草庐IT

【AWS征文】AWS网络演进

Chloe0 2023-03-28 原文
我们都知道，对于企业来讲，随着业务的发展和重点不同，对网络的实际需求也是不同的，尤其是对于公有云的网络架构，随着AWS的功能完善和发展，越来越多的网络功能得以实现。本文将结合实际案例讲述如何以及为什么从DX过渡到DX gateway的

DX时期的网络方案

企业上云绝非一蹴而就的事情，这就意味着必然存在着一个本地云与公有云共同存在的时期，这就涉及到了本地IDC与云上IDC的互通问题。因我们启用业务上云的方案较早，当时的 AWS还仅有DX的功能，通过此功能我们可以使用AWS合作伙伴专线将本地IDC与AWS连接起来。具体网络架构如下：

DX的出现，使得企业可以通过DX的private VIF或者 public VIF将企业的分支/本地IDC与AWS连接起来。而为了实现高可用性，一般不会仅建立一个DX通道，可能会采用如下冗余方案：

  1. 两条不同ISP的专线通过不同DX location或者DX 设备连接到AWS的方案
  2. 一条ISP专线，一根Internet+IPsec VPN的方案
  3. 一条ISP专线，一根SD-WAN线路的方案
  4. 两根VPN线路的方案，（可以是Internet+IPsec VPN与SD-WAN的组合）等等 而因为对线路的时延可靠性等要求，我们当时选择了第一种方案，如下所示。

DX双专线接入时，双活的实现

因AWS DX功能比较弱，无法通过AWS侧设备实现路由的选路，这就导致我们需要通过远端局点的路由控制来实现主备路径的选择，从而使得两条路径互为备份。

如果要选择ISP A的专线为主用线路，则需要如下配置：

1.在Customer GW A上，从ISP A 的EBGP邻居接收路由时，使用route-map修改local-preference的值，将local-preference设置的大于B线路的，使得IDC本地到AWS时，优选A线路。 2.同时，在Customer GW B上向B线路的EBGP邻居发布路由时，使用route-map修改AS-path属性，在AS-path后增加几个as-path，使得AWS侧接收到B线路的路由为非优选路由。 3.当然，为了切换便利性，我们可以一次性写两套A、B分别为主用线路时的route-map，通过自动化工具，实现路径的一键切换。

配置参考如下：

Customer GW A上： route-policy IN_EBGP_A permit node 10 if-match ip-prefix AWS apply local-preference 200 route-policy OUT_EBGP_A permit node 10 if-match ip-prefix LOCAL_IDC route-policy IN_EBGP_B permit node 10 if-match ip-prefix AWS route-policy OUT_EBGP_B permit node 10 if-match ip-prefix LOCAL_IDC Apply as-path 64512 64512 add Customer GW B上: route-policy IN_EBGP_A permit node 10 if-match ip-prefix AWS route-policy OUT_EBGP_A permit node 10 if-match ip-prefix LOCAL_IDC Apply as-path 64512 64512 add route-policy IN_EBGP_B permit node 10 if-match ip-prefix AWS apply local-preference 200 route-policy OUT_EBGP_B permit node 10 if-match ip-prefix LOCAL_IDC 经过一段时间的运行和实践，发现该方案有很多不足之处。比如，因DX功能限制，从ISP A学到的路由会向ISP B传递，从而导致路由环路或者专线路由条目超限的问题等。 在多次踩坑之后，痛定思痛，进行了DX到DX GW的改造。

DX Gateway是什么

先看一下没有DX gateway（以下简称DXGW）之前，如果要互联VPC是什么样的？

有了DXGW之后，又是什么样的呢？

每个DX Gateway都是跨所有公共AWS区域存在的全局对象，这就使得所有AWS区域之间可以通过网关进行所有的通信，大大减少了VIF的数量和BGP会话的数量，同时也简化了网络结构和维护成本。

更更重要的是，多了一个DXGW，相当于在DXGW侧多了一台路由器，路由多了一跳，从ISP A学到的路由再也不会默认向ISP B发布了，一劳永逸的解决了因DX功能限制而导致的路由环路和路由条目超限的问题。

DX Gateway如何实现双路径的选路？

改造为DX GW之后，双路径的主备切换和DX时保持一致，还是要通过企业本地IDC侧CE 上BGP的选路来控制的。配置同：DX双专线接入时，双活的实现。

DX Gateway的限制

当然，如此便利的DXGW也有一些限制条件，并不是任何时候都适用，限制如下：

  1. 关联到DXGW的VGW/VPC可以属于不同的区域，但必须属于同一个AWS账户
  2. VPC不能使用重复的IP地址段
  3. 一个DXGW最多可关联10个VIF/VGW
  4. 关联到同一个DXGW的private VIF之间不能进行数据访问
  5. 关联到同一个DXGW的VGW之间不能进行数据访问
演进征文的route-policyAWSaws云平台云计算

有关【AWS征文】AWS网络演进的更多相关文章

  1. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  2. ruby - 我可以使用 aws-sdk-ruby 在 AWS S3 上使用事务性文件删除/上传吗？ - 2

    我发现ActiveRecord::Base.transaction在复杂方法中非常有效。我想知道是否可以在如下事务中从AWSS3上传/删除文件:S3Object.transactiondo#writeintofiles#raiseanexceptionend引发异常后，每个操作都应在S3上回滚。S3Object这可能吗？？ 最佳答案 虽然S3API具有批量删除功能，但它不支持事务，因为每个删除操作都可以独立于其他操作成功/失败。该API不提供任何批量上传功能(通过PUT或POST)，因此每个上传操作都是通过一个独立的API调用完成的

