View a markdown version of this page

Amplíe las VRF a AWS mediante AWS Transit Gateway Connect - Recomendaciones de AWS
ResumenRequisitos previos y limitacionesArquitecturaTools (Herramientas)EpicsRecursos relacionadosArchivos adjuntos

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Amplíe las VRF a AWS mediante AWS Transit Gateway Connect

Adam Till, Yashar Araghi, Vikas Dewangan y Mohideen, de Amazon Web Services HajaMohideen

Resumen

El enrutamiento y el reenvío virtuales (VRF) son una característica de las redes tradicionales. Utiliza dominios de enrutamiento lógico aislados, en forma de tablas de enrutamiento, para separar el tráfico de red dentro de la misma infraestructura física. Puede configurar AWS Transit Gateway para que admita el aislamiento de VRF al conectar su red en las instalaciones a AWS. Este patrón utiliza una arquitectura de ejemplo para conectar los VRF en las instalaciones a diferentes tablas de enrutamiento de las puertas de enlace de tránsito.

Este patrón utiliza interfaces virtuales de tránsito (VIF) en las conexiones de AWS Direct Connect y Transit Gateway Connect para ampliar los VRF. Un VIF de tránsito se utiliza para acceder a una o más puertas de enlace de tránsito de Amazon VPC asociadas a las puertas de enlace de Direct Connect. Una conexión de Transit Gateway Connect conecta una puerta de enlace de tránsito con un dispositivo virtual de terceros que se ejecuta en una VPC. Una conexión de Transit Gateway Connect admite el protocolo de túnel de encapsulación de enrutamiento genérico (GRE) para un alto rendimiento y el protocolo de puerta de enlace fronteriza (BGP) para el enrutamiento dinámico.

El enfoque descrito en este patrón tiene los siguientes beneficios:

  • Con Transit Gateway Connect, puede anunciar hasta 1000 rutas en el dispositivo homólogo de Transit Gateway Connect y recibir hasta 5000 rutas de este. El uso de la característica VIF de tránsito Direct Connect sin Transit Gateway Connect está limitado a 20 prefijos por puerta de enlace.

  • Puede mantener el aislamiento del tráfico y utilizar Transit Gateway Connect para proporcionar servicios con host en AWS, independientemente de los esquemas de direcciones IP que utilicen sus clientes.

  • No es necesario que el tráfico de VRF atraviese una interfaz virtual pública. Esto facilita el cumplimiento de los requisitos de cumplimiento y seguridad en muchas organizaciones.

  • Cada túnel de GRE admite hasta 5 Gbps y puede tener hasta cuatro túneles de GRE por cada conexión de Transit Gateway Connect. Es más rápido que muchos otros tipos de conexión, como las conexiones Site-to-Site VPN de AWS que admiten hasta 1,25 Gbps.

Requisitos previos y limitaciones

Requisitos previos 

Limitaciones

  • Hay límites para las conexiones de puerta de enlace de tránsito a las VPC en las cuentas de producción, control de calidad y desarrollo. Para obtener más información, consulte Conexión de puerta de enlace de tránsito a una VPC.

  • Existen límites para la creación y el uso de puertas de enlace de Direct Connect. Para obtener más información, consulte Cuotas AWS Direct Connect.

Arquitectura

Arquitectura de destino

El siguiente ejemplo de arquitectura proporciona una solución reutilizable para implementar VIF de tránsito con conexiones de Transit Gateway Connect. Esta arquitectura proporciona resiliencia mediante el uso de varias ubicaciones de Direct Connect. Para obtener más información, consulte Resiliencia máxima en la documentación de Direct Connect. La red en las instalaciones tiene VRF de producción, control de calidad y desarrollo que se extienden a AWS y se aíslan mediante tablas de enrutamiento específicas.

Diagrama de arquitectura del uso de los recursos de AWS Direct Connect y AWS Transit Gateway para ampliar las VRF

En el entorno de AWS, hay dos cuentas dedicadas a ampliar los VRF: una cuenta de Direct Connect y una cuenta del hub de red. La cuenta Direct Connect contiene la conexión y los VIF de tránsito de cada router. Los VIF de tránsito se crean desde la cuenta de Direct Connect, pero se implementan en la cuenta del hub de red para poder asociarlos a la puerta de enlace de Direct Connect en la cuenta del concentrador de red. La cuenta del hub de red contiene la puerta de enlace de Direct Connect y la puerta de enlace de tránsito. Los recursos de AWS están conectados de la siguiente manera:

  1. Los VIF de tránsito conectan los enrutadores de las ubicaciones de Direct Connect con AWS Direct Connect en la cuenta de Direct Connect.

