传输 VPC 解决方案

Transit VPC 可以通过与 VPC 对等互连不同的方式在 VPC 之间创建连接，方法是引入中心和辐条设计来实现 VPC 间连接。在中转 VPC 网络中，一个中央 VPC（中心 VPC）通过 VPN 连接与所有其他 VPC（分支 VPC）相连，该连接通常利用基于 IP sec 的 BGP。中央 VPC 包含运行软件设备的亚马逊弹性计算云 (Amazon EC2) 实例，这些实例使用 VPN 叠加层将传入流量路由到目的地。传输 VPC 对等互连具有以下优势：

• 使用覆盖 VPN 网络启用传递路由，允许采用中心辐射式设计。

• 在中心交通 VPC 中的 EC2 实例上使用第三方供应商软件时，可以使用围绕高级安全（第 7 层防火墙/入侵防御系统 (IPS) /入侵检测系统 (IDS)）的供应商功能。如果客户在本地使用相同的软件，他们将受益于统一的操作/监控体验。

• Transit VPC 架构可实现某些用例中可能需要的连接。例如，您可以将 AWS GovCloud 实例和商业区域 VPC 或 Transit Gateway 实例连接到 Transit VPC，并在两个区域之间启用 VPC 间连接。在考虑此选项时，请评估您的安全和合规性要求。为了提高安全性，您可以使用本白皮书后面介绍的设计模式部署集中检查模型。

使用虚拟设备传输 VPC

Transit VPC 有其自身的挑战，例如根据实例大小/系列在 EC2 上运行第三方供应商虚拟设备的成本更高，每个 VPN 连接的吞吐量有限（每个 VPN 隧道高达 1.25 Gbps），以及额外的配置、管理和弹性开销（客户负责管理运行第三方供应商虚拟设备的 EC2 实例的高可用性和冗余）。

VPC 对等互连与传输 VPC 与 Transit Gateway

表 1 — 连接比较

标准	VPC 对等连接	传输 VPC	Transit Gateway	PrivateLink	Cloud WAN	VPC Lattice
范围	区域/全球	区域性	区域性	区域性	全局	区域性
架构	全网状	基于 VPN hub-and-spoke	基于附件 hub-and-spoke	提供者或消费者模型	基于附件、多区域	应用程序到应用程序的连接
扩展	125 个活跃的对等体/v	取决于虚拟路由器/EC2	每个区域 5000 个附件	没有限制	每个核心网络 5000 个附件	每项服务 500 个 VPC 关联
客户细分	安全组	由客户管理	TransitGateway 路由表	没有分割	分段	服务和服务网络政策
延迟	最低	额外费用，由于 VPN 加密开销	更多 Transit Gateway	流量保持在 AWS 主干上，客户应进行测试	使用与 Transit Gateway 相同的数据平面	流量保持在 AWS 主干上，客户应进行测试
带宽限制	每个实例的限制，没有聚合限制	受基于大小/系列的 EC2 实例带宽限制	高达 100 Gbps（连发）/附件	每个可用区 10 Gbps，可自动扩展到 100 Gbps	高达 100 Gbps（连发）/附件	每个可用区 10 Gbps
Visibility	Amazon VPC 流日志	VPC 流日志和 CloudWatch 指标	Transit Gateway 网络管理器、VPC 流日志、 CloudWatch 指标	CloudWatch 指标	网络管理器、VPC 流日志、 CloudWatch 指标	CloudWatch 访问日志
安全组 交叉引用	支持	不支持	不支持	不支持	不支持	不适用
IPv6 支持	支持	取决于虚拟设备	支持	支持	支持	支持