  3. ruby - 用 Ruby 编写一个简单的网络服务器 - 2

    我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不，不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本，提供另一个脚本，它将在其标准输入上获取请求，并在其标准输出上返回完整的响应。到目前为止一切顺利，但事实证明这真的很脆弱，因为它在第二个请求上中断并出现错误:/usr/b

  4. 网络编程套接字 - 2

    网络编程套接字网络编程基础知识理解源`IP`地址和目的`IP`地址理解源MAC地址和目的MAC地址认识端口号理解端口号和进程ID理解源端口号和目的端口号认识`TCP`协议认识`UDP`协议网络字节序socket编程接口`sockaddr``UDP`网络程序服务器端代码逻辑：需要用到的接口服务器端代码`udp`客户端代码逻辑`udp`客户端代码`TCP`网络程序服务器代码逻辑多个版本服务器单进程版本多进程版本多线程版本线程池版本服务器端代码客户端代码逻辑客户端代码TCP协议通讯流程TCP协议的客户端/服务器程序流程三次握手（建立连接）数据传输四次挥手（断开连接）TCP和UDP对比网络编程基础知识

  5. ruby-on-rails - 缺失区域；使用 :region option or export region name to ENV ['AWS_REGION' ] - 2

    我知道还有其他相同的问题，但他们没有解决我的问题。我不断收到错误:Aws::Errors::MissingRegionErrorinBooksController#create,缺少区域；使用:region选项或将区域名称导出到ENV['AWS_REGION']。但是，这是我的配置开发.rb:config.paperclip_defaults={storage::s3,s3_host_name:"s3-us-west-2.amazonaws.com",s3_credentials:{bucket:ENV['AWS_BUCKET'],access_key_id:ENV['AWS_ACCE

  6. ruby - 检查网络文件是否存在，而不下载它？ - 2

    是否可以在不实际下载文件的情况下检查文件是否存在？我有这么大的(~40mb)文件，例如:http://mirrors.sohu.com/mysql/MySQL-6.0/MySQL-6.0.11-0.glibc23.src.rpm这与ruby​​不严格相关，但如果发件人可以设置内容长度就好了。RestClient.get"http://mirrors.sohu.com/mysql/MySQL-6.0/MySQL-6.0.11-0.glibc23.src.rpm",headers:{"Content-Length"=>100} 最佳答案

  7. ruby - 404 未找到，但可以从网络浏览器正常访问 - 2

    我在这方面尝试了很多URL，在我遇到这个特定的之前，它们似乎都很好:require'rubygems'require'nokogiri'require'open-uri'doc=Nokogiri::HTML(open("http://www.moxyst.com/fashion/men-clothing/underwear.html"))putsdoc这是结果:/Users/macbookair/.rvm/rubies/ruby-2.0.0-p481/lib/ruby/2.0.0/open-uri.rb:353:in`open_http':404NotFound(OpenURI::HT

  8. 深度学习12. CNN经典网络 VGG16 - 2

    深度学习12.CNN经典网络VGG16一、简介1.VGG来源2.VGG分类3.不同模型的参数数量4.3x3卷积核的好处5.关于学习率调度6.批归一化二、VGG16层分析1.层划分2.参数展开过程图解3.参数传递示例4.VGG16各层参数数量三、代码分析1.VGG16模型定义2.训练3.测试一、简介1.VGG来源VGG（VisualGeometryGroup）是一个视觉几何组在2014年提出的深度卷积神经网络架构。VGG在2014年ImageNet图像分类竞赛亚军，定位竞赛冠军；VGG网络采用连续的小卷积核（3x3）和池化层构建深度神经网络，网络深度可以达到16层或19层，其中VGG16和VGG

  9. 【网络】-- 网络基础 - 2

    （本文是网络的宏观的概念铺垫）目录计算机网络背景网络发展认识"协议"网络协议初识协议分层OSI七层模型TCP/IP五层(或四层)模型报头以太网碰撞路由器IP地址和MAC地址IP地址与MAC地址总结IP地址MAC地址计算机网络背景网络发展        是最开始先有的计算机，计算机后来因为多项技术的水平升高，逐渐的计算机变的小型化、高效化。后来因为计算机其本身的计算能力比较的快速：独立模式：计算机之间相互独立。    如：有三个人，每个人做的不同的事物，但是是需要协作的完成。    而这三个人所做的事是需要进行协作的，然而刚开始因为每一台计算机之间都是互相独立的。所以前面的人处理完了就需要将数据

  10. 常见网络安全产品汇总（私信发送思维导图） - 2

    安全产品安全网关类防火墙Firewall防火墙防火墙主要用于边界安全防护的权限控制和安全域的划分。防火墙•信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。防火墙是一个由软件和硬件设备组合而成，在内外网之间、专网与公网之间的界面上构成的保护屏障。下一代防火墙•下一代防火墙，NextGenerationFirewall，简称NGFirewall，是一款可以全面应对应用层威胁的高性能防火墙，提供网络层应用层一体化安全防护。生产厂家•联想网御、CheckPoint、深信服、网康、天融信、华为、H3C等防火墙部署部署于内、外网编辑额，用于权限访问控制和安全域划分。UTM统一威胁管理（Un

随机推荐