Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Optionen zur Verkehrssegmentierung in AWS Direct Connect
Veröffentlichungsdatum: 9. November 2023 () Verlauf des Diagramms
Diese Architektur bietet Optionen zur Segmentierung des Datenverkehrs in AWS Direct Connect. Dazu gehören die Verwendung mehrerer privater VIFs in der VPC oder im Direct Connect Gateway, die Verwendung von AWS Transit Gateway Connect-Anhängen über Transit-VIF und die Verwendung von AWS Site-to-Site VPN Verbindungen über Transit-VIF.
Segmentieren Sie Ihren Traffic über AWS Direct Connect indem Sie mehrere private VIFs in der VPC verwenden oder Direct Connect Gateway-Diagramm
Private virtuelle Schnittstellen (VIFs) werden verwendet, um über private IP-Adressen auf Amazon Virtual Private Cloud (Amazon VPC) zuzugreifen. Jedes VIF ist mit einem eindeutigen VLAN-Tag (Virtual Local Area Network) konfiguriert. Das bedeutet, dass Sie Ihren Datenverkehr segmentieren können, indem Sie pro virtuellem Routing and Forwarding (VRF), das Sie in Ihrem Rechenzentrum haben, eine VIF verwenden. Berücksichtigen Sie die Grenzwerte für die Anzahl der VIFs, je nachdem, welche Art von Verbindung Sie haben. Direct Connect Sie können 50 private oder öffentliche VIFs mit einer dedizierten Verbindung und eine private oder öffentliche VIF mit einer gehosteten Verbindung haben. Darüber hinaus können Sie 30 private VIFs demselben Gateway zuordnen. Direct Connect Sie können die Kontingente im Direct Connect Benutzerhandbuch überprüfen.
-
Datenverkehr, der von einer Instance in Spoke VPC A initiiert und für den Rechenzentrumsserver des Unternehmens (in VRF A) bestimmt ist, wird gemäß der Spoke VPC A-Routing-Tabelle an das Virtual Private Gateway weitergeleitet.
-
Das Virtual Private Gateway ist dem Gateway zugeordnet, das Direct Connect eine private VIF (VLAN) verwendet, um eine Verbindung zum Unternehmensrechenzentrum herzustellen. Verwenden Sie mehrere private VIFs, um eine Segmentierung zu erreichen. Der lokale Router muss so konfiguriert sein, dass er pro konfiguriertem VRF eine andere VIF- (VLAN) -Verbindung verwendet.
-
Der lokale Router leitet den Datenverkehr von der privaten VIF A an VRF A und den Zielserver weiter.
-
Der Datenverkehr vom VRF B des Unternehmensrechenzentrums, der für Spoke VPC B bestimmt ist, wird zuerst an das Kunden-Gateway im Rechenzentrum gesendet.
-
Das Kunden-Gateway verwendet private VIF B — über die Direct Connect Verbindung —, um den Datenverkehr an das virtuelle private Gateway in VPC B zu senden.
-
Der Verkehr wird gemäß der Spoke VPC B-Routing-Tabelle an das Ziel weitergeleitet.
Segmentieren Sie Ihren Verkehr über AWS Direct Connect durch die Verwendung mehrerer Transit-VIFs und Direct Connect Gateways-Diagramm
Virtuelle Transitschnittstellen (VIFs) werden für den Zugriff über AWS Transit Gateway ein Gateway verwendet. Direct Connect Jedes VIF ist mit einem eindeutigen VLAN-Tag (Virtual Local Area Network) konfiguriert. Das bedeutet, dass Sie Ihren Datenverkehr segmentieren können, indem Sie pro virtuellem Routing and Forwarding (VRF), das Sie in Ihrem Rechenzentrum haben, eine VIF verwenden. Berücksichtigen Sie die Grenzwerte für die Anzahl der VIFs, je nachdem, welche Art von Verbindung Sie haben. Direct Connect Sie können vier Transit-VIFs mit einer maximalen Kombination aus 51 privaten, öffentlichen und Transit-VIFs pro dedizierter Verbindung verwenden. Für gehostete Verbindungen können Sie nur eine Transit-VIF verwenden. Darüber hinaus können Sie 30 Transit-VIFs demselben Direct Connect Gateway zuordnen. Sie können die Kontingente im Direct Connect Benutzerhandbuch überprüfen.
-
Datenverkehr, der von einer Instance in Spoke VPC A initiiert und für den Rechenzentrumsserver des Unternehmens (in VRF A) bestimmt ist, wird AWS Transit Gateway gemäß der Spoke VPC A-Routing-Tabelle weitergeleitet.
-
Transit Gateway ist mehreren Direct Connect Gateways (DXGW) zugeordnet, von denen jedes eine Transit-VIF (VLAN) verwendet, um eine Verbindung zum Unternehmensrechenzentrum herzustellen und so eine Segmentierung des Datenverkehrs zu erreichen. Der lokale Router muss so konfiguriert sein, dass er pro konfiguriertem VRF eine andere VIF (VLAN) -Verbindung verwendet.
