路由表和 AWS Site-to-Site VPN 路由优先级 - AWS Site-to-Site VPN

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

路由表和 AWS Site-to-Site VPN 路由优先级

路由表确定来自您的网络流量的VPC定向位置。在VPC路由表中，必须为远程网络添加路由，并将虚拟专用网关指定为目标。这样VPC，来自您的发往远程网络的流量就可以通过虚拟专用网关和其中一个VPN隧道进行路由。您可以为路由表启用路由传播，从而自动将您的网络路由传播到表。

我们使用路由表中与流量匹配的最具体的路由来判断数据流的路由方式 (最长前缀匹配)。如果路由表具有重叠或匹配的路由，则应用以下规则：

  • 如果来自 Site-to-SiteVPN连接或 AWS Direct Connect 连接的传播路由与您的本地路由重叠VPC，则即使传播的路由更具体，也最好使用本地路由。

  • 如果来自 Site-to-SiteVPN连接或 AWS Direct Connect 连接的传播路由与其他现有静态路由具有相同的目的地CIDR块（不能应用最长前缀匹配），则我们会优先考虑目标为 Intern VPC et 网关、虚拟专用网关、网络接口、实例 ID、对等连接、NAT网关、传输网关或网关终端节点的静态路由。VPC

例如，以下路由表具有指向互联网网关的静态路由和指向虚拟私有网关的传播路由。这两条路由的目的地均为 172.31.0.0/24。在这种情况下，目标为 172.31.0.0/24 的所有流量均路由到互联网网关，这是静态路由，因此，其优先级高于传播路由。

目的地 目标
10.0.0.0/16 本地
172.31.0.0/24 vgw-11223344556677889（传播）
172.31.0.0/24 igw-12345678901234567（静态）

只有虚拟专用网关已知的 IP 前缀（无论是通过BGP广告还是静态路由条目）才能接收来自您的VPC流量。虚拟专用网关不会路由任何其他流量，这些流量发往接收到的BGP广告、静态路由条目或其连接的静态路由条目之外VPCCIDR。虚拟专用网关不支持IPv6流量。

在虚拟私有网关收到路由信息时，它使用路径选择来决定如何路由流量。如果所有端点都运行正常，则最长前缀匹配适用。隧道端点的运行状况优先于其他路由属性。此优先级适用于VPNs虚拟专用网关和传输网关。如果前缀相同，则虚拟私有网关按照以下方式对路由进行优先排序：

  • BGP来自连接的传播路由 AWS Direct Connect

    黑洞路由不会通过传播到 Site-to-SiteVPN客户网关。BGP

  • 为 Site-to-SiteVPN连接手动添加静态路由

  • BGP来自连接的传播路由 Site-to-Site VPN

  • 要匹配每个 Site-to-SiteVPN连接使用的前缀BGP，将比较 PATH AS，首选最短 AS PATH 的前缀。

    注意

    AWS 强烈建议使用支持非对称路由的客户网关设备。

    对于支持非对称路由的客户网关设备，我们不建议使用 AS PATH 预置，以确保两条隧道的 AS 相等。PATH这有助于确保 multi-exit discriminator (MED) 我们在隧道端点更新期间在VPN隧道上设置的值用于确定隧道优先级。

    对于不支持非对称路由的客户网关设备，您可以使用 AS prepending 和 Local PATH Preferending 来优先选择一条隧道而不是另一条隧道。但是，当出口路径发生变化时，这可能会导致流量下降。

  • 当 AS PATHs 的长度相同且 AS_ SEQUENCE 中的第一个 AS 在多条路径上都相同时，multi-exit discriminators (MEDs) 进行比较。首选MED值最低的路径。

更新VPN隧道端点期间，路由优先级会受到影响。

在 Site-to-SiteVPN连接上， AWS 选择两个冗余隧道中的一个作为主出口路径。此选择有时可能会更改，我们强烈建议您配置这两个隧道以实现高可用性并允许非对称路由。隧道端点的运行状况优先于其他路由属性。此优先级适用于VPNs虚拟专用网关和传输网关。

对于虚拟专用网关，将选择一条穿过网关上所有 Site-to-SiteVPN连接的隧道。要使用多个隧道，我们建议您探索等价多路径 (ECMP)，该路径支持公交网关上的 Site-to-SiteVPN连接。有关更多信息，请参阅 Amazon 公交网关中的VPC公交网关。ECMP不支持虚拟专用网关上的 Site-to-SiteVPN连接。

对于使用的 Site-to-SiteVPN连接BGP，主隧道可以通过以下方式标识 multi-exit discriminator (MED) 值。我们建议发布更具体的BGP路线，以影响路由决策。

对于使用静态路由的 Site-to-SiteVPN连接，可以通过流量统计数据或指标来识别主隧道。