  2. Un VIF de tránsito conecta Direct Connect con la puerta de enlace Direct Connect de la cuenta del hub de red.

  3. Una asociación de puertas de enlace de tránsito conecta la puerta de enlace Direct Connect con la puerta de enlace de tránsito de la cuenta del hub de red.

  4. Las conexiones Transit Gateway Connect conectan la puerta de enlace de tránsito con las VPC de las cuentas de producción, control de calidad y desarrollo.

Arquitectura Transit VIF

El siguiente diagrama muestra los detalles de configuración de los VIF de tránsito. En este ejemplo de arquitectura se utiliza una VLAN para la fuente del túnel, pero también se puede utilizar un bucle invertido.

Detalles de configuración de las conexiones VIF de tránsito entre los enrutadores y AWS Direct Connect

A continuación, se muestran los detalles de configuración, como los números de sistema autónomo (ASN), de las VIF de tránsito.

Recurso

Elemento

Detalle

router-01

ASN

65534

router-02

ASN

65534

router-03

ASN

65534

router-04

ASN

65534

Gateway de Direct Connect

ASN

64601

Puerta de enlace de tránsito

ASN

64600

Bloque CIDR

10.100.254. 0/24

Arquitectura Transit Gateway Connect

El diagrama y las tablas siguientes describen cómo configurar un VRF único a través de una conexión Transit Gateway Connect. Para VRFs adicionales, asigne IDs de túnel únicos, direcciones IP GRE de puerta de enlace de tránsito y BGP dentro de los bloques CIDR. La dirección IP GRE homóloga coincide con la dirección IP homóloga del router del VIF de tránsito.

Detalles de configuración de los túneles de GRE entre los enrutadores y la puerta de enlace de tránsito

La siguiente tabla contiene detalles de configuración del enrutador.

Enrutador

Túnel

Dirección IP

Origen

Destino

router-01

Túnel 1

169,254101,17

VLAN 60

169,254,1001

10,100,254.1

router-02

Túnel 11

169,254,101,81

VLAN 61

169,254,1005

10,100254,11

router-03

Túnel 21

169,254,101,145

VLAN 62

169,254,1009

10,100254,21

router-04

Túnel 31

169,254,101,209

VLAN 63

169,254100,13

10,100254,31

La siguiente tabla contiene detalles de la puerta de enlace de tránsito.

Túnel

Dirección IP GRE de puerta de enlace

Direcciones IP GRE del mismo nivel

BGP dentro de los bloques CIDR

Túnel 1

10,100254.1

VLAN 60

169,254,1001

169,254101. 16/29

Túnel 11

10100254,11

VLAN 61

169,254,1005

169,254101. 80/29

Túnel 21

10100254,21

VLAN 62

169,254,1009

169,254101. 144/29

Túnel 31

10,1254,31

VLAN 63

169,254,100,13

169,254101. 208/29

Implementación

La sección Epics describe cómo implementar un ejemplo de configuración para un único VRF en varios enrutadores de clientes. Una vez completados los pasos 1 a 5, puede crear nuevas conexiones de Transit Gateway Connect siguiendo los pasos 6 y 7 para cada VRF nuevo que extienda a AWS:

  1. Cree la puerta de enlace de tránsito.

  2. Crear una tabla de enrutamiento de la puerta de enlace de tránsito para cada VRF.

  3. Cree las interfaces virtuales de tránsito.

  4. Cree una puerta de enlace Direct Connect.

  5. Cree la interfaz virtual de la puerta de enlace Direct Connect y las asociaciones de puerta de enlace con los prefijos permitidos.

  6. Cree una conexión de Connect de puerta de enlace de tránsito.

  7. Crear pares de Transit Gateway Connect.

  8. Asocie las conexiones de Transit Gateway Connect con la tabla de enrutamiento.

  9. Anuncie las rutas a los enrutadores.

Tools (Herramientas)

Servicios de AWS

  • AWS Direct Connect vincula su red interna con una ubicación de Direct Connect a través de un cable estándar Ethernet de fibra óptica. Con esta conexión, puede crear interfaces virtuales directamente en servicios públicos de AWS omitiendo a los proveedores de servicios de Internet en su ruta de acceso a la red.

  • AWS Transit Gateway es un hub central que conecta las nubes privadas virtuales (VPC) y las redes en las instalaciones.

