AWS Site-to-Site VPN
用户指南

Site-to-Site VPN 路由选项

在创建 Site-to-Site VPN 连接时,您必须执行以下操作:

  • 指定您计划使用的路由的类型(动态或静态)

  • 更新子网的路由表

可添加到路由表的路由数有限制。有关更多信息,请参阅 Amazon VPC 用户指南Amazon VPC 限制的“路由表”部分。

静态和动态路由

您选择的路由类型可由您的 VPN 设备构造和型号决定。如果您的 VPN 支持边界网关协议 (BGP),您可以在配置 Site-to-Site VPN 连接时指定动态路由方式。如果您的设备不支持 BGP,您便需要指定静态路由。有关已经过 Amazon VPC 测试的静态和动态路由设备的列表,请参阅 Amazon Virtual Private Cloud 常见问题

当您使用 BGP 设备时,您不需要为 Site-to-Site VPN 连接指定静态路由,因为设备会使用 BGP 将其路由通告虚拟专用网关。如果您的设备支持 BGP 广告,则您无法指定静态路由;如果您的设备不支持 BGP,您必须选择静态路由,并输入您的网络的路由(IP 前缀),以便与虚拟专用网关建立通信。

我们建议您在适用的情况下使用支持 BGP 的设备,因为 BGP 协议可提供稳健的活性探测检查,可以在第一条隧道出现故障时协助对第二条 VPN 隧道进行故障转移。不支持 BGP 的设备也可执行健康检查,以便在需要时协助故障转移到第二条隧道。

路由表和 VPN 路由优先级

路由表决定了将网络流量定向到何处。在您的路由表中,您必须为您的远程网络添加路由,并将虚拟专用网关指定为目标。这将使从 VPC 传送到您的远程网络的流量能够通过虚拟专用网关和其中一个 VPN 隧道进行路由。您可以为路由表启用路由传播,从而自动将您的网络路由传播到表。

只有虚拟专用网关已知的 IP 前缀可接收来自您的 VPC 的数据流量 (无论是通过 BGP 通告还是静态路由条目)。虚拟专用网关不路由任何不以收到的 BGP 通告、静态路由条目或其附加 VPC CIDR 为目标的其他流量。

在虚拟专用网关收到路由信息时,它使用路径选择来决定如何将流量路由到您的远程网络。将应用最长前缀匹配;否则,将应用以下规则:

  • 如果来自 Site-to-Site VPN 连接或 AWS Direct Connect 连接的任何传播路由与 VPC 的本地路由重叠,则本地路由的优先级最高,即使传播路由更特定也是如此。

  • 如果来自 Site-to-Site VPN 连接或 AWS Direct Connect 连接的任何传播路由的目标 CIDR 块与其他现有静态路由的相同(无法应用最长前缀匹配),我们将设置其目标为 Internet 网关、虚拟专用网关、网络接口、实例 ID、VPC 对等连接、NAT 网关或 VPC 终端节点的静态路由的优先级。

如果 Site-to-Site VPN 连接内存在重叠路由,且最长前缀匹配不适用,则我们在 Site-to-Site VPN 连接内按以下规则排序路由,从最高优先级到最低优先级:

  • 来自 AWS Direct Connect 连接的 BGP 传播路由

  • 为 Site-to-Site VPN 连接手动添加的静态路由

  • 来自 Site-to-Site VPN 连接的 BGP 传播路由

在该示例中,路由表包含一条到 Internet 网关(您手动添加的)的静态路由和一条到虚拟专用网关的传播路由。这两条路由的目的地均为 172.31.0.0/24。在这种情况下,目的地为 172.31.0.0/24 的所有流量均路由到 Internet 网关 — 这是静态路由,因此,其优先级高于传播路由。

目的地 目标
10.0.0.0/16 本地
172.31.0.0/24 vgw-1a2b3c4d (传播)
172.31.0.0/24 igw-11aa22bb