Arquitectura 3: AWS Transit Gateway

AWS Transit Gatewayes un servicio de enrutamiento administrado que conecta VPCs redes locales. Transit Gateway puede ayudarlo a simplificar la topología de su red y evitar relaciones de interconexión complejas entre un gran número de. VPCs

Transit Gateway funciona como un enrutador en la nube. Cada nueva conexión solo se realiza una vez entre una VPC y la puerta de enlace de tránsito. Al usar la puerta de enlace de tránsito como un centro que admite el enrutamiento transitivo, no necesita agregar relaciones de interconexión entre cada una de las VPC de una topología de malla. Para obtener más información sobre Transit Gateway y sus cuotas, consulte Cuotas de las puertas de enlace de tránsito.

El uso de Transit Gateway para integrar un servicio de terceros tiene las siguientes ventajas:

• Soporta tráfico bidireccional entre su red VPCs y la de terceros

• Admite todos los tipos de tráfico IP (tanto TCP como UDP)

• Implementa un punto de inspección de tráfico centralizado entre su red VPCs y la de terceros

• Se escala fácilmente a medida que cambia el número de VPCs personas involucradas en la integración

Las desventajas de usar una solución de Transit Gateway incluyen:

• Esta opción suele ser más costosa que las opciones de interconexión directa.

• No se admiten bloques de CIDR superpuestos.

• Muchos proveedores externos no admiten esta solución porque quieren mantener un control total y minimizar el uso compartido de componentes con sus clientes.

El siguiente diagrama de arquitectura muestra una representación simplificada del uso de Transit Gateway VPCs para conectarlo con los de un proveedor externo. Cada VPC se conecta a la puerta de enlace de tránsito y la puerta de enlace admite el enrutamiento transitivo entre todos los dispositivos conectados. VPCs

Sin embargo, la configuración real tiene más matices y esta arquitectura se divide en diferentes consideraciones y opciones de implementación.

Centralizar la inspección de la red

Si usa Transit Gateway, puede implementar un punto de inspección de tráfico de red centralizado, una VPC de inspección dedicada. Al utilizar rutas estáticas en la tabla de enrutamiento asociada a la interconexión entre regiones, puede dirigir el tráfico procedente de la red de terceros a la VPC de inspección. Para inspeccionar el tráfico, puede utilizar AWS Network Firewall o un AWS Gateway Load Balancer combinado con dispositivos de seguridad virtuales implementados en instancias de Amazon Elastic Compute Cloud EC2 (Amazon). Para obtener más información, consulte Modelo de implementación centralizada en Modelos de implementación para AWS Network Firewall (entrada AWS del blog).

La puerta de enlace de tránsito debe estar en el modo dispositivo para que el accesorio de VPC de inspección enrute el tráfico bidireccional simétricamente. Como se muestra en el siguiente diagrama de arquitectura, la puerta de enlace de tránsito dirige el tráfico desde la interfaz de red conectada VPCs a una interfaz de red elástica en la VPC de inspección.

Selección de una opción de implementación

Lo primero que debe tener en cuenta es si utilizará una puerta de enlace de tránsito existente en su red o si va a crear una nueva puerta de enlace de tránsito dedicada. Recomendamos implementar una nueva puerta de enlace de tránsito dedicada porque demuestra que ofrece más control y separación de la red de terceros. Los ejemplos de arquitecturas de esta guía crean una nueva puerta de enlace de tránsito y usted puede crear interconexiones entre la puerta de enlace existente y la nueva.

Lo segundo que debe tener en cuenta es qué arquitectura es la mejor para su caso de uso:

1. Arquitectura 3.1: Transit Gateway con AWS RAM: en esta opción de implementación, comparte una única puerta de enlace de tránsito con la cuenta de terceros. Se utiliza AWS Resource Access Manager (AWS RAM) para configurar la relación de uso compartido.

2. Arquitectura 3.2: interconexión de la puerta de enlace de tránsito: en esta opción de implementación, crea una interconexión entre dos puertas de enlace de tránsito, una en su cuenta y otra en la cuenta de terceros.

Al seleccionar una de estas opciones, tenga en cuenta los siguientes beneficios y desventajas de cada una de ellas.

	Arquitectura 3.1: Transit Gateway con AWS RAM	Arquitectura 3.2: interconexión de la puerta de enlace de tránsito
Beneficios	No se requiere una puerta de enlace de tránsito en la cuenta de terceros, lo que permite una arquitectura más optimizada.	Un tercero podría considerar que esta solución es más aceptable porque le brinda un mayor control de la configuración de la red.
	Como propietario de la puerta de enlace de tránsito compartido, tiene un control y una visibilidad mejorados.	Ha reducido el esfuerzo operativo porque el tercero mantiene sus propias conexiones de VPC.
Desventajas	Es posible que el tercero se muestre reacio porque reduce su control sobre la configuración de la red.	La arquitectura de red es más compleja.
	Usted es responsable de configurar los archivos adjuntos de Transit Gateway VPCs en la cuenta de terceros.	Esta arquitectura crea un salto adicional en la ruta de tráfico.

Consideraciones sobre costos

Tenga en cuenta también las siguientes implicaciones de costo al decidir entre estas opciones:

• La tarifa por hora de la conexión de puerta de enlace de tránsito se cobra al propietario de la cuenta de la conexión (o VPC). Algunos costos serán de su propiedad y otros serán propiedad de un tercero.

• El procesamiento de datos se carga al propietario de la VPC que envía el tráfico a través de la puerta de enlace de tránsito. La recepción de datos de puerta de enlace de tránsito es gratuita.

• No se cobran cargos por procesamiento de datos para los datos enviados entre dos puertas de enlace de tránsito interconectadas.

Para obtener más información, consulte Precios de Transit Gateway.