Weiterleiten des Internetverkehrs an eine einzige Netzwerkschnittstelle

Sie können eingehenden Internetverkehr für große Pools öffentlicher IP-Adressen an eine einzige Elastic-Network-Schnittstelle (ENI) in Ihrer VPC weiterleiten.

Bisher akzeptierten Internet-Gateways Datenverkehr für öffentliche IP-Adressen nur dann, wenn diese direkt mit Netzwerkschnittstellen in der VPC verknüpft waren. Bei Instance-Typen ist die Anzahl der IP-Adressen begrenzt, die Netzwerkschnittstellen zugeordnet werden können. Das sorgt für Herausforderungen in der Telekommunikation und für das Internet der Dinge (IoT), da der Datenverkehr für IP-Pools in diesen Bereichen die Limits überschreitet.

Durch dieses Routing entfällt die komplexe Adressübersetzung bei eingehenden Internetverbindungen. Sie können eigene öffentliche IP-Pools (BYOIP) verwenden und Ihr VPC-Internet-Gateway so konfigurieren, dass der Datenverkehr für den gesamten Pool akzeptiert und an eine einzige Netzwerkschnittstelle weitergeleitet wird. Dieses Feature ist besonders nützlich für:

Sie können dieses Routing in VPC Route Server integrieren, um in Failover-Szenarien dynamische Routenaktualisierungen zu ermöglichen.

Wichtigste Vorteile

Diese Routing-Methode bietet folgende Vorteile:

Verfügbarkeit

Sie können dieses Feature in allen kommerziellen AWS-Regionen, AWS-Regionen in China und AWS-GovCloud-Regionen verwenden.

Bevor Sie beginnen

Voraussetzungen für dieses Tutorial:

Funktionsweise

In diesem Abschnitt werden die technischen Konzepte des Internet-Gateway-Ingress-Routings erläutert. Außerdem wird beschrieben, wie der Datenverkehr vom Internet zu Ihrer Ziel-Instance gelangt.

Gründe zur Verwendung des Internet-Gateway-Ingress-Routings

Bisher mussten Sie aufgrund von ENI-Zuordnungslimits eine Adressübersetzung durchführen, um den Datenverkehr für eine große Anzahl von IP-Adressen zu konsolidieren. Diese Erweiterung beseitigt diese Komplexität, da sie das direkte Routing von BYOIP-Pools an Ziel-Instances ermöglicht.

Funktionsweise der Weiterleitung

Dieses Feature funktioniert nur mit den öffentlichen IP-CIDRs, die Sie gemäß dem BYOIP-Prozess zu AWS mitbringen. Der BYOIP-Prozess stellt sicher, dass das öffentliche IP-CIDR Teil Ihres Kontos ist. Wenn das öffentliche BYOIP-CIDR bereit ist:

Bewährte Methoden für

Schritt 1: Erstellen einer VPC

Führen Sie diesen Schritt aus, um eine VPC zu erstellen, die Ihre Ziel-Instance und Ihr Internet-Gateway hostet.

AWS Konsole

AWS CLI

aws ec2 create-vpc --cidr-block 10.0.0.0/16 --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=IGW-Ingress-VPC}]' --region us-east-1

Schritt 2: Erstellen und Zuordnen eines Internet-Gateways

Führen Sie diesen Schritt aus, um ein Internet-Gateway zu erstellen und an Ihre VPC anzufügen und dadurch die Internetverbindung zu aktivieren.

AWS Konsole

AWS CLI

aws ec2 create-internet-gateway --tag-specifications 'ResourceType=internet-gateway,Tags=[{Key=Name,Value=IGW-Ingress-Gateway}]' --region us-east-1

aws ec2 attach-internet-gateway --internet-gateway-id igw-0123456789abcdef0 --vpc-id vpc-0123456789abcdef0 --region us-east-1

Hinweis: Ersetzen Sie die Ressourcen-IDs durch Ihre tatsächlichen IDs aus dem vorherigen Schritt.

Schritt 3: Erstellen eines Subnetzes für die Ziel-Instance

Schließen Sie diesen Schritt ab, um ein Subnetz für Ihre Ziel-Instance zu erstellen.

AWS Konsole

AWS CLI

aws ec2 create-subnet \
    --vpc-id vpc-0123456789abcdef0 \
    --cidr-block 10.0.1.0/24 \
    --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=Target-Subnet}]' \
    --region us-east-1

Schritt 4: Erstellen einer Routing-Tabelle für das Subnetz

Führen Sie diesen Schritt aus, um eine Routing-Tabelle für Ihr Subnetz zu erstellen und dem Subnetz zuzuordnen.

