本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在场所运营的服务消费者

本节讨论本地数据中心内的 SaaS 工作负载之间的连接选项。 AWS 云 许多有本地需求的消费者，尤其是企业层面的消费者，将云视为其物理网络的延伸，他们希望将其反映在架构中。这意味着通过逻辑隧道甚至通过私有物理连接与云端SaaS产品的私有连接。其他消费者将接受通过公共互联网进行连接，本节也将对此进行讨论。

以下网络价值图汇总了每个评估指标中每个选项的得分情况。有关评估指标的更多信息，请参阅本指南中的评估指标。在地图中，五表示最高分数，例如最低的 TCO、最佳的网络隔离或最低的修复时间。有关如何阅读此雷达图的更多信息，请参阅本指南网络价值地图中的。

雷达图显示以下值。

与... 连接 AWS Site-to-Site VPN

AWS Site-to-Site VPN连接可以在虚拟专用网关或传输网关上终止。虚拟专用网关是 VPN 连接 AWS 侧的 Site-to-Site VPN 终端节点，可以连接到单个 VPC。传输网关是一个交通枢纽，可用于互连多个 VPCs 本地网络。它也可以用作 VPN 连接 AWS 侧的 Site-to-Site VPN 端点。本节讨论这两个选项。

通过虚拟专用网关进行连接

创建虚拟私有网关后，将其连接到包含您的 SaaS 产品的 VPC。然后，您可以启用路由传播，将 VPN 路由传播到 VPC 路由表。这些路由可以是静态路由，也可以是 BGP 通告的动态路由。

为了实现高可用性， Site-to-SiteVPN 连接有两个 VPN 隧道，这些隧道终止在 AWS 侧面的两个可用区中。如果一条隧道不可用，则第二条隧道可以接管。单个隧道允许的最大带宽为 1.25 Gbps。由于虚拟专用网关不支持等价多路径路由 (ECMP)，因此您一次只能使用一条隧道。

要提高容错能力，您可以设置与第二个物理客户网关的第二个 VPN 连接。建立连接后，使用者可以访问 SaaS 提供商的 VPC 中的资源。

下图显示了这种架构。

这种方法的优点如下：

以下是这种方法的缺点：

通过中转网关进行连接

通过中转网关进行的连接类似于虚拟网关。但是，有一些区别需要记住。

首先，可以在传输网关路由表中自动传播 VPN 连接的路由，但您必须手动将路由添加到连接 VPCs的路由中。

与虚拟网关相比，Transit Gateway 支持 ECMP。如果客户网关支持 ECMP，则它可以使用两条隧道来实现 2.5 Gbps 的最大总吞吐量。您可以在同一个本地网络与传输网关之间建立多个连接。使用这种方法，您最多可以将每个连接的最大带宽增加 2.5 Gbps。

下图显示了这种架构。

这种方法的优点如下：

以下是这种方法的缺点：

与... 连接 AWS Direct Connect

AWS Direct Connect通过标准的以太网光纤电缆将您的内部网络链接到某个 Direct Connect 位置。与其他架构选项不同，无法在几分钟内建立专用连接。相反，如果满足所有要求，则此过程最多可能需要几天的时间。否则，可能需要更长的时间。因此，我们建议您联系您的 AWS 客户团队或寻求 AWS 支持 有关此方法的帮助。或者，您可以选择由 AWS 合作伙伴提供并与其他客户共享的托管连接。无论如何，架构都是一样的。您 Direct Connect 之所以选择，是因为它可以减少延迟、提高带宽或符合监管要求。

要使用该 Direct Connect 连接，消费者必须创建公共、私有或传输虚拟接口。有不同的架构选项可供选择。将多个本地位置连接到的最灵活的方法 AWS 云 是连接到Direct Connect 网关的传输虚拟接口。 Direct Connect 网关是一个全球性的逻辑组件，允许服务提供商将多达六个传输网关连接到网关。此外，您最多可以将 30 个虚拟接口连接到网关。为了实现扩展，您可以创建其他 Direct Connect 网关。如前所述，在 SaaS 提供商账户中 VPCs，传输网关随后会附加到。