-
Der Datenverkehr wird gemäß der Segment-A-Transit-Gateway-Routentabelle, die dem VPC A-Anhang zugeordnet ist, an DXGW A weitergeleitet.
-
Der lokale Router leitet den Datenverkehr von der Transit-VIF A an VRF A und den Zielserver weiter.
-
Der Datenverkehr vom VRF B des Unternehmensrechenzentrums, der für Spoke VPC B bestimmt ist, wird zuerst an das Kunden-Gateway im Rechenzentrum gesendet.
-
Das Kunden-Gateway verwendet Transit-VIF B — über die Direct Connect Verbindung —, um den Datenverkehr an das Transit-Gateway Segment B zu senden.
-
Der Verkehr wird gemäß der Transit-Gateway-Routentabelle von Segment B an VPC B weitergeleitet.
-
Der Verkehr wird gemäß der VPC B-Routing-Tabelle an das Ziel weitergeleitet.
Verwenden Sie AWS Transit Gateway Verbinden Sie Anlagen und AWS Direct Connect um Ihr On-Premises VRFs übers Transit-VIFs-Diagramm zu erweitern
Bei einer gehosteten Verbindung erhalten Sie eine Transit-VIF, bei einer dedizierten Verbindung vier. Wenn Sie über mehr VRFs als Transit-VIFs verfügen, können Sie mehrere Transit Gateway Connect-Anhänge (GRE-Tunnel) über eine Transit-VIF verwenden, um den Datenverkehr zu segmentieren und pro VRF, das Sie in Ihrem Rechenzentrum haben, einen Connect-Anhang zu erstellen. Weitere Informationen zu diesem Anwendungsfall finden Sie unter Verwenden von AWS Transit Gateway Connect zur Erweiterung von VRFs und zur Erhöhung der IP-Präfix-Werbung.
-
Datenverkehr, der von einer Instance in Spoke VPC A initiiert und für den Rechenzentrumsserver des Unternehmens (in VRF A) bestimmt ist, wird gemäß der Spoke VPC A-Routing-Tabelle an die Transit Gateway Elastic Network Interface (TGW ENI) weitergeleitet.
-
Der Verkehr wird an das Transit Gateway weitergeleitet. Der Verkehr wird dann gemäß der Segment-A-Routing-Tabelle über den Transit Gateway Connect-Anhang A zum Unternehmensrechenzentrum weitergeleitet.
-
Der Transit Gateway Connect-Anhang verwendet die Direct Connect Verbindung als Transport und verbindet das Transit Gateway mithilfe von Generic Routing Encapsulation (GRE) -Tunneling und Border Gateway Protocol (BGP) mit dem Router des Unternehmensrechenzentrums. Der lokale Router muss so konfiguriert sein, dass er pro konfiguriertem VRF einen anderen Connect-Anhang verwendet.
-
Der lokale Router leitet den Datenverkehr von Connect-Anhang A an VRF A und den Zielserver weiter.
-
Der Datenverkehr vom VRF B des Unternehmensrechenzentrums, der für Spoke VPC B bestimmt ist, wird zuerst an das Kunden-Gateway im Rechenzentrum gesendet.
-
Das Kunden-Gateway verwendet den GRE-Tunnel des Transit Gateway Connect-Anhangs B — über die Direct Connect Verbindung —, um den Datenverkehr an das Transit Gateway zu senden.
-
Der Verkehr wird gemäß der Transit Gateway Segment B-Routing-Tabelle an den Spoke VPC B-Anhang weitergeleitet.
-
Das TGW ENI von Spoke VPC B leitet den Verkehr an das Ziel weiter.
Verwenden Sie AWS Site-to-Site VPN Anlagen (öffentliche VIFs) und AWS Direct Connect um Ihr On-Premises VRFS-Diagramm zu erweitern
Wenn Ihr Kunden-Gateway Generic Routing Encapsulation (GRE) nicht unterstützt, können Sie Ihren Datenverkehr trotzdem segmentieren, indem Sie für jedes VRF, das Sie in Ihrem Rechenzentrum haben, eine AWS Site-to-Site VPN Verbindung herstellen. Sie können ein öffentliches VIF als Grundlage für den Transport verwenden.
-
Datenverkehr, der von einer Instance in Spoke VPC A initiiert und für den Unternehmensserver im Rechenzentrum (in VRF A) bestimmt ist, wird gemäß der Spoke VPC A-Routing-Tabelle an die Transit Gateway Elastic Network Interface (TGW ENI) weitergeleitet.
-
Der Verkehr wird an das Transit Gateway weitergeleitet. Der Datenverkehr wird dann gemäß der Routing-Tabelle von Segment A über die Site-to-Site VPN-Verbindung A zum Unternehmensrechenzentrum weitergeleitet.
