoke VPC: un VPC per segmento di rete di origine rilevato, con sottoreti private e un allegato Transit Gateway.

  • Inspection VPC: ospita l'appliance firewall per l'ispezione del traffico. Tutto il traffico cross-VPC viene indirizzato attraverso questo VPC. L'allegato Transit Gateway utilizza la modalità appliance, un'impostazione che garantisce che il traffico fluisca simmetricamente attraverso lo stesso dispositivo per entrambe le direzioni di una connessione.

  • VPC in entrata: gestisce il traffico che entra nella rete dalla rete Internet pubblica (in entrata nord-sud). Include un gateway Internet e sottoreti pubbliche su più zone di disponibilità.

  • VPC in uscita: gestisce il traffico in uscita dalla rete verso la rete Internet pubblica (in uscita nord-sud). Include un gateway Internet, gateway NAT con indirizzi IP elastici in ciascuna zona di disponibilità per un'elevata disponibilità e sottoreti private per l'allegato Transit Gateway.

  • Tabelle di routing Transit Gateway: due tabelle di routing indirizzano il traffico attraverso l'Inspection VPC. La tabella Uninspected è associata a Spoke VPC, Inbound VPC e Outbound VPC. Instrada tutto il traffico (0.0.0. 0/0) all'allegato Inspection VPC ed è la tabella di routing delle associazioni predefinita. La tabella Inspected è associata all'Inspection VPC. Contiene le route propagate da tutti i VPC spoke ed è la tabella delle rotte di propagazione predefinita.

Per le distribuzioni con più account, il Transit Gateway è condiviso tra gli account tramite AWS Resource Access Manager (RAM).

Flusso di traffico

Tutto il traffico tra VPC segue questo percorso:

  1. Il traffico proveniente da uno Spoke VPC viene inviato al Transit Gateway (route predefinita 0.0.0). 0/0).

  2. La tabella dei percorsi Uninspected indirizza il traffico verso il VPC di ispezione.

  3. Il firewall in Inspection VPC ispeziona il traffico e lo inoltra al Transit Gateway.

  4. La tabella delle rotte ispezionate indirizza il traffico verso il VPC parlato di destinazione utilizzando percorsi propagati.

Per il traffico Internet in uscita, la tabella di routing di Inspected indirizza il traffico verso il VPC in uscita. I gateway NAT traducono gli indirizzi IP privati prima che il traffico venga inoltrato al gateway Internet. La tabella dei percorsi pubblici di Outbound VPC include percorsi specifici per ogni intervallo CIDR (VPC Classless Inter-Domain Routing) di Spoke fino al Transit Gateway. Questi percorsi consentono al traffico di ritorno di raggiungere lo Spoke VPC corretto.

Il traffico Internet in entrata entra attraverso il gateway Internet del VPC in entrata e segue lo stesso percorso di ispezione per raggiungere i VPC spoke.

Completa la configurazione

AWS Transform implementa l'infrastruttura di rete principale per te, tra cui Transit Gateway, Spoke VPC e routing del traffico. Completate la configurazione del firewall e la configurazione del servizio in entrata per soddisfare i requisiti di sicurezza della vostra organizzazione.

Nota

Per impostazione predefinita, il traffico cross-VPC passa attraverso Inspection VPC senza essere ispezionato. È necessario implementare un firewall per abilitare l'ispezione del traffico.

Implementa un firewall: crea sottoreti aggiuntive in Inspection VPC per gli endpoint del firewall. AWS Transform crea sottoreti solo per l'allegato Transit Gateway. Indirizza il traffico dalle sottoreti degli allegati TGW agli endpoint del firewall e dalle sottoreti del firewall al Transit Gateway. È possibile implementare Network Firewall o un dispositivo di terze parti AWS . Per ulteriori informazioni sull'implementazione di un firewall con un Transit Gateway, vedere Creazione di un firewall con un Transit Gateway.

Verifica la connettività: dopo aver implementato il firewall, verifica l'accesso a Internet in uscita da un'istanza VPC spoke (ad esempio,). curl https://aws.amazon.com Puoi utilizzare Reachability Analyzer per risolvere i problemi di connettività.

Configurazione dei servizi in entrata: per ospitare servizi rivolti al pubblico, implementa un Application Load Balancer o Network Load Balancer nelle sottoreti pubbliche Inbound VPC. Configura i gruppi target che rimandano alle istanze dei tuoi Spoke VPC tramite Transit Gateway e verifica che la tabella delle route di Inspected contenga percorsi di ritorno verso il VPC in entrata.

