配置 Direct Connect Classic 连接
如果您已有 Direct Connect 连接,请配置 Classic 连接。
步骤 1:注册 AWS
要使用 Direct Connect,您需要创建一个账户(如果还没有)。
注册 AWS 账户
如果您还没有 AWS 账户,请完成以下步骤来创建一个。
注册 AWS 账户
打开 https://portal.aws.amazon.com/billing/signup
。 按照屏幕上的说明操作。
在注册时,将接到电话或收到短信,要求使用电话键盘输入一个验证码。
当您注册 AWS 账户 时,系统将会创建一个 AWS 账户根用户。根用户有权访问该账户中的所有 AWS 服务和资源。作为最佳安全实践,请为用户分配管理访问权限,并且只使用根用户来执行需要根用户访问权限的任务。
注册过程完成后,AWS 会向您发送一封确认电子邮件。在任何时候,您都可以通过转至 https://aws.amazon.com/
创建具有管理访问权限的用户
注册 AWS 账户 后,请保护好您的 AWS 账户根用户,启用 AWS IAM Identity Center,并创建一个管理用户,以避免使用根用户执行日常任务。
保护您的 AWS 账户根用户
-
选择根用户并输入您的 AWS 账户 电子邮件地址,以账户拥有者身份登录 AWS 管理控制台
。在下一页上,输入您的密码。 要获取使用根用户登录方面的帮助,请参阅《AWS 登录 用户指南》中的 Signing in as the root user。
-
为您的根用户启用多重身份验证(MFA)。
有关说明,请参阅《IAM 用户指南》中的为 AWS 账户 根用户启用虚拟 MFA 设备(控制台)。
创建具有管理访问权限的用户
-
启用 IAM Identity Center。
有关说明,请参阅《AWS IAM Identity Center 用户指南》中的 Enabling AWS IAM Identity Center。
-
在 IAM Identity Center 中,为用户授予管理访问权限。
有关如何使用 IAM Identity Center 目录 作为身份源的教程,请参阅《AWS IAM Identity Center 用户指南》中的 Configure user access with the default IAM Identity Center 目录。
以具有管理访问权限的用户身份登录
-
要使用您的 IAM Identity Center 用户身份登录,请使用您在创建 IAM Identity Center 用户时发送到您的电子邮件地址的登录网址。
要获取使用 IAM Identity Center 用户登录方面的帮助,请参阅《AWS 登录 用户指南》中的 Signing in to the AWS access portal。
将访问权限分配给其他用户
-
在 IAM Identity Center 中,创建一个权限集,该权限集遵循应用最低权限的最佳做法。
有关说明,请参阅《AWS IAM Identity Center 用户指南》中的 Create a permission set。
-
将用户分配到一个组,然后为该组分配单点登录访问权限。
有关说明,请参阅《AWS IAM Identity Center 用户指南》中的 Add groups。
步骤 2:请求 Direct Connect 专用连接
对于专用连接,您可以使用 Direct Connect 控制台提交连接申请。对于托管连接,请与 AWS Direct Connect 合作伙伴一起请求托管连接。确保您具有以下信息:
-
您需要的端口速度。在您创建连接请求之后,将无法更改端口速度。
-
要终止连接的 Direct Connect 位置。
注意
您不能使用 Direct Connect 控制台来请求托管连接。而是联系 AWS Direct Connect 合作伙伴,他们可以为您创建托管连接,然后您接受连接。请跳过以下步骤并转至接受托管连接。
创建新的Direct Connect 连接
访问 https://console.aws.amazon.com/directconnect/v2/home
并打开 Direct Connect 控制台。 -
在导航窗格中,选择连接,然后选择创建连接。
-
选择 Classic。
-
在 Create Connection (创建连接) 窗格上,在 Connection settings (连接设置) 下,执行以下操作:
-
对于 Name (名称),输入连接的名称。
-
对于 Location (位置),选择适当的 Direct Connect 位置。
-