-
Die Site-to-Site VPN-Verbindung wird mithilfe einer öffentlichen VIF als Transport (VLAN) hergestellt. Der lokale Router muss so konfiguriert sein, dass er pro konfiguriertem VRF eine andere VPN-Verbindung verwendet.
-
Der lokale Router leitet den Datenverkehr von der Site-to-Site VPN-Verbindung A an den VRF A und den Zielserver weiter.
-
Der Datenverkehr vom VRF B des Unternehmensrechenzentrums, der für Spoke VPC B bestimmt ist, wird zuerst an das Kunden-Gateway im Rechenzentrum gesendet.
-
Das Kunden-Gateway wählt die Site-to-Site VPN-Verbindung B aus, um den Datenverkehr über die Verbindung an das Transit-Gateway zu senden. Direct Connect
-
Der Datenverkehr wird gemäß der Routentabelle für Transit Gateway Segment B an den Spoke VPC B-Anhang weitergeleitet.
-
Das TGW ENI von Spoke VPC B leitet den Verkehr an das Ziel weiter.
Verwenden Sie AWS Site-to-Site VPN Private IP-VPN-Anhänge und AWS Direct Connect zur Erweiterung Ihres On-Premises VRFs über das Transit-VIFs-Diagramm
Wenn Ihr Kunden-Gateway GRE (Generic Routing Encapsulation) nicht unterstützt, können Sie Ihren Datenverkehr trotzdem segmentieren, indem Sie für jedes VRF, das Sie in Ihrem Rechenzentrum haben, eine AWS Site-to-Site VPN Verbindung (mit zwei Tunneln) herstellen. Mit der Site-to-Site VPN-Funktion VPN für private IP-Adressen können Sie VPNs mithilfe von privaten IP-Adressen erstellen, wobei das AWS Direct Connect Gateway und die Transit-VIF als zugrunde liegender Transport dienen.
-
Datenverkehr, der von einer Instance in Spoke VPC A initiiert und für den Rechenzentrumsserver des Unternehmens (in VRF A) bestimmt ist, wird gemäß der Spoke VPC A-Routing-Tabelle an die AWS Transit Gateway Elastic Network Interface (TGW ENI) weitergeleitet.
-
Der Verkehr wird an das Transit Gateway weitergeleitet. Der Datenverkehr wird dann gemäß der Segment-A-Routing-Tabelle über den Transit Gateway-VPN-Anhang A zum Unternehmensrechenzentrum weitergeleitet.
-
Der Transit Site-to-Site Gateway-VPN-Anhang verwendet die Direct Connect Verbindung als Transport und verbindet das Transit Gateway über eine IPSec-VPN-Verbindung (mit zwei Tunneln) mit dem Router des Unternehmensrechenzentrums. Der lokale Router muss so konfiguriert sein, dass er pro konfiguriertem VRF einen anderen VPN-Anhang verwendet.
-
Der lokale Router leitet den Datenverkehr von VPN-Anhang A an VRF A und den Zielserver weiter.
-
Der Datenverkehr vom VRF B des Unternehmensrechenzentrums, der für Spoke VPC B bestimmt ist, wird zuerst an das Kunden-Gateway im Rechenzentrum gesendet.
-
Das Kunden-Gateway verwendet die Site-to-Site VPN-Verbindung B — über die Direct Connect Verbindung —, um den Datenverkehr an das Transit Gateway zu senden.
-
Der Datenverkehr wird gemäß der Transit-Gateway-Segment-B-Routentabelle an den Spoke VPC B-Anhang weitergeleitet.
-
Das TGW ENI von Spoke VPC B leitet den Verkehr an das Ziel weiter.
Weitere Informationen
Weitere Informationen finden Sie unter
Mitwirkende
Zu den Mitwirkenden an diesem Referenzarchitekturdiagramm gehören:
-
Pablo Sánchez Carmona, spezialisierter Lösungsarchitekt, Amazon Web Services
-
Thaddeus Worsnop, leitender Lösungsarchitekt, Amazon Web Services
Verlauf des Diagramms
Abonnieren Sie den RSS-Feed, um über Aktualisierungen dieses Referenzarchitekturdiagramms informiert zu werden.
| Änderung | Beschreibung | Datum |
|---|---|---|
Das Diagramm wurde aktualisiert | Segmentieren Sie jetzt Ihren Verkehr AWS Direct Connect mithilfe mehrerer Transit-VIFs und Gateways Direct Connect | 9. November 2023 |
Erste Veröffentlichung | Das Referenzarchitekturdiagramm wurde erstmals veröffentlicht. | 30. Juni 2022 |
Anmerkung
Um RSS-Updates zu abonnieren, muss ein RSS-Plugin für den von Ihnen verwendeten Browser aktiviert sein.
