路由表和 AWS Site-to-Site VPN 路由优先级 - AWS Site-to-Site VPN

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

路由表和 AWS Site-to-Site VPN 路由优先级

路由表决定了将网络流量从您的 VPC 定向到何处。在您的 VPC 路由表中，您必须为您的远程网络添加路由，并将虚拟私有网关指定为目标。这将使从 VPC 传送到您的远程网络的流量能够通过虚拟专用网关和其中一个 VPN 隧道进行路由。您可以为路由表启用路由传播，从而自动将您的网络路由传播到表。

我们使用路由表中与流量匹配的最具体的路由来判断数据流的路由方式 (最长前缀匹配)。如果路由表具有重叠或匹配的路由，则应用以下规则：

  • 如果来自 Site-to-Site VPN 连接或 AWS Direct Connect 连接的传播路由与您的 VPC 的本地路由重叠，则即使传播的路由更具体，也最好使用本地路由。

  • 如果来自 Site-to-Site VPN 连接或 AWS Direct Connect 连接的传播路由与其他现有静态路由具有相同的目标 CIDR 块（不能应用最长前缀匹配），则我们会优先考虑目标为 Internet 网关、虚拟专用网关、网络接口、实例 ID、VPC 对等连接、NAT 网关、传输网关或网关 VPC 终端节点的静态路由。

例如，以下路由表具有指向互联网网关的静态路由和指向虚拟私有网关的传播路由。这两条路由的目的地均为 172.31.0.0/24。在这种情况下，目标为 172.31.0.0/24 的所有流量均路由到互联网网关，这是静态路由，因此，其优先级高于传播路由。

目的地 目标
10.0.0.0/16 本地
172.31.0.0/24 vgw-11223344556677889（传播）
172.31.0.0/24 igw-12345678901234567（静态）

只有虚拟私有网关已知的 IP 前缀可接收来自您的 VPC 的数据流量，无论是通过 BGP 通告还是静态路由条目。虚拟专用网关不路由任何不以收到的 BGP 通告、静态路由条目或其附加 VPC CIDR 为目标的其他流量。虚拟专用网关不支持 IPv6 流量。

在虚拟私有网关收到路由信息时，它使用路径选择来决定如何路由流量。如果所有端点都运行正常，则最长前缀匹配适用。隧道端点的运行状况优先于其他路由属性。此优先级适用于 VPNs 虚拟专用网关和传输网关。如果前缀相同，则虚拟私有网关按照以下方式对路由进行优先排序：

  • BGP 从连接传播路由 AWS Direct Connect

    黑洞路由不会通过 BGP 传播到 Site-to-Site VPN 客户网关。

  • 为 Site-to-Site VPN 连接手动添加静态路由

  • BGP 从 VPN 连接传播路由 Site-to-Site

  • 要匹配每个 Site-to-Site VPN 连接使用 BGP 的前缀，将比较 AS 路径，首选 AS 路径最短的前缀。

    注意

    AWS 强烈建议使用支持非对称路由的客户网关设备。

    对于支持非对称路由的客户网关设备，我们不建议使用 AS 路径前加，以确保两个隧道具有相同的 AS 路径。这有助于确保 multi-exit discriminator 使用我们在 VPN 隧道终端节点更新期间在隧道上设置的 (MED) 值来确定隧道优先级。

    对于不支持非对称路由的客户网关设备，可以使用 AS PATH 前加和本地首选项，从而使某个隧道优先于另一个隧道。但是，当出口路径发生变化时，这可能会导致流量下降。

  • 当 AS 的长度 PATHs 相同时，如果 AS_SEQUENCE 中的第一个 AS 在多条路径上相同，multi-exit discriminators (MEDs) 进行比较。首选具有最低 MED 值的路径。

在 VPN 隧道端点更新期间，路由优先级受到影响。

在 Site-to-Site VPN 连接上， AWS 选择两条冗余隧道中的一条作为主出口路径。此选择有时可能会更改，我们强烈建议您配置这两个隧道以实现高可用性并允许非对称路由。隧道端点的运行状况优先于其他路由属性。此优先级适用于 VPNs 虚拟专用网关和传输网关。

对于虚拟专用网关，将选择一条穿过网关上所有 Site-to-Site VPN 连接的隧道。要使用多个隧道，我们建议您探索等价多路径 (ECMP)，传输网关上的 Site-to-Site VPN 连接支持此功能。有关更多信息，请参阅 Amazon VPC 中转网关 中的中转网关。虚拟专用网关上的 Site-to-Site VPN 连接不支持 ECMP。

对于使用 BGP 的 VP Site-to-Site N 连接，主隧道可以通过以下方式标识 multi-exit discriminator (MED) 值标识。我们建议通告更为具体的 BGP 路由，以影响路由决策。

对于使用静态路由的 Site-to-Site VPN 连接，可以通过流量统计数据或指标来识别主隧道。