如果适用,对于 Sub Location (Sub 位置),选择最接近您或您的网络提供商的楼层。此选项仅在该位置在建筑物的多个楼层中设有汇接机房 (MMR) 时可用。
-
对于 Port Speed (端口速度),选择连接带宽。
-
对于本地,当您使用此连接来连接到数据中心时,选择通过 Direct Connect 合作伙伴连接。
-
对于服务提供商,选择 AWS Direct Connect 合作伙伴。如果您使用的合作伙伴不在列表中,请选择 Other (其他)。
-
如果您为服务提供商选择了其他,则对于其他提供商的名称,请输入您使用的合作伙伴的名称。
-
(可选)添加或删除标签。
[添加标签] 选择 Add tag(添加标签),然后执行以下操作:
对于 Key(键),输入键名称。
对于值,输入键值。
[删除标签] 在标签旁,选择 Remove tag (删除标签)。
-
-
选择 Create Connection (创建连接)。
AWS 审核您的请求并为您的连接配置端口可能需要长达 72 工作小时。在此期间,您可能会收到一封电子邮件,其中包含有关您的使用案例或指定位置的更多信息的请求。此电子邮件会发送到您注册 AWS 时使用的电子邮件地址。您必须在 7 日内回复,否则将删除该连接。
有关更多信息,请参阅 Direct Connect 专用和托管连接。
接受托管连接
您必须先在 Direct Connect 控制台中接受该托管连接,然后才能创建虚拟接口。此步骤仅适用于托管连接。
如何接受托管虚拟接口
访问 https://console.aws.amazon.com/directconnect/v2/home
并打开 Direct Connect 控制台。 -
在导航窗格中,选择 Connections (连接)。
-
选择托管连接,然后选择接受。
选择 Accept (接受)。
(专用连接)步骤 3:下载 LOA-CFA
在您请求连接后,我们会向您提供授权证书和连接设备分配(LOA-CFA)供您下载,或通过电子邮件向您请求更多信息。LOA-CFA 是连接到 AWS 时使用的授权,主机托管提供商或您的网络提供商建立交叉网络连接(cross-connect)时需要此授权。
下载 LOA-CFA
访问 https://console.aws.amazon.com/directconnect/v2/home
并打开 Direct Connect 控制台。 -
在导航窗格中,选择 Connections (连接)。
-
选择连接,然后选择 View Details (查看详细信息)。
-
选择下载 LOA-CFA。
LOA-CFA 以 PDF 文件格式下载到您的计算机中。
注意
如果未启用链接,则 LOA-CFA 尚不可供您下载。查看您的电子邮件,了解是否要求您提供更多信息。如果仍不可用,或者您在 72 工作小时后仍未收到电子邮件,请联系 AWS 支持
。 -
在您下载 LOA-CFA 以后,执行以下操作之一:
-
如果您正在与 AWS Direct Connect 合作伙伴或网络提供商合作,请向他们发送 LOA-CFA,以便他们能够在 Direct Connect 位置为您订购交叉连接。如果他们无法为您订购交叉连接,您可以直接联系主机托管提供商。
-
如果您在 Direct Connect 位置有设备,请联系主机托管提供商以请求交叉网络连接。您必须为托管供应商的客户。您还必须向他们提供授权连接到 AWS 路由器的 LOA-CFA,以及连接到您的网络所需的信息。
-
Direct Connect作为多个站点列出的 位置 (例如,Equinix DC1-DC6 & DC10-DC11) 将设置为校园。如果您或您的网络提供商的设备位于其中任一站点中,您可以请求交叉连接到所分配的端口,即使该端口位于校园内的不同建筑物中。
重要
园区被视为单个 Direct Connect 位置。要实现高可用性,请配置与不同 Direct Connect 位置的连接。
如果您或您的网络提供商在建立物理连接时遇到问题,请参阅排查第 1 层(物理)问题。
步骤 4:创建虚拟接口
要开始使用您的 Direct Connect 连接,您必须创建一个虚拟接口。您可以创建一个私有虚拟接口来连接到您的 VPC。或者,您也可以创建一个公有虚拟接口,以连接到不在 VPC 中的 AWS 公有服务。创建与 VPC 的私有虚拟接口时,您需要所要连接到的各 VPC 的私有虚拟接口。例如,您需要三个私有虚拟接口连接到三个 VPC。
在您开始之前,请确保您已拥有以下信息:
| 资源 | 所需信息 |
|---|---|
| Connection | 要为其创建虚拟接口的 Direct Connect 连接或链接聚合组(LAG)。 |
| 虚拟接口名称 | 虚拟接口的名称。 |
