Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Opciones de segmentación del tráfico en AWS Direct Connect
Fecha de publicación: 9 de noviembre de 2023 () Historial del diagrama
Esta arquitectura muestra las opciones de segmentación del tráfico AWS Direct Connect, como el uso de varias VIF privadas en la VPC o la Direct Connect puerta de enlace, el uso de los archivos adjuntos de AWS Transit Gateway Connect a través de la VIF de tránsito y el uso de AWS Site-to-Site VPN conexiones a través de la VIF de tránsito.
Segmenta tu tráfico AWS Direct Connect mediante el uso de varias VIF privadas en la VPC o Direct Connect Diagrama de puerta de enlace
Las interfaces virtuales privadas (VIF) se utilizan para acceder a Amazon Virtual Private Cloud (Amazon VPC) mediante direcciones IP privadas. Cada VIF está configurada con una etiqueta única de red de área local virtual (VLAN), lo que significa que puede segmentar el tráfico mediante el uso de una VIF por cada enrutamiento y reenvío virtuales (VRF) que tenga en su centro de datos. Tenga en cuenta los límites de la cantidad de VIF, según el tipo de conexión que tenga. Direct Connect Puedes tener 50 VIF privados o públicos con una conexión dedicada y un VIF privado o público con una conexión alojada. Además, puede tener 30 VIF privados asociados a la misma puerta de enlace. Direct Connect Puedes consultar las cuotas en la guía del Direct Connect usuario.
-
El tráfico iniciado desde una instancia en Spoke VPC A y destinado al servidor del centro de datos corporativo (en el VRF A) se dirige a la puerta de enlace privada virtual de acuerdo con la tabla de enrutamiento A de Spoke VPC.
-
La puerta de enlace privada virtual está asociada a la Direct Connect puerta de enlace, que utiliza una VIF (VLAN) privada para conectarse al centro de datos corporativo. Para lograr la segmentación, utilice varios VIF privados. El router local debe configurarse para usar una conexión VIF (VLAN) diferente por cada VRF configurado.
-
El router local reenvía el tráfico del VIF A privado al VRF A y al servidor de destino.
-
El tráfico del VRF B del centro de datos corporativo destinado a Spoke VPC B se envía primero a la puerta de enlace del cliente ubicada en el centro de datos.
-
La puerta de enlace del cliente utiliza el VIF B privado (a través del Direct Connect enlace) para enviar el tráfico a la puerta de enlace privada virtual de la VPC B.
-
El tráfico se reenvía al destino según la tabla de rutas de Spoke VPC B.
Segmenta tu tráfico AWS Direct Connect mediante el uso de varios VIF de tránsito y Direct Connect Diagrama de pasarelas
Las interfaces virtuales de tránsito (VIF) se utilizan para acceder a través de una AWS Transit Gateway puerta de enlace. Direct Connect Cada VIF está configurada con una etiqueta única de red de área local virtual (VLAN), lo que significa que puede segmentar el tráfico mediante el uso de una VIF por cada enrutamiento y reenvío virtuales (VRF) que tenga en su centro de datos. Tenga en cuenta los límites de la cantidad de VIF, según el tipo de conexión que tenga. Direct Connect Puedes tener cuatro VIF de tránsito con una combinación máxima de 51 VIF privados, públicos y de tránsito por conexión dedicada. En el caso de las conexiones alojadas, solo puedes tener un VIF de tránsito. Además, puede tener 30 VIF de tránsito asociados a la misma Direct Connect puerta de enlace. Puedes consultar las cuotas en la guía del Direct Connect usuario.
-
El tráfico iniciado desde una instancia de Spoke VPC A y destinado al servidor del centro de datos corporativo (en el VRF A) se dirige de AWS Transit Gateway acuerdo con la tabla de enrutamiento A de Spoke VPC.
-
Transit Gateway está asociado a varias Direct Connect puertas de enlace (DXGW), cada una de las cuales utiliza una VIF de tránsito (VLAN) para conectarse al centro de datos corporativo, lo que logra la segmentación del tráfico. El router local debe configurarse para usar una conexión VIF (VLAN) diferente por cada VRF configurado.