Se desideri un controllo dettagliato sulla comunicazione tra i VPC, scegli l'opzione VPC isolati e modifica la rete generata per creare i percorsi di comunicazione specifici di cui hai bisogno.

Fase 4: mappatura dei gruppi di sicurezza

Scegli in che modo le politiche di sicurezza di origine si traducono in gruppi AWS di sicurezza. AWS Transform crea gruppi di sicurezza in base alle configurazioni dell'ambiente di origine. Le politiche di sicurezza, le regole delle politiche di sicurezza, le politiche del gateway e le regole delle politiche del gateway vengono convertite in gruppi di sicurezza.

Importante

AWS Transform crea gruppi di sicurezza in modo ottimale per adattarli all'ambiente di origine. Rivedi e modifica i gruppi di sicurezza generati per assicurarti che soddisfino le esigenze e le politiche di sicurezza della tua azienda.

Riferimenti dei gruppi di sicurezza

Quando vengono generati i gruppi di sicurezza, AWS Transform utilizza il riferimento ai gruppi di sicurezza, laddove supportato. Il riferimento ai gruppi di sicurezza imposta le regole di sicurezza in base a un altro ID del gruppo di sicurezza anziché a intervalli di indirizzi IP specifici (blocchi CIDR). Questo approccio fornisce configurazioni di sicurezza più flessibili e gestibili.

Le regole del tuo gruppo di sicurezza possono fare riferimento solo ad altri gruppi di sicurezza all'interno dello stesso VPC o in un VPC connesso all'interno della stessa regione. Cross-account sono supportati anche i riferimenti. Non è possibile fare riferimento a un gruppo di sicurezza in un VPC non connesso o in più regioni. Per i VPC connessi, solo le regole in entrata supportano i riferimenti a gruppi di sicurezza tra VPC. Le regole in uscita devono utilizzare regole. CIDR-based Il modo AWS in cui Transform crea le regole dei gruppi di sicurezza dipende dalla topologia di rete scelta:

  • Hub and Spoke: Transit Gateway fornisce connettività di rete tra VPC. AWS Transform utilizza i riferimenti sia per le regole all'interno di VPC che per le regole di cross-ingress. VPC/cross-account Cross-VPC/cross-account le regole di uscita (in uscita) utilizzano le regole. CIDR-based

  • VPC isolati: i VPC non dispongono di connettività di rete tra di loro. AWS Transform utilizza riferimenti solo per le regole all'interno di VPC. Tutte le regole tra VPC e tra account utilizzano regole. CIDR-based

CIDR-based le regole vengono utilizzate anche quando le configurazioni di origine non sono simmetriche.

Scegliete una delle seguenti strategie di mappatura dei gruppi di sicurezza:

  • MAPPA: traduce le regole di sicurezza dall'ambiente di origine in gruppi e regole AWS di sicurezza. Usa questa opzione per le migrazioni che utilizzano indirizzi IP statici.

  • MAP_DHCP (Translate with DHCP support): traduce le regole di sicurezza dall'ambiente di origine con compatibilità DHCP. DHCP assegna gli indirizzi IP in modo dinamico dall'intervallo CIDR della sottorete. Di conseguenza, le regole di uscita tra VPC vengono ampliate in modo da corrispondere al CIDR completo della sottorete di destinazione. Un CIDR più ristretto bloccherebbe gli IP che non rientrano in tale intervallo. DHCP-assigned Rivedi queste regole dopo la migrazione.

    Usa questa opzione per il supporto DHCP con comunicazioni Cross-VPC Transit Gateway. Funziona anche con IP statici, ma potrebbe produrre regole più ampie rispetto a MAP.

  • SKIP: non traduce le regole di sicurezza. Configura i gruppi AWS di sicurezza manualmente dopo la migrazione. Funziona con ambienti IP statici e DHCP. Per gli ambienti sorgente RVTools senza file di configurazione aggiuntivi, AWS Transform utilizza automaticamente SKIP.

Nota

La strategia di mappatura determina le opzioni di assegnazione degli IP. MAP supporta solo IP statici. MAP_DHCP e SKIP supportano sia lo statico che il DHCP.