| 虚拟接口所有者 | 如果要为另一个账户创建虚拟接口,您需要其他账户的 AWS 账户 ID。 |
| (仅限私有虚拟接口)连接 | 要连接到同一 AWS 区域中的 VPC,您需要 VPC 的虚拟私有网关。BGP 会话 Amazon 端的 ASN 从虚拟私有网关继承。当您创建虚拟私有网关时,您可以指定自己的私有 ASN。否则,Amazon 会提供默认 ASN。有关更多信息,请参阅《Amazon VPC 用户指南》中的创建虚拟私有网关。要通过 Direct Connect 网关连接到 VPC,您需要 Direct Connect 网关。有关更多信息,请参阅 Direct Connect 网关。 |
| VLAN | 您的连接上尚未使用的唯一虚拟局域网(VLAN)标签。该值必须介于 1 和 4094 之间,并且必须符合以太网 802.1Q 标准。任何经过 Direct Connect 连接的流量都必须有此标签。 如果使用托管连接,您的 AWS Direct Connect 合作伙伴会提供此值。创建虚拟接口后,无法修改此值。 |
| 对等 IP 地址 | 虚拟接口支持 IPv4、IPv6 或其中一个(双堆栈)的 BGP 对等会话。请勿使用 Amazon 池中的弹性 IP(EIP)或自带 IP 地址(BYOIP)来创建公有虚拟接口。您无法在同一个虚拟接口上为同一 IP 地址系列创建多个 BGP 会话。IP 地址范围分配到 BGP 对等会话虚拟接口的每一端。
|
| 地址系列 | BGP 对等会话是通过 IPv4 还是 IPv6 进行。 |
| BGP 信息 |
|
| (仅限公有虚拟接口)您要公布的前缀 | 通过 BGP 公布的公有 IPv4 路由或 IPv6 路由。您必须使用 BGP 至少公布一个前缀,最多 1000 个前缀。
|
| (仅限私有和中转虚拟接口)巨型帧 | Direct Connect 上数据包的最大传输单元(MTU)。默认为 1500。将虚拟接口的 MTU 设置为 9001(巨型帧)可能会导致更新底层物理连接(如果它之前未更新以支持巨型帧)。更新连接会中断与连接关联的所有虚拟接口的网络连接,最长可达 30 秒。巨型帧仅适用于从 Direct Connect 传播的路由。如果在路由表中添加指向虚拟私有网关的静态路由,则通过静态路由传输的流量将使用 1500 MTU 发送。要检查连接或虚拟接口是否支持巨型帧,请在 Direct Connect 控制台中将其选中,然后在虚拟接口常规配置页面上找到支持巨型帧。 |
如果您的公有前缀或 ASN 属于某个 ISP 或网络运营商,我们会请求您提供其他信息。这可以是使用公司抬头的文档,也可以是来自公司域名的用于验证该网络前缀/ASN 可能由您使用的电子邮件。
对于私有虚拟接口和公有虚拟接口,网络连接的最大传输单元 (MTU) 是可以通过连接传递的数据包的最大允许大小(以字节为单位)。私有虚拟接口的 MTU 可以是 1500 或 9001(巨型帧)。中转虚拟接口的 MTU 可以是 1500 或 8500(巨型帧)。您可以在创建接口时指定 MTU,也可以在创建接口后对其进行更新。将虚拟接口的 MTU 设置为 8500(巨型帧)或 9001(巨型帧)可能会导致更新底层物理连接(如果它之前未更新以支持巨型帧)。更新连接会中断与连接关联的所有虚拟接口的网络连接,最长可达 30 秒。要检查连接或虚拟接口是否支持巨型帧,请在 Direct Connect 控制台中将其选中,然后在摘要选项卡上找到支持巨型帧。
当您创建一个公有虚拟接口时,AWS 可能需要长达 72 工作小时来审核和批准您的请求。
配置与非 VPC 服务间的公有虚拟接口
访问 https://console.aws.amazon.com/directconnect/v2/home
并打开 Direct Connect 控制台。 -
在导航窗格中,选择 Virtual Interfaces。
-
选择 Create virtual interface (创建虚拟接口)。
-
在 Virtual interface type (虚拟接口类型) 下,对于 Type (类型),选择 Public (公有)。
-
在 Public virtual interface settings (公有虚拟接口设置) 下,执行以下操作:
-
对于 Virtual interface name (虚拟接口名称),输入虚拟接口名称。
-
对于 Connection (连接),选择要用于此接口的 Direct Connect 连接。
-
对于 VLAN,输入您的虚拟局域网 (VLAN) 的 ID 号。
-
对于 BGP ASN,请输入新虚拟接口的本地对等路由器的边界网关协议自治系统编号。有效值为 1 到 4294967294。这包括对 ASN (1-2147483647) 和长 ASN (1-4294967294) 的支持。有关 ASN 和长 ASN 的更多信息,请参阅 Direct Connect 对长 ASN 的支持。