消费者可以使用一到四个 Direct Connect 连接从总共一两个Direct Connect 位置进行连接，具体取决于所需的弹性级别。有关更多信息，请参阅配置 Direct Connect 以实现最大弹性。通过 Internet 建立的 AWS Site-to-Site VPN 连接也可以作为低成本的 Direct Connect 连接备用路径。支持的 Direct Connect 专用连接可用于MACsec加密第 2 层上该 Direct Connect 位置和数据中心之间的链路。为了提高数据的机密性，通常会有 Site-to-Site VPN 连接。使用普通的 Site-to-Site VPN 连接，可以在传输网关上终止 VPN 连接。下图显示了这种架构。

这种方法的优点如下：

以下是这种方法的缺点：

连接传输 VPC 架构

Transit VPC 是一种架构选项，它为消费者提供了连接方式的灵活性 AWS，它允许 SaaS 提供商通过统一访问其服务而受益 AWS PrivateLink。使用者从内部连接到仅包含入口点（例如虚拟私有网关）和接口 VPC 终端节点（一种 AWS PrivateLink 资源）的中转 VPC 终端节点。公交 VPCs 应归SaaS提供商或消费者所有。本节讨论这两个选项。

您可以创建与本地数据中心兼容的 CIDR 范围的传输 VPC 和子网。如果用户需要私有连接，则可以通过 AWS Direct Connect 或连接到该 VPC AWS Site-to-Site VPN。您还可以使用指向 VPC 终端节点的 Application Load Balancer 或 Network Load Balancer 配置从公共互联网访问传输账户。

消费者管理的传输 VPC

在这种方法中，SaaS提供商将公交的管理留给 VPCs 了消费者。从技术角度来看，SaaS提供商的架构与 AWS 云 通过连接消费者时的架构相同 AWS PrivateLink。从销售和产品的角度来看，这需要付出额外的努力，因为有些消费者 AWS 账户 还没有。他们可能对开设和操作账户犹豫不决。SaaS 提供商应就如何创建 AWS 账户 和连接其本地数据中心向其消费者提供指导。下图显示了公共和私人接入的组合，其中消费者拥有公交系统 VPCs。

这种方法的优点如下：

以下是这种方法的缺点：

提供商管理的传输 VPC

这种方法使用相同的技术，但账户界限和职责会发生变化。在这里，SaaS提供商拥有公交 VPCs，最好与SaaS产品分开存放。这种脱钩降低了成本，降低了风险，并允许公交账户独立扩展。对于需要高度隔离的环境，您可以使用子网或为每个使用者创建单独的中转 VPC，从而在租户之间建立额外的隔离。然后，使用者可以选择如何连接到传输 VPC。这种方法为扩大整个潜在市场提供了更多选择，但由于需要操作和监控额外的架构组件，它对SaaS提供商来说具有更高的总体拥有成本。

这种方法的优点如下：

以下是这种方法的缺点：

通过公共互联网连接

公共互联网接入也是提供SaaS产品访问权限的有效选择，尽管它不提供传统意义上的私有连接。一些消费者可能仍然更喜欢公共访问方法，因为它不需要在他们和SaaS提供商之间建立额外的网络基础架构。它降低了复杂性、成本和集成时间，以换取更大的攻击面。强大的身份验证和授权机制可以帮助缓解更高的威胁级别，并且您应始终对流量进行加密。在这种情况下，仍然建议您增加一层安全保护，例如使用AWS WAF。

这种场景中的架构很简单。消费者通过互联网连接到公共主机（SaaS 提供商）。该应用程序可以直接托管在具有弹性 IP 地址的公共亚马逊弹性计算云 (Amazon EC2) 实例上。首选选项是将其托管在 Application Load Balancer 或类似服务后面。为了提高性能和缓存静态资产，您可以使用内容分发网络，例如 Amazon CloudFront。要在两个全球静态 Anycast IP 地址上以最小的延迟为应用程序提供服务，您可以放置AWS Global Accelerator在 Amazon EC2 实例、Network Load Balancer 或 Application Load Balancast 或 Application Load Balancer 的前面。此外 CloudFront，应用程序负载均衡器和 Amazon API Gateway 都与 AWS WAF集成。 AWS AppSync下图概述了公共互联网接入连接选项。

下表描述了此场景支持的协议和集成。

这种方法的优点如下：

以下是这种方法的缺点：

其他优点和缺点也适用，具体取决于您选择的服务。