Approcci alla migrazione IP

Sono disponibili due opzioni di configurazione di rete per la migrazione:

Selezione dell'intervallo di rete

  • Mantieni intervalli esistenti (conservazione degli intervalli di indirizzi IP): conserva gli intervalli di indirizzi IP originali durante la migrazione. Ideale per le migrazioni in cui si spostano le applicazioni AWS senza modifiche (lift-and-shift), in particolare con applicazioni legacy con dipendenze IP codificate o regole firewall esistenti.

  • Aggiornamento a nuovi intervalli IP (aggiornamento CIDR): è possibile modificare ogni intervallo CIDR VPC durante la migrazione e AWS Transform propaga automaticamente le modifiche a sottoreti, tabelle di routing e gruppi di sicurezza.

Assegnazione dell'indirizzo IP

  • Indirizzi IP fissi (statici): AWS Transform assegna gli IP statici in base al CIDR. È la soluzione ideale per le applicazioni che richiedono un comportamento di rete prevedibile, una gestione DNS o un controllo degli accessi. IP-based Gli IP persistono durante i riavvii delle istanze tramite Elastic Network Interfaces (ENI), che sono schede di rete virtuali collegate alle istanze.

  • Assegnazione dinamica degli IP (AWS DHCP): assegna automaticamente gli IP dai pool di sottoreti all'avvio dell'istanza. Ideale per le applicazioni progettate per essere eseguite nel cloud e con scalabilità automatica dei carichi di lavoro. Riduce il sovraccarico operativo ma richiede che le applicazioni utilizzino il DNS o il rilevamento dei servizi.

È possibile combinare una selezione di intervalli con entrambi i metodi di assegnazione IP.

Nota

La strategia di assegnazione degli indirizzi IP è impostata a livello di onda. È possibile assegnare diverse strategie a server specifici personalizzando il file wave. Ad esempio, se avete scelto un approccio con indirizzo IP statico per il wave ma volete assegnare un approccio dinamico a un server specifico, potete utilizzare [RESET_VALUE] quanto descritto in Modifica della configurazione nella guida per l'utente di MGN.

Fase 5: Rivedi e ottimizza la tua rete

Dopo che AWS Transform ha generato la configurazione di rete di destinazione, puoi esaminare i segmenti di rete locali convergenti verso l'infrastruttura. AWS Utilizza l'interfaccia visiva per esaminare la tua rete e l'interfaccia di chat per apportare modifiche e ricevere consigli guidati. AWS Transform esegue un'analisi dell'impatto a cascata e implementa le modifiche necessarie per mantenere la coerenza della rete e la conformità alle best practice. Puoi anche chiedere a AWS Transform di analizzare la tua rete e suggerire ottimizzazioni. Per ulteriori informazioni, consulta Raccomandazioni Consigli guidati sulla rete guidate.

VPC esistenti nell'account di destinazione

Se il tuo account di destinazione contiene già VPC, provenienti da precedenti fasi di migrazione o progetti di infrastruttura paralleli, AWS Transform li rileva automaticamente e li visualizza insieme ai VPC mappati durante il processo di revisione. Per le migrazioni con più account, AWS Transform rileva i VPC esistenti in tutti gli account dell'organizzazione. AWS

Questa visibilità ti aiuta a capire in che modo la rete pianificata si collega all'infrastruttura esistente, a identificare potenziali conflitti CIDR e a prendere decisioni informate prima dell'implementazione.

Nota

AWS Transform rileva solo i VPC esistenti (non le sottoreti o altre risorse). Il rilevamento è di sola lettura. AWS Transform non modifica i VPC esistenti.

Ottimizza la tua rete

Nota

Queste operazioni si applicano solo ai VPC con carichi di lavoro. Per i VPC degli appliance nella topologia Hub and Spoke (Inspection, Inbound, Outbound), è supportata solo la modifica dell'indirizzo IP.

Non è possibile annullare le operazioni di eliminazione, unione e divisione. Rivedi attentamente la tua configurazione prima di applicare queste modifiche.

Le seguenti operazioni sono disponibili per i VPC:

  • Elimina: rimuove definitivamente un VPC dalla configurazione. Usalo per segmenti di rete obsoleti verso i quali non è necessario migrare. AWS

  • Escludi: rimuovi temporaneamente un VPC dalla migrazione per le strategie di migrazione graduale. I VPC esclusi non vengono implementati ma possono essere reinclusi in un secondo momento.

  • Includi: aggiungi nuovamente un VPC precedentemente escluso nella migrazione.