-
-
在 Additional settings (其他设置) 下,执行以下操作:
-
要配置 IPv4 BGP 或 IPv6 对等,请执行以下操作:
[IPv4] 要配置 IPv4 BGP 对等,请选择 IPv4,然后执行下列操作之一:
-
要自行指定这些 IP 地址,对于 Your router peer IP (您的路由器对等 IP),输入 Amazon 将流量发送到的目标 IPv4 CIDR 地址。
-
对于 Amazon 路由器对等 IP,输入用于将流量发送到 AWS 的 IPv4 CIDR 地址。
[IPv6] 要配置 IPv6 BGP 对等,请选择 IPv6。对等 IPv6 地址会从 Amazon 的 IPv6 地址池自动分配。您无法指定自定义 IPv6 地址。
-
-
要提供您自己的 BGP 密钥,请输入您的 BGP MD5 密钥。
如果您不输入值,我们将生成一个 BGP 密钥。
-
要将前缀公布到 Amazon,对于 Prefixes you want to advertise (您要公布的前缀),输入通过虚拟接口将流量路由到的 IPv4 CIDR 目标地址(用逗号分隔)。
-
(可选)添加或删除标签。
[添加标签] 选择 Add tag(添加标签),然后执行以下操作:
-
对于 Key(键),输入键名称。
-
对于值,输入键值。
[删除标签] 在标签旁,选择 Remove tag (删除标签)。
-
-
-
选择 Create virtual interface (创建虚拟接口)。
配置与 VPC 间的私有虚拟接口
访问 https://console.aws.amazon.com/directconnect/v2/home
并打开 Direct Connect 控制台。 -
在导航窗格中,选择 Virtual Interfaces。
-
选择 Create virtual interface (创建虚拟接口)。
-
在虚拟接口类型下,对于类型,选择私有。
-
在私有虚拟接口设置下,执行以下操作:
-
对于 Virtual interface name (虚拟接口名称),输入虚拟接口名称。
-
对于 Connection (连接),选择要用于此接口的 Direct Connect 连接。
-
对于网关类型,选择虚拟私有网关或 Direct Connect 网关。
-
对于虚拟接口所有者,选择其他 AWS 账户,然后输入 AWS 账户。
-
对于虚拟私有网关,选择要用于此接口的虚拟私有网关。
-
对于 VLAN,输入您的虚拟局域网 (VLAN) 的 ID 号。
-
对于 BGP ASN,输入新虚拟接口的本地对等路由器的边界网关协议自治系统号。
有效值为 1 到 4294967294。这包括对 ASN (1-2147483647) 和长 ASN (1-4294967294) 的支持。有关 ASN 和长 ASN 的更多信息,请参阅 Direct Connect 对长 ASN 的支持。
-
-
在附加设置下,执行以下操作:
-
要配置 IPv4 BGP 或 IPv6 对等,请执行以下操作:
[IPv4] 要配置 IPv4 BGP 对等,请选择 IPv4,然后执行下列操作之一:
-
要自行指定这些 IP 地址,对于 Your router peer IP (您的路由器对等 IP),输入 Amazon 将流量发送到的目标 IPv4 CIDR 地址。
-
对于 Amazon 路由器对等 IP,输入用于将流量发送到 AWS 的 IPv4 CIDR 地址。
重要
配置 AWS Direct Connect 虚拟接口时,您可以使用 RFC 1918 指定自己的 IP 地址,使用其他寻址方案,或者选择从 RFC 3927 169.254.0.0/16 IPv4 链路本地范围分配的 AWS 分配 IPv4 /29 CIDR 地址以实现点对点连接。这些点对点连接应专门用于您的客户网关路由器和 Direct Connect 端点之间的 eBGP 对等连接。对于 VPC 流量或隧道传输目的,例如 AWS 站点到站点私有 IP VPN 或 Transit Gateway Connect,AWS 建议使用客户网关路由器上的环回或局域网接口作为源地址或目标地址,而不是点对点连接。
-
有关 RFC 1918 的更多信息,请参阅私有互联网的地址分配
。 -
有关 RFC 3927 的更多信息,请参阅 IPv4 链路本地地址的动态配置
。
-
[IPv6] 要配置 IPv6 BGP 对等,请选择 IPv6。对等 IPv6 地址会从 Amazon 的 IPv6 地址池自动分配。您无法指定自定义 IPv6 地址。