  • Amazon Virtual Private Cloud (Amazon VPC) le permite lanzar recursos de AWS en una red virtual que haya definido. Esta red virtual es similar a la red tradicional que utiliza en su propio centro de datos, con los beneficios de usar la infraestructura escalable de AWS.

Epics

TareaDescripciónHabilidades requeridas

Cree diagramas de arquitectura personalizados.

  1. En la sección Attachments (Conexiones), descargue la plantilla de diagrama.

  2. Abra el diagrama adjunto en Microsoft Office PowerPoint.

  3. En la diapositiva Architecture overview (Descripción general de la arquitectura), personalice el diagrama de arquitectura para su entorno. Identifique los VRF en las instalaciones que deben extenderse a su entorno de AWS.

  4. En la diapositiva Transit VIF (VIF de tránsito), personalice el diagrama de arquitectura. Identifique los números de AS de los enrutadores, la puerta de enlace de Direct Connect y la puerta de enlace de tránsito. Identifique las direcciones IP en cada extremo del VIF de tránsito.

  5. En la diapositiva Transit Gateway Connect, personalice un diagrama de arquitectura para cada VRF. Identifique todas las direcciones IP necesarias para configurar los enrutadores y los pares de Transit Gateway Connect.

Arquitecto de la nube, administrador de redes
TareaDescripciónHabilidades requeridas

Cree la puerta de enlace de tránsito.

  1. Inicie sesión en la cuenta del hub de red.

  2. Siga las instrucciones de Crear una puerta de enlace de tránsito. Tenga en cuenta lo siguiente para este patrón:

    • En Amazon side Autonomous System Number (ASN) (Número de sistema autónomo (ASN) de Amazon), ingrese el ASN único. A los efectos de este ejemplo, el ASN es 64600.

    • Seleccione DNS support (Compatibilidad de DNS).

    • Para este ejemplo de arquitectura, no se requieren la compatibilidad con ECMP de VPN, la Asociación de tablas de enrutamiento predeterminada, la Prórroga de la tabla de enrutamiento predeterminada ni la Compatibilidad con multidifusión.

    • En los bloques CIDR de Transit Gateway, introduzca los bloques CIDR IPv4 para su puerta de enlace de tránsito. A los efectos de este ejemplo, el bloque de CIDR es 10.100.254.0/24.

Administrador de redes, arquitecto de la nube

Cree una tabla de enrutamiento para la puerta de enlace de tránsito.

Siga las instrucciones de Crear una tabla de enrutamiento para la puerta de enlace de tránsito. Tenga en cuenta lo siguiente para este patrón:

  • En Name tag (Nombre de la etiqueta), escriba un nombre para la tabla de enrutamiento de la puerta de enlace de tránsito. Recomendamos usar un nombre que corresponda al VRF, como routetable-dev-vrf.

  • En Transit Gateway ID (ID de gateway de tránsito), elija la puerta de enlace de tránsito que creó.

Arquitecto de la nube, administrador de redes
TareaDescripciónHabilidades requeridas

Cree las interfaces virtuales de tránsito.

  1. Inicie sesión en la cuenta Direct Connect.

  2. Siga las instrucciones para Crear una interfaz virtual de tránsito en la puerta de enlace de Direct Connect. Tenga en cuenta lo siguiente para este patrón:

    • En Virtual interface name (Nombre de la interfaz virtual), escriba un nombre para la interfaz virtual. Recomendamos usar un nombre que corresponda al enrutador, como transit-vif-router01.

    • En Connection (Conexión), seleccione el enrutador, por ejemplo router-01.

    • Para el Virtual interface owner (Propietario de la interfaz virtual), introduzca el ID de cuenta de la cuenta del hub de red. Para obtener instrucciones, consulte Ver el ID de su cuenta de AWS.

    • Para la puerta de enlace Direct Connect, no haga ninguna selección. La puerta de enlace Direct Connect se conecta en un paso posterior.

    • Para la VLAN, introduzca la VLAN del enrutador, por ejemplo 60.

    • Para ASN BGP, introduzca el ASN del enrutador, por ejemplo 65534.

    • En Additional Settings (Configuración adicional), haga lo siguiente:

      • Elija IPv4.

      • Para la IP homóloga de su enrutador, introduzca la dirección IP homóloga del enrutador, por ejemplo 169.254.100.1.

      • Para la IP homóloga del enrutador Amazon, introduzca la dirección IP homóloga del enrutador de Amazon, por ejemplo 169.254.100.2.

      • Para la clave de autenticación BGP, se requiere una contraseña. Si se deja en blanco, AWS crea una clave a la que solo se puede acceder en esta cuenta.