AWS Konsole

AWS CLI

aws ec2 create-route-table \
    --vpc-id vpc-0123456789abcdef0 \
    --tag-specifications 'ResourceType=route-table,Tags=[{Key=Name,Value=Target-Subnet-Route-Table}]' \
    --region us-east-1

aws ec2 associate-route-table \
    --route-table-id rtb-0987654321fedcba0 \
    --subnet-id subnet-0123456789abcdef0 \
    --region us-east-1

Schritt 5: Erstellen einer Sicherheitsgruppe für die Ziel-Instance

Schließen Sie diesen Schritt ab, um eine Sicherheitsgruppe zu erstellen, die den Netzwerkzugriff auf Ihre Ziel-Instance steuert.

AWS Konsole

AWS CLI

aws ec2 create-security-group \
    --group-name IGW-Target-SG \
    --description "Security group for IGW ingress routing target instance" \
    --vpc-id vpc-0123456789abcdef0 \
    --region us-east-1

aws ec2 authorize-security-group-ingress \
    --group-id sg-0123456789abcdef0 \
    --protocol icmp \
    --port -1 \
    --cidr 0.0.0.0/0 \
    --region us-east-1

aws ec2 authorize-security-group-ingress \
    --group-id sg-0123456789abcdef0 \
    --protocol tcp \
    --port 22 \
    --cidr 0.0.0.0/0 \
    --region us-east-1

Schritt 6: Starten einer Ziel-EC2-Instance

Führen Sie diesen Schritt aus, um die EC2-Instance zu starten, die den Datenverkehr von Ihrem BYOIP-Pool empfängt.

AWS Konsole

AWS CLI

aws ec2 run-instances \
    --image-id ami-0abcdef1234567890 \
    --count 1 \
    --instance-type t2.micro \
    --key-name your-key-pair \
    --security-group-ids sg-0123456789abcdef0 \
    --subnet-id subnet-0123456789abcdef0 \
    --associate-public-ip-address \
    --tag-specifications 'ResourceType=instance,Tags=[{Key=Name,Value=IGW-Target-Instance}]' \
    --region us-east-1

Finden Sie die ENI-ID in der Konsole wie folgt:

Finden Sie die ENI-ID mit der AWS CLI wie folgt:

aws ec2 describe-instances --instance-ids i-0123456789abcdef0 --query 'Reservations[0].Instances[0].NetworkInterfaces[0].NetworkInterfaceId' --output text --region us-east-1

Schritt 7: Erstellen der Routing-Tabelle für das Internet-Gateway

Führen Sie diesen Schritt aus, um eine dedizierte Routing-Tabelle für das Internet-Gateway zu erstellen, das das Ingress-Routing verarbeitet.

AWS Konsole

AWS CLI

aws ec2 create-route-table \
    --vpc-id vpc-0123456789abcdef0 \
    --tag-specifications 'ResourceType=route-table,Tags=[{Key=Name,Value=IGW-Ingress-Route-Table}]' \
    --region us-east-1

Schritt 8: Zuordnen der Routing-Tabelle zum Internet-Gateway

Führen Sie diesen Schritt aus, um Ihre Routing-Tabelle dem Internet-Gateway zuzuordnen und die Ingress-Routing-Funktionalität zu aktivieren.

AWS Konsole

AWS CLI

aws ec2 associate-route-table \
    --route-table-id rtb-0123456789abcdef0 \
    --gateway-id igw-0123456789abcdef0 \
    --region us-east-1

Schritt 9: Zuordnen Ihres BYOIP-Pools zum Internet-Gateway

Führen Sie diesen Schritt aus, um Ihren BYOIP-Pool der Routing-Tabelle für das Internet-Gateway zuzuordnen, sodass die VPC Datenverkehr für Ihren IP-Bereich akzeptieren kann.

AWS Konsole

AWS CLI

aws ec2 associate-route-table \
    --route-table-id rtb-0123456789abcdef0 \
    --public-ipv4-pool pool-12345678901234567 \
    --region us-east-1

Hinweis: Ersetzen Sie rtb-0123456789abcdef0 durch die ID der Internet-Gateway-Routing-Tabelle und pool-12345678901234567 durch Ihre BYOIP-Pool-ID.