-
El tráfico se reenvía a DXGW A de acuerdo con la tabla de rutas de Transit Gateway del segmento A asociada al adjunto de la VPC A.
-
El router local reenvía el tráfico del VIF A de tránsito al VRF A y al servidor de destino.
-
El tráfico del VRF B del centro de datos corporativo destinado a Spoke VPC B se envía primero a la puerta de enlace del cliente ubicada en el centro de datos.
-
La pasarela de clientes utiliza el VIF B de tránsito (a través del Direct Connect enlace) para enviar el tráfico al segmento B de Transit Gateway.
-
El tráfico se reenvía a la VPC B de acuerdo con la tabla de rutas de Transit Gateway del segmento B.
-
El tráfico se reenvía al destino según la tabla de rutas de la VPC B.
Uso AWS Transit Gateway Conecta los archivos adjuntos y AWS Direct Connect para extender sus On-Premises VRF a través del diagrama de VIF de tránsito
Con una conexión alojada, obtienes un VIF de tránsito; con una conexión dedicada, obtienes cuatro. Cuando tienes más VRF que VIF de tránsito, puedes usar varios adjuntos de Transit Gateway Connect (túneles GRE) sobre un VIF de tránsito para segmentar el tráfico y crear un adjunto de conexión por cada VRF que tengas en tu centro de datos. Para obtener más información sobre este caso práctico, consulte Uso de AWS Transit Gateway Connect para ampliar los VRF y aumentar la publicidad con prefijos IP.
-
El tráfico iniciado desde una instancia en Spoke VPC A y destinado al servidor del centro de datos corporativo (en el VRF A) se dirige a la interfaz de red elástica de Transit Gateway (TGW ENI) de acuerdo con la tabla de enrutamiento de Spoke VPC A.
-
El tráfico se reenvía a Transit Gateway. Luego, el tráfico se dirige al centro de datos corporativo a través del adjunto A de Transit Gateway Connect de acuerdo con la tabla de rutas del segmento A.
-
El adjunto Transit Gateway Connect utiliza la Direct Connect conexión como medio de transporte y conecta Transit Gateway con el router del centro de datos corporativo mediante la encapsulación de enrutamiento genérico (GRE), la tunelización y el protocolo Border Gateway (BGP). El router local debe configurarse para usar un adjunto de conexión diferente por cada VRF configurado.
-
El router local reenvía el tráfico del adjunto A de Connect al VRF A y al servidor de destino.
-
El tráfico del VRF B del centro de datos corporativo destinado a Spoke VPC B se envía primero a la puerta de enlace del cliente ubicada en el centro de datos.
-
La puerta de enlace para clientes utiliza el túnel GRE del accesorio B de Transit Gateway Connect (a través del Direct Connect enlace) para enviar el tráfico a Transit Gateway.
-
El tráfico se reenvía al adjunto Spoke VPC B de acuerdo con la tabla de rutas del segmento B de Transit Gateway.
-
El TGW ENI de Spoke VPC B reenvía el tráfico al destino.
Uso AWS Site-to-Site VPN Archivos adjuntos (VIF públicos) y AWS Direct Connect para ampliar su diagrama de On-Premises VRF
Si la puerta de enlace de su cliente no admite la encapsulación de enrutamiento genérica (GRE), aún puede segmentar el tráfico creando una AWS Site-to-Site VPN conexión por cada VRF que tenga en su centro de datos. Puede usar un VIF público como transporte subyacente.
-
El tráfico iniciado desde una instancia de Spoke VPC A y destinado al servidor del centro de datos corporativo (en el VRF A) se dirige a la interfaz de red elástica de Transit Gateway (TGW ENI) de acuerdo con la tabla de rutas de la VPC A de Spoke.
-
El tráfico se reenvía a Transit Gateway. Luego, el tráfico se dirige al centro de datos corporativo a través de la conexión Site-to-Site VPN A de acuerdo con la tabla de enrutamiento del segmento A.