  3. Repita estas instrucciones para crear todos los VIF de tránsito para el VRF.

Arquitecto de la nube, administrador de redes
TareaDescripciónHabilidades requeridas

Cree una puerta de enlace de Direct Connect.

  1. Inicie sesión en la cuenta del hub de red.

  2. Siga las instrucciones de Creación de una puerta de enlace de Direct Connect. Tenga en cuenta lo siguiente para este patrón:

    • Para el ASN de Amazon, introduzca el ASN de la puerta de enlace Direct Connect, como 64601.

    • No elija una puerta de enlace privada virtual.

Arquitecto de la nube, administrador de redes

Conecte la puerta de enlace Direct Connect a los VIF de tránsito.

  1. En la cuenta del hub de red, abra la consola AWS Direct Connect en https://console.aws.amazon.com/directconnect/v2/.

  2. En el panel de navegación, elija Virtual Interfaces.

  3. Seleccione un nuevo VIF de tránsito y, a continuación, elija Accept (Aceptar).

  4. Elija la puerta de enlace Direct Connect que creó.

  5. Repita estas instrucciones para cada VIF de tránsito.

Arquitecto de la nube, administrador de redes

Cree las asociaciones de puerta de enlace Direct Connect con los prefijos permitidos.

En la cuenta del hub de red, siga las instrucciones de Para asociar una puerta de enlace de tránsito. Tenga en cuenta lo siguiente para este patrón:

  • En Transit Gateway ID (ID de puerta de enlace de tránsito), elija la puerta de enlace de tránsito que creó.

  • En Allowed prefixes (Prefijos permitidos), introduzca el bloque CIDR asignado a la puerta de enlace de tránsito, por ejemplo 10.100.254.0/24.

Al crear esta asociación, se crea automáticamente una conexión de puerta de enlace de tránsito que tiene un tipo de recurso Direct Connect Gateway. No es necesario que esta conexión esté asociada a una tabla de enrutamiento de puerta de enlace de tránsito.

Arquitecto de la nube, administrador de redes

Cree una conexión de Connect de puerta de enlace de tránsito.

  1. En la cuenta del hub de red, abra la consola de Amazon VPC en. https://console.aws.amazon.com/vpc/

  2. En el panel de navegación, elija Transit gateway attachments (Conexiones de puerta de enlace de tránsito).

  3. Elija Create transit gateway attachment (Crear conexión de puerta de enlace de tránsito).

  4. En Name (Nombre), escriba un nombre para la conexión. Recomendamos usar un nombre que corresponda al VRF, como PROD-VRF.

  5. En Transit Gateway ID (ID de puerta de enlace de tránsito), elija la puerta de enlace de tránsito que creó.

  6. En Attachment type (Tipo de conexión), elija Connect.

  7. Para el Transport attachment ID (ID de conexión de transporte), elija la puerta de enlace de Direct Connect que creó anteriormente.

  8. Elija Create transit gateway attachment (Crear conexión de puerta de enlace de tránsito).

  9. Repita este paso para cada VRF que vaya a ampliar.

Arquitecto de la nube, administrador de redes

Crear pares de Transit Gateway Connect.

  1. En la cuenta del hub de red, siga las instrucciones de Crear un homólogo de Transit Gateway Connect (túnel de GRE). Tenga en cuenta lo siguiente para este patrón:

    • En Name tag (Nombre de la etiqueta), puede escribir un nombre para la puerta de enlace de tránsito. Recomendamos usar un nombre que corresponda al enrutador, como connectpeer-router01.

    • Para la dirección GRE de Transit Gateway, introduzca la dirección IP asignada desde el bloque CIDR, por ejemplo 10.100.254.1.

    • Para la dirección GRE homóloga, introduzca la dirección IP asignada a la VLAN creada en el enrutador para el VIF de tránsito, por ejemplo 169.254.100.1. Siempre que AWS pueda acceder a la dirección IP, puede utilizar cualquier interfaz, como VLAN o Loopback, para la dirección GRE homóloga.

    • Para el BGP dentro de los bloques CIDR (IPv4), introduzca la dirección IP del BGP dentro del bloque CIDR, por ejemplo 169.254.101.16/29.

    • Para ASN homólogo, introduzca el ASN del enrutador, por ejemplo 65534.

  2. Repita estas instrucciones para crear un túnel de GRE para cada enrutador.

Recursos relacionados

Documentación de AWS

Publicaciones del blog de AWS

Archivos adjuntos

Para acceder al contenido adicional asociado a este documento, descargue y descomprima el siguiente archivo: attachment.zip