  • Unisci: combina due VPC in uno solo. Il primo VPC mantiene la sua identità e assorbe tutte le sottoreti dal secondo VPC. I gruppi di sicurezza vengono spostati nel VPC unito e le relative associazioni vengono ricostruite di conseguenza. Il CIDR del primo VPC si espande fino all'intervallo CIDR più piccolo che contiene entrambi i CIDR originali e il routing viene aggiornato automaticamente. Il secondo VPC viene rimosso dalla configurazione.

    Requisiti di unione:

    • I CIDR di sottorete non devono sovrapporsi tra i due VPC.

    • Il CIDR unito non deve superare /16.

    • Per le distribuzioni con più account, entrambi i VPC devono essere assegnati allo stesso account.

  • Modifica indirizzo IP: modifica l'indirizzo IP di base di un CIDR VPC mantenendo la stessa lunghezza del prefisso. AWS Transform traduce automaticamente tutti i CIDR di sottorete con lo stesso offset. Ad esempio, la modifica di un VPC da a sposta una sottorete da 10.0.0.0/16 a10.20.0.0/16. 10.0.1.0/24 10.20.1.0/24

    Le regole del gruppo di sicurezza che corrispondono esattamente al vecchio CIDR VPC vengono aggiornate automaticamente. Le regole che si sovrappongono parzialmente o non corrispondono al vecchio CIDR non vengono modificate. Rivedi queste regole dopo la modifica.

  • Rinomina: modifica il nome di un VPC per allinearlo alle convenzioni di denominazione della tua organizzazione per l'allocazione dei costi, il monitoraggio della conformità e gli standard operativi.

  • Ridimensiona: modifica la lunghezza del prefisso di un CIDR VPC per espandere o ridurre l'intervallo di indirizzi IP.

    • Riduzione della lunghezza del prefisso (più IP, ad esempio da /20 a /16): le sottoreti rientrano ancora nell'intervallo più ampio. Non sono necessarie modifiche alla sottorete.

    • Aumento della lunghezza del prefisso (meno IP, ad esempio da /16 a /20): le sottoreti che non rientrano nel nuovo intervallo devono essere prima ridimensionate utilizzando l'operazione di ridimensionamento della sottorete.

    Le regole del gruppo di sicurezza che corrispondono esattamente al vecchio VPC CIDR vengono aggiornate automaticamente. Le regole che si sovrappongono parzialmente o non corrispondono al vecchio CIDR non vengono modificate. Rivedi queste regole dopo il ridimensionamento.

    Requisiti di ridimensionamento:

    • Il nuovo CIDR deve essere compreso tra /16 e /28.

    • Il nuovo CIDR non deve sovrapporsi agli altri VPC della rete (topologia Hub and Spoke).

    • Quando si riduce il CIDR, tutte le sottoreti esistenti devono rientrare nel nuovo CIDR. Se necessario, ridimensiona prima le sottoreti.

  • Dividi: dividi un VPC in due VPC in base ai limiti CIDR forniti. Le sottoreti vengono assegnate al nuovo VPC il cui CIDR le contiene. I gruppi di sicurezza vengono clonati su entrambi i nuovi VPC, ma i CIDR delle regole dei gruppi di sicurezza non vengono aggiornati automaticamente. Rivedi le tue regole dopo la divisione per assicurarti che la comunicazione tra VPC funzioni come previsto. Il VPC originale viene sostituito dai due nuovi VPC.

    Requisiti suddivisi:

    • È necessario fornire esattamente due intervalli CIDR.

    • I due CIDR non devono sovrapporsi.

    • Ogni CIDR deve essere compreso tra /16 e /28.

    • Ogni sottorete deve rientrare esattamente in uno dei due CIDR. Se una sottorete non è adatta, l'operazione viene rifiutata.

Le seguenti operazioni sono disponibili per le sottoreti:

  • Modifica indirizzo IP: modifica l'indirizzo IP di base di un CIDR di sottorete mantenendo la stessa lunghezza del prefisso.

  • Elimina: rimuove definitivamente una sottorete dalla configurazione senza influire sul VPC principale.

  • Ridimensiona: modifica la lunghezza del prefisso di un CIDR di sottorete per espandere o ridurre l'intervallo di indirizzi IP.

    Requisiti per il ridimensionamento della sottorete:

    • Il nuovo CIDR deve essere compreso tra /16 e /28.