-
La conexión Site-to-Site VPN se crea utilizando una VIF pública como transporte (VLAN). El enrutador local debe configurarse para usar una conexión VPN diferente por cada VRF configurado.
-
El router local reenvía el tráfico de la conexión Site-to-Site VPN A al VRF A y al servidor de destino.
-
El tráfico del VRF B del centro de datos corporativo destinado a Spoke VPC B se envía primero a la puerta de enlace del cliente ubicada en el centro de datos.
-
La puerta de enlace del cliente elige la conexión Site-to-Site VPN B para enviar el tráfico a la puerta de enlace de tránsito a través del Direct Connect enlace.
-
El tráfico se reenvía al adjunto Spoke VPC B de acuerdo con la tabla de rutas del segmento B de Transit Gateway.
-
El TGW ENI de Spoke VPC B reenvía el tráfico al destino.
Uso AWS Site-to-Site VPN Archivos adjuntos de VPN con IP privada y AWS Direct Connect para extender sus On-Premises VRF a través del diagrama de VIF de tránsito
Si la puerta de enlace de su cliente no admite el GRE (encapsulación de enrutamiento genérico), puede segmentar el tráfico creando una AWS Site-to-Site VPN conexión (con dos túneles) por cada VRF que tenga en su centro de datos. Con la función Site-to-Site VPN de IP privada, puede crear las VPN utilizando IP privadas con la AWS Direct Connect puerta de enlace y el VIF de tránsito como transporte subyacente.
-
El tráfico iniciado desde una instancia en Spoke VPC A y destinado al servidor del centro de datos corporativo (en VRF A) se dirige a la interfaz de red AWS Transit Gateway elástica (TGW ENI) de acuerdo con la tabla de rutas A de Spoke VPC.
-
El tráfico se reenvía a Transit Gateway. Luego, el tráfico se dirige al centro de datos corporativo a través del adjunto A de la VPN de Transit Gateway, de acuerdo con la tabla de rutas del segmento A.
-
El adjunto Site-to-Site VPN de Transit Gateway utiliza la Direct Connect conexión como medio de transporte y conecta Transit Gateway al router del centro de datos corporativo mediante una conexión VPN IPsec (con dos túneles). El enrutador local debe configurarse para usar un adjunto de VPN diferente por cada VRF configurado.
-
El router local reenvía el tráfico del adjunto VPN A al VRF A y al servidor de destino.
-
El tráfico del VRF B del centro de datos corporativo destinado a Spoke VPC B se envía primero a la puerta de enlace del cliente ubicada en el centro de datos.
-
La puerta de enlace del cliente utiliza la conexión Site-to-Site VPN B, a través del Direct Connect enlace, para enviar el tráfico a Transit Gateway.
-
El tráfico se reenvía al adjunto Spoke VPC B de acuerdo con la tabla de rutas del segmento B de Transit Gateway.
-
El TGW ENI de Spoke VPC B reenvía el tráfico al destino.
Documentación adicional
Para obtener información adicional, consulte
Colaboradores
Entre los colaboradores de este diagrama de arquitectura de referencia se incluyen:
-
Pablo Sánchez Carmona, arquitecto especializado en soluciones de Amazon Web Services
-
Thaddeus Worsnop, arquitecto sénior de soluciones de Amazon Web Services
Historial del diagrama
Para recibir notificaciones sobre las actualizaciones de este diagrama de arquitectura de referencia, suscríbase a la fuente RSS.
| Cambio | Descripción | Fecha |
|---|---|---|
Diagrama actualizado | Se agregó segmentar el tráfico AWS Direct Connect mediante el uso de varios VIF y Direct Connect pasarelas de tránsito | 9 de noviembre de 2023 |
Publicación inicial | El diagrama de arquitectura de referencia se publicó por primera vez. | 30 de junio de 2022 |
nota
Para suscribirse a las actualizaciones de RSS, debe tener un complemento de RSS habilitado para el navegador que esté utilizando.
