路由表和 AWS Site-to-Site VPN 路由优先级 - AWS Site-to-Site VPN

路由表和 AWS Site-to-Site VPN 路由优先级

路由表决定了将网络流量从您的 VPC 定向到何处。在您的 VPC 路由表中，您必须为您的远程网络添加路由，并将虚拟私有网关指定为目标。这将使从 VPC 传送到您的远程网络的流量能够通过虚拟专用网关和其中一个 VPN 隧道进行路由。您可以为路由表启用路由传播，从而自动将您的网络路由传播到表。

我们使用路由表中与流量匹配的最具体的路由来判断数据流的路由方式 (最长前缀匹配)。如果路由表具有重叠或匹配的路由，则应用以下规则：

  • 如果来自 Site-to-Site VPN 连接或 Direct Connect 连接的传播路由与 VPC 的本地路由重叠，则本地路由的优先级最高，即使传播路由更特定也是如此。

  • 如果来自 Site-to-Site VPN 连接或 Direct Connect 连接的传播路由的目标 CIDR 块与其他现有静态路由的相同（无法应用最长前缀匹配），我们将以目标为互联网网关、虚拟私有网关、网络接口、实例 ID、VPC 对等连接、NAT 网关、Transit Gateway 或网关 VPC 端点的静态路由优先。

例如，以下路由表具有指向互联网网关的静态路由和指向虚拟私有网关的传播路由。这两条路由的目的地均为 172.31.0.0/24。在这种情况下，目标为 172.31.0.0/24 的所有流量均路由到互联网网关，这是静态路由，因此，其优先级高于传播路由。

目的地 目标
10.0.0.0/16 本地
172.31.0.0/24 vgw-11223344556677889（传播）
172.31.0.0/24 igw-12345678901234567（静态）

只有虚拟私有网关已知的 IP 前缀可接收来自您的 VPC 的数据流量，无论是通过 BGP 通告还是静态路由条目。虚拟专用网关不路由任何不以收到的 BGP 通告、静态路由条目或其附加 VPC CIDR 为目标的其他流量。虚拟私有网关不支持 IPv6 流量。

在虚拟私有网关收到路由信息时，它使用路径选择来决定如何路由流量。如果所有端点都运行正常，则最长前缀匹配适用。隧道端点的运行状况优先于其他路由属性。此优先级适用于虚拟私有网关和中转网关上的 VPN。如果前缀相同，则虚拟私有网关按照以下方式对路由进行优先排序：

  • 来自 Direct Connect 连接的 BGP 传播路由

    黑洞路由不会通过 BGP 传播到 Site-to-Site VPN 客户网关。

  • 为 Site-to-Site VPN 连接手动添加的静态路由

  • 来自 Site-to-Site VPN 连接的 BGP 传播路由

  • 对于各个 Site-to-Site VPN 连接使用 BGP 的情况下的匹配前缀，将比较 AS PATH 并首选 AS PATH 最短的前缀。

    注意

    AWS 强烈建议使用支持非对称路由的客户网关设备。

    对于支持非对称路由的客户网关设备，我们不建议使用 AS 路径前加，以确保两个隧道具有相同的 AS 路径。这有助于确保使用我们在 VPN 隧道端点更新期间在隧道上设置的 multi-exit discriminator（MED）值来确定隧道优先级。

    对于不支持非对称路由的客户网关设备，可以使用 AS PATH 前加和本地首选项，从而使某个隧道优先于另一个隧道。但是，当出口路径发生变化时，这可能会导致流量下降。

  • 当 AS PATH 的长度相同时，如果 AS_SEQUENCE 中的第一个 AS 在多个路径上相同，则会比较 multi-exit discriminators (MED)。首选具有最低 MED 值的路径。

在 VPN 隧道端点更新期间，路由优先级受到影响。

在 Site-to-Site VPN 连接上，AWS会选择两个冗余隧道中的一个作为主出口路径。此选择有时可能会更改，我们强烈建议您配置这两个隧道以实现高可用性并允许非对称路由。隧道端点的运行状况优先于其他路由属性。此优先级适用于虚拟私有网关和中转网关上的 VPN。

对于虚拟私有网关，将选择一个跨网关上所有 Site-to-Site VPN 连接的隧道。要使用多个隧道，我们建议您探索等价多路径 (ECMP），中转网关上的 Site-to-Site VPN 连接支持此协议。有关更多信息，请参阅 Amazon VPC 中转网关 中的中转网关。虚拟私有网关上的 Site-to-Site VPN 连接不支持 ECMP。

对于使用 BGP 的 Site-to-Site VPN 连接，主隧道可以由 multi-exit discriminator（MED）值标识。我们建议通告更为具体的 BGP 路由，以影响路由决策。

对于使用静态路由的 Site-to-Site VPN 连接，主隧道可以通过流量统计数据或指标来标识。