Schritt 10: Hinzufügen einer statischen Route mit Ihrer Instance als Ziel

Schließen Sie diesen Schritt ab, um eine Route hinzuzufügen, die den Datenverkehr von Ihrem BYOIP-Bereich zur Netzwerkschnittstelle Ihrer Ziel-Instance weiterleitet.

AWS Konsole

AWS CLI

aws ec2 create-route \
    --route-table-id rtb-0123456789abcdef0 \
    --destination-cidr-block 203.0.113.0/24 \
    --network-interface-id eni-0abcdef1234567890 \
    --region us-east-1

Schritt 11: Konfigurieren der Ziel-Instance

Führen Sie diesen Schritt aus, um Ihre Ziel-Instance zu konfigurieren, sodass der für BYOIP-Adressen bestimmte Datenverkehr ordnungsgemäß verarbeitet wird.

Wichtig: Schließen Sie die Instance-Konfiguration ab, bevor Sie die Konnektivität testen (Schritt 12). Damit das Ingress-Routing funktioniert, muss die Instance dafür konfiguriert sein, auf BYOIP-Adressen zu reagieren.

AWS Konsole

AWS CLI

aws ec2 modify-network-interface-attribute \
    --network-interface-id eni-0abcdef1234567890 \
    --no-source-dest-check \
    --region us-east-1

Schritt 12: Konfigurieren der Instance für die Verarbeitung des Datenverkehrs

Führen Sie diesen Schritt aus, um Ihrer Instance BYOIP-Adressen hinzuzufügen und die Quell-/Zielprüfung zu deaktivieren. Das ermöglicht die ordnungsgemäße Verarbeitung des Datenverkehrs.

AWS Konsole

AWS CLI

aws ec2 modify-network-interface-attribute \
    --network-interface-id eni-0abcdef1234567890 \
    --no-source-dest-check \
    --region us-east-1

Schritt 13: Testen der Verbindung

Führen Sie diesen Schritt aus, um zu überprüfen, ob der Internetverkehr ordnungsgemäß über die BYOIP-Adressen an Ihre Ziel-Instance weitergeleitet wird.

Fehlerbehebung

Verwenden Sie diesen Abschnitt, um häufig auftretende Probleme zu lösen, die bei der Einrichtung des Internet-Gateway-Ingress-Routings auftreten können.

Erweiterte Option: Route-Server-Integration für dynamisches Routing

Für Umgebungen, die ein automatisches Failover erfordern, kann diese Funktion in VPC Route Server integriert werden. Das ermöglicht Folgendes:

Dies ist besonders wichtig für Telekommunikations- und IoT-Anwendungsfälle, in denen eine hohe Verfügbarkeit unerlässlich ist.

Für Umgebungen, die dynamisches Routing, automatisches Failover und die Lastverteilung auf mehrere Instances erfordern, sollten Sie die Integration in AWS Route Server in Betracht ziehen. Route Server ermöglicht BGP-basiertes dynamisches Routing anstelle von statischen Routen. Das bietet folgende Vorteile:

Dies ist ein wichtiger Anwendungsfall für Bereitstellungen im Unternehmen, die hohe Verfügbarkeit und dynamische Routing-Funktionen erfordern. Detaillierte Anweisungen zur Einrichtung von Route Server finden Sie in der Dokumentation für AWS Route Server.

Bereinigen

Um laufende Gebühren zu vermeiden, sollten Sie die Ressourcen löschen, die Sie für dieses Tutorial erstellt haben:

Schritt 1: Beenden der EC2-Instance

Schließen Sie diesen Schritt ab, um die EC2-Instance zu beenden, damit keine weiteren Gebühren für Rechenressourcen anfallen.

AWS Konsole

AWS CLI

aws ec2 terminate-instances --instance-ids i-0123456789abcdef0 --region us-east-1

Schritt 2: Trennen eines Internet-Gateways von einer VPC

Führen Sie diesen Schritt aus, um das Internet-Gateway von Ihrer VPC zu trennen und zu löschen.

AWS Konsole

AWS CLI

aws ec2 detach-internet-gateway --internet-gateway-id igw-0123456789abcdef0 --vpc-id vpc-0123456789abcdef0 --region us-east-1

aws ec2 delete-internet-gateway --internet-gateway-id igw-0123456789abcdef0 --region us-east-1

Schritt 3: Löschen der VPC

Führen Sie diesen Schritt aus, um die VPC und alle zugehörigen Ressourcen zu löschen und damit die Bereinigung abzuschließen.

AWS Konsole

AWS CLI

aws ec2 delete-vpc --vpc-id vpc-0123456789abcdef0 --region us-east-1