-
-
要将最大传输单元(MTU)从 1500(默认)更改为 9001(巨型帧),请选择巨型帧 MTU(MTU 大小 9001)。
(可选)在启用 SiteLink 下,选择启用以启用 Direct Connect 接入点之间的直接连接。
-
(可选)添加或删除标签。
[添加标签] 选择 Add tag(添加标签),然后执行以下操作:
对于 Key(键),输入键名称。
对于值,输入键值。
[删除标签] 在标签旁,选择 Remove tag (删除标签)。
-
-
选择 Create virtual interface (创建虚拟接口)。
-
您需要使用 BGP 设备来公布用于公有 VIF 连接的网络。
步骤 5:下载路由器配置
当您为 Direct Connect 连接创建了虚拟接口后,可以下载路由器配置文件。该文件包含将您的路由器配置为用于您的私有或公有虚拟接口所需的命令。
下载路由器配置
访问 https://console.aws.amazon.com/directconnect/v2/home
并打开 Direct Connect 控制台。 -
在导航窗格中,选择 Virtual Interfaces。
-
选择连接,然后选择 View Details (查看详细信息)。
-
选择 Download router configuration (下载路由器配置)。
-
对于下载路由器配置,执行以下操作:
-
对于 Vendor (供应商),选择您的路由器的生产商。
-
对于 Platform,选择您的路由器型号。
-
对于 Software,选择您的路由器软件版本。
-
-
选择下载,然后使用适合您的路由器的配置,以确保您可以连接到 Direct Connect。
有关手动配置路由器的更多信息,请参阅 下载路由器配置文件。
在配置您的路由器后,虚拟接口的状态将变为 UP。如果虚拟接口保持断开并且您无法对Direct Connect 设备的对等 IP 地址执行 ping 操作,请参阅排查第 2 层(数据链路)问题。如果您可以对对等 IP 地址执行 ping 操作,请参阅排查第 3/4 层(网络/传输)问题。如果 BGP 对等会话已建立但您无法路由流量,请参阅排查路由问题。
步骤 6:确认您的虚拟接口
建立到 AWS Cloud 或 Amazon VPC 的虚拟接口以后,可使用以下过程验证您的 AWS Direct Connect 连接。
要验证您的虚拟接口是否连接到 AWS Cloud
-
运行
traceroute并确认 Direct Connect 标识符在网络追踪范围内。
验证您的虚拟接口是否连接到 Amazon VPC
-
使用可执行 ping 操作的 AMI(比如 Amazon Linux AMI),在连接到虚拟私有网关的 VPC 中启动 EC2 实例。当您在 Amazon EC2 控制台中使用实例启动向导时,快速启动选项卡中提供 Amazon Linux AMI。有关更多信息,请参阅《Amazon EC2 用户指南》中的启动实例。确保与实例关联的安全组包含允许入站 ICMP 流量的规则(用于检测请求)。
-
当实例开始运行后,获取其私有 IPv4 地址 (例如 10.0.0.4)。Amazon EC2 控制台显示的地址是实例详细信息的一部分。
-
Ping 私有 IPv4 地址并获得响应。
(推荐)步骤 7:配置冗余连接
为了实现失效转移,我们建议您请求并配置两个连接到 AWS 的专用连接,如下图所示。这些连接会在您的网络中的一个或两个路由器上终止。
如果您配置两个专用连接,则可以有不同的配置选择:
-
主动/主动(BGP 多路径)。这是两个连接均为主动连接的默认配置。Direct Connect 支持同一个位置中指向多个虚拟接口的多路径,流量基于流程在接口之间负载均衡。如果一个连接不可用,那么所有流量都会路由到另一个连接。
-
主动/被动(故障转移)。一个连接正在处理流量,另一个连接处于待命状态。如果主动连接不可用,所有流量都会路由到被动连接。您需要在您的一个链接上将 AS 路径附加到路由之前以使其成为被动链接。
您如何配置连接并不影响冗余,但是会影响策略,而该策略决定如何在两个连接间路由流量。我们建议您将两个连接配置为活跃状态。
如果您使用 VPN 连接实现冗余,请确保实施了运行状况检查和故障转移机制。如果您使用以下任一配置,则需要检查路由表路由以路由到新的网络接口。
-
您使用自己的实例进行路由,例如实例是防火墙的情况。
-
您使用自己的实例终止 VPN 连接。
要实现高可用性,强烈建议您配置与不同 Direct Connect 位置的连接。
有关 Direct Connect 弹性的更多信息,请参阅 Direct Connect 弹性建议