    • Il nuovo CIDR non deve sovrapporsi ad altre sottoreti nello stesso VPC.

    • Il nuovo CIDR deve trovarsi all'interno del CIDR VPC principale.

Dopo ogni operazione, AWS Transform rivaluta i riferimenti ai gruppi di sicurezza, il che potrebbe convertire CIDR-based le regole in riferimenti ai gruppi di sicurezza o viceversa. Rivedi le regole del tuo gruppo di sicurezza dopo aver apportato le modifiche per verificare che soddisfino i tuoi requisiti.

Consigli guidati sulla rete

AWS Transform analizza automaticamente la rete mappata e visualizza i consigli prioritari tramite l'interfaccia di chat, identificando le ottimizzazioni che in genere richiederebbero una revisione manuale da parte degli architetti di rete. I consigli si basano sui dati di rete e richiedono la conferma dell'utente prima di applicare eventuali modifiche.

AWS Transform potrebbe consigliare le seguenti ottimizzazioni:

  • Risoluzione dei conflitti CIDR: contrassegna gli intervalli CIDR sovrapposti tra i VPC mappati e i VPC esistenti in tutti gli account dell'organizzazione. AWS I VPC in conflitto vengono visualizzati per primi. Puoi risolvere i conflitti indirizzando nuovamente il VPC mappato, escludendolo o eliminandolo oppure riconoscendo il conflitto e risolvendolo tu stesso dopo la distribuzione.

  • Standardizzazione dei nomi: contrassegna i nomi VPC che non seguono uno schema coerente (ad esempio, i nomi contenenti riferimenti hardware). AWS Transform richiede la convenzione di denominazione del cloud prima di proporre delle sostituzioni.

  • Revisione dell'ambito: identifica i segmenti di rete verso i quali potrebbe non essere necessario migrare AWS, ad esempio sistemi o strutture esistenti in attesa di disattivazione. AWS Transform richiede la conferma dell'utente prima di escludere qualsiasi costrutto.

  • Ridimensionamento corretto della capacità VPC: vengono visualizzati i VPC in cui il CIDR appare sovradimensionato o sottodimensionato rispetto alle sottoreti in esso contenute. AWS Transform presenta i dati sulla capacità corrente e consente di decidere se ridimensionarli.

  • Revisione della sicurezza: contrassegna le regole del gruppo di sicurezza che consentono il traffico in entrata senza restrizioni (0.0.0. 0/0) per la tua recensione.

  • Rimozione delle regole del gruppo di sicurezza obsolete: identifica le regole del firewall in entrata non utilizzate migrate dall'ambiente locale e suggerisce di rimuoverle, in modo da non portare avanti un'esposizione di sicurezza che non serve più a uno scopo. Per identificare le regole inutilizzate, AWS Transform utilizza i dati sul traffico di rete osservati raccolti dallo strumento di rilevamento Transform o da ModelIZEIT. AWS È necessario inviare questi dati sul traffico insieme all'input di rete di origine. AWS Transform confronta le regole del firewall migrate con il traffico osservato nella finestra di osservazione acquisita in quei dati e contrassegna una regola come inutilizzata quando nessun traffico in entrata corrisponde. Senza dati sul traffico, AWS Transform non è in grado di determinare quali regole sono inutilizzate e non suggerisce la rimozione. AWS Transform rimuove solo le regole di ingresso (in entrata) non utilizzate. L'assenza di traffico in entrata osservato è un segnale affidabile che una regola non è utilizzata. Controlla le rimozioni suggerite prima di applicarle per confermare che siano in linea con le tue politiche di sicurezza.

  • Consolidamento dei VPC: identifica i VPC frammentati che appaiono separati dai limiti dell'infrastruttura fisica anziché dai requisiti di isolamento logico e suggerisce di unirli.

Nota

Tutti i consigli richiedono una conferma esplicita prima che Transform applichi le modifiche. AWS AWS Transform presenta dei compromessi quando una raccomandazione influisce su più aspetti della rete.

Fase 6: Diagramma di rete

Dopo aver esaminato le configurazioni VPC generate, è possibile generare facoltativamente un diagramma di rete per visualizzare la topologia di rete. AWS Transform supporta i seguenti formati di diagramma:

  • Codice sirena (.mmd): questo formato produce un file di definizione del diagramma basato su testo che può essere renderizzato con strumenti. Mermaid-compatible

  • Immagine (.png): questo formato produce un'immagine renderizzata della topologia di rete.

Fase 7: Configurare la codifica delle risorse

Le risorse di rete sono contrassegnate per l'avvio e la replica. È inoltre possibile aggiungere tag personalizzati e tag MAP ( AWS Migration Acceleration Program).

Tag automatici per l'avvio e la replica

AWS Transform contrassegna automaticamente le risorse di rete migrate (VPC, sottoreti, gruppi di sicurezza e tabelle di routing) con i seguenti tag:

  • Chiave: CreatedBy Valore: AWSApplicationMigrationService

  • Chiave: ATWorkspace Valore: workspace-id

Questi tag consentono di utilizzare il VPC e la sottorete per avviare istanze di test e cutover in. AWS

Nota

I VPC e le sottoreti migrati non includono la connettività Internet per impostazione predefinita, quindi non sono adatti come aree di staging per la replica.

Per utilizzare anche il VPC e la sottorete come area di staging (replica), aggiungi manualmente i seguenti tag:

  • Chiave: CreatedFor Valore: AWSTransform

  • Chiave: ATWorkspace Valore: workspace-id

Puoi anche applicare questi tag a qualsiasi risorsa di AWS rete esistente per renderla disponibile per la replica.

Trova l'ID del tuo spazio di lavoro nell'URL dell'app web AWS Transform: https://... /workspace//workspace-id-id job/job

Tag personalizzati

Oltre ai tag applicati automaticamente da AWS Transform, puoi aggiungere facoltativamente tag personalizzati per organizzare, tenere traccia dei costi e gestire la conformità delle risorse di rete migrate. È possibile applicare tag personalizzati a due livelli:

  • Job-level tag: si applicano a tutte le risorse create da questo job, inclusi tutti i VPC, le sottoreti, i gruppi di sicurezza e le tabelle di routing.

  • VPC-level tag: si applicano a un VPC specifico e si collegano automaticamente a cascata a tutte le risorse associate (sottoreti, gruppi di sicurezza, tabelle di routing).

Nota

Massimo 40 tag per richiesta. Ogni tag richiede una chiave e un valore. AWS Si applicano le convenzioni di etichettatura.

AWS Transform applica questi tag quando genera i modelli Infrastructure as Code.

AWS Programma di accelerazione della migrazione

Se la migrazione fa parte del AWS Migration Acceleration Program (MAP 2.0), AWS Transform applica un tag MAP alle risorse. Se hai fornito il tuo ID MPE in precedenza nel processo di migrazione, il tag viene applicato automaticamente. Altrimenti, dopo aver esaminato le configurazioni VPC generate, AWS Transform chiede se disponi di un accordo MAP e ti chiede di fornire il tuo ID MPE. L'ID MPE è un codice di 10 caratteri che utilizza lettere maiuscole e cifre (ad esempio, ABCDE12345). Il tag applicato utilizza il formato:

  • Chiave: map-migrated Valore: migMPE_ID

Fase 8: Implementa la tua rete

Dopo l'etichettatura, seleziona la tua strategia di distribuzione:

  • AWS Transform-managed distribuzione: AWS Transform utilizza CloudFormation modelli per implementare la rete ed esegue Reachability Analyzer per verificare la connettività tra le sottoreti su più VPC e all'interno dello stesso VPC.

    Nota

    È necessario ottenere un'approvazione esplicita prima che venga eseguita la richiesta di distribuzione della rete. Vedi Processo di approvazione della distribuzione.

  • Self-deployment: AWS Transform genera modelli Infrastructure as Code (IaC). CloudFormation i modelli vengono generati per impostazione predefinita. Puoi anche selezionare formati di output aggiuntivi:

    • AWS CDK genera un TypeScript progetto per l'implementazione programmatica dell'infrastruttura.

    • HashiCorp Terraform genera modelli di HashiCorp Configuration Language (HCL) per la gestione delle risorse di rete.

    • Landing Zone Accelerator (LZA) genera un file network-config.yaml per la configurazione della rete LZA.

Nota

Quando si esegue la distribuzione tramite la pipeline Landing Zone Accelerator (LZA), l'account Transform e l'installazione LZA devono trovarsi nella stessa organizzazione. AWS AWS La distribuzione avrà esito negativo in caso di mancata corrispondenza tra gli ID dell'organizzazione.

Per l'implementazione automatica, utilizza il link fornito per scaricare un file zip contenente i modelli generati. La cartella zip include un README.md file che spiega come utilizzare i modelli generati.

Per verificare che il file scaricato non sia stato danneggiato o manomesso, genera e scarica un checksum, quindi confrontalo con un hash generato localmente utilizzando il comando. openssl dgst -sha256 -binary <file.zip> | base64

Processo di approvazione della distribuzione

Per garantire che le modifiche alla rete siano conformi agli standard di sicurezza e ai requisiti architetturali dell'organizzazione, tutte le richieste di distribuzione vengono sottoposte a un flusso di approvazione. È necessario ottenere un'approvazione esplicita prima che venga eseguita la richiesta di distribuzione della rete. Quando invii una richiesta di distribuzione, questa viene indirizzata automaticamente agli approvatori autorizzati tramite la scheda Transform Approvals. AWS Gli approvatori convalidano sia i CloudFormation modelli che le configurazioni di rete per garantire la conformità agli standard di sicurezza e ai requisiti architettonici. Ogni invio innesca un nuovo ciclo di revisione e le implementazioni procedono solo dopo aver ricevuto la conferma. Se un approvatore rifiuta la tua richiesta, contattalo direttamente per discutere delle modifiche necessarie. AWS Transform tiene traccia di tutte le decisioni di approvazione a fini di audit e conserva la cronologia delle implementazioni.

Elimina le risorse di rete distribuite

Se è necessario ripristinare una distribuzione, è possibile eliminare le risorse di rete distribuite da AWS Transform. È possibile eliminare le risorse immediatamente dopo il completamento della distribuzione. Se si modificano le risorse di rete distribuite dopo la distribuzione, le risorse non possono essere eliminate automaticamente.

  • AWS Transform-managed distribuzioni: AWS Transform rimuove tutti gli CloudFormation stack creati durante la distribuzione. Questa azione richiede l'approvazione tramite la scheda AWS Transform Approvals.

  • Self-deployments: è necessario eliminare manualmente le risorse distribuite tramite la console di AWS gestione o AWS la CLI.

Estrazione dei file di configurazione

Se l'ambiente di origine utilizza Cisco ACI, Palo Alto Networks o Fortinet FortiGate, devi estrarre un file di configurazione da fornire a Transform. AWS È possibile utilizzare questi file come file sorgente autonomi per generare infrastrutture di rete e gruppi di sicurezza o come file complementari insieme al caricamento di RVTools per aggiungere la generazione di gruppi di sicurezza. Il processo di estrazione è lo stesso in entrambi i casi.

Per estrarre i file di configurazione dal firewall e dagli ambienti di rete, segui queste procedure. Consulta la documentazione del fornitore per le informazioni più recenti.

Fortinet FortiGate

  • La versione del firmware deve essere v7.0 o successiva.

  • Sono necessari super_admin_readonly i super_admin nostri privilegi a livello globale.

  • Fasi:

    1. Connettiti al firewall tramite SSH o client CLI integrato

    2. Esegui: show | grep "" (| grep ""disabilita l'impaginazione)

    3. Salva tutto l'output in un file a partire dal comando show

Palo Alto Networks

  • La versione del firmware deve essere 10.1 o successiva.

  • È necessario il ruolo di superadmin.

  • Connettiti al firewall tramite SSH, esegui i seguenti comandi per disabilitare l'impaginazione, impostare il formato di output, accedere alla modalità di configurazione ed esportare la configurazione e gli oggetti predefiniti. Salva gli output:

    set cli pager off
set cli config-output-format set
configure
show              # Save as palo-conf.txt
show predefined   # Save as palo-default.txt

Cisco ACI

  • La versione del firmware deve essere 6.0 o successiva.

  • È necessario il ruolo di amministratore con tutti i privilegi e una destinazione Secure Copy Protocol (SCP), SSH File Transfer Protocol (SFTP) o File Transfer Protocol (FTP) configurata.

  • Fasi:

    1. Connettiti all'Application Policy Infrastructure Controller (APIC) tramite il browser

    2. Apri il menu Admin e scegli Config Rollbacks

    3. Nella finestra di dialogo Scatta un'istantanea, seleziona l'opzione di posizione remota e scegli Crea un'istantanea adesso.

    4. Dopo aver ricevuto il messaggio «Trasferimento riuscito», connettiti al server di localizzazione remota e recupera il file di istantanea più recente (file.gz)