使用 AWS Transit Gateway 自動設定區域間對等互連 - AWS Prescriptive Guidance

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

使用 AWS Transit Gateway 自動設定區域間對等互連

由拉姆坎達斯瓦米(AWS)創建

環境:Properment 生產

技術:技術:網路;混合雲

AWS 服務:AWS 服務:AWS Transit Gateway;AWS Step Functions;AWS Lambda

Summary

AWS Transit Gateway 透過中央中樞連接虛擬私有雲端 (VPC) 和內部部部部部部部部部署網路。Transit Gateway 流量始終保持在全球 Amazon Web Services (AWS) 骨幹上,且不會周遊公有網際網路,這樣可以減少常見漏洞和分散式阻斷服務 (DDoS) 攻擊等威脅媒介。

如果您需要在兩個或多個 AWS 區域之間進行通訊,可以使用區域間傳 Transit Gateway 對等互連在不同區域的傳輸閘道之間建立對等連線。不過,使用「Transit Gateway」手動設定區域間對等互連可能是一項耗時的程序,具有多個步驟。這種模式提供了一個自動化的過程,通過使用代碼來執行對等操作來刪除這些手動步驟。如果您必須在多區域組織設定期間重複設定多個區域和 AWS 帳戶,則可以使用此方法。

此模式使用包含 AWS Step Functions 工作流程、AWS Lambda 函數、AWS 身分和存取管理 (IAM) 角色以及 Amazon CloudWatch 日誌中的日誌群組的 AWS 雲端形式堆疊。然後,您可以啟動「Step Functions」執行,並為傳輸閘道建立區域間對等連線。

先決條件和限制

先決條件

  • 作用中的 AWS 帳戶

  • 一個現有 Amazon Simple Storage Service (Amazon S3) 儲存貯體。

  • 傳輸閘道,在請求者區域和接受者區域中創建和配置。所以此請求者區域是產生對等要求的地方,而接受者區域接受對等要求。如需此項目的詳細資訊,請參閱建立和接受 VPC 互連連線在 Amazon VPC 文件中。

  • VPC,在接受者和請求者區域中安裝和設定。如需建立 VPC 的步驟,請參閱建立 VPCfromAmazon VPC 入門在 Amazon VPC 文件中。

  • VPC 必須使用addToTransitGateway標籤和true值。

  • VPC 的安全群組和網路存取控制清單 (ACL),可根據您的需求進行設定。如需此項目的詳細資訊,請參閱VPC 的安全群組網路 ACL在 Amazon VPC 文件中。

限制

Architecture

此圖顯示具有下列步驟的工作流程:

  1. 使用者建立 AWS CloudFormation 堆疊。

  2. AWS CloudFormation 建立使用 Lambda 函數的 Step Functions 狀態機器。如需此項目的詳細資訊,請參閱建立使用 Lambda 的 Step Functions 狀態機器在 AWS Step Functions 文件中執行。

  3. Step Functions 調用對等互聯的 Lambda 函數。 

  4. Lambda 函式會在傳輸閘道之間建立對等連線。

  5. Step Functions 調用路由表修改的 Lambda 函數。

  6. Lambda 函數會藉由新增 VPC 的無類別網域間路由選擇 (CIDR) 區塊,修改路由表。

Step Functions 工作流

此圖顯示以下 Step Functions 工作流程:

  1. Step Functions 工作流程會呼叫傳輸閘道對等互連的 Lambda 函數。 

  2. 有一個計時器呼叫等待一分鐘。

  3. 系統會擷取對等狀態,並將其傳送至條件區塊。該塊負責循環。 

  4. 如果不符合成功條件,則會編碼工作流程以進入計時器階段。 

  5. 如果符合成功條件,則會呼叫 Lambda 函數來修改路由表。此呼叫之後,Step Functions 工作流程結束。

Tools

  • AWS CloudFormation— AWS CloudFormation 是一項服務,可幫助您為 AWS 資源建立模型及設定模型。

  • Amazon CloudWatch Logs— CloudWatch Logs 可幫助您集中所有使用的系統、應用程式和 AWS 服務的日誌。

  • AWS Identity and Access Management (IAM)— IAM 是一種 web 服務,可以透過它安全地控制對 AWS 服務的存取。

  • AWS Lambda— Lambda 在高可用性的運算基礎設施上執行您的程式碼,並執行所有運算資源的管理。

  • AWS Step Functions— Step Functions 可讓您在視覺化工作流程中輕鬆地將分散式應用程式元件編排成一系列的步驟。 

Epics

任務描述所需技能
將附加檔案上傳至 S3 儲存貯體。

登入 AWS 管理主控台,開啟 Amazon S3 主控台,然後將modify-transit-gateway-routes.zippeer-transit-gateway.zip,以及get-transit-gateway-peering-status.zip文件(已連接)至 S3 儲存貯體。

一般 AWS
建立 AWS CloudFormation 堆疊。

執行下列命令以建立使用transit-gateway-peering.json檔案(已附加):

aws cloudformation create-stack --stack-name myteststack --template-body file://sampletemplate.json

AWS CloudFormation 式堆疊會建立 Step Functions 工作流程、Lambda 函數、IAM 角色和 CloudWatch 日誌群組。

確保 AWS CloudFormation 範本參照包含您之前上傳的檔案的 S3 儲存貯體。

請注意:您也可以使用 AWS CloudFormation 主控台建立堆疊。如需此項目的詳細資訊,請參閱在 AWS CloudFormation 主控台上建立堆疊在 AWS CloudFormation 文件中。

裝置工程師
在 Step Functions 開始新執行。

開啟 Step Functions 主控台並開始新的執行。Step Functions 式呼叫 Lambda 函式,並建立傳輸閘道的對等連線。您不需要輸入 JSON 檔案。確認附件可供使用,且連線類型為對等互連

如需此項目的詳細資訊,請參閱開始新執行fromAWS Step Functions 入門在 AWS 步驟函數文件中。

設備工程師,一般 AWS
驗證路由表中的路由。

區域間對等互連是在傳輸閘道之間建立的。路由表與對等區域 VPC 的 IPv4 CIDR 區塊範圍進行更新。 

開啟 Amazon VPC 主控台,然後選擇 Amazon VPC 主控台的Associations標籤,該標籤與傳輸閘道連接相對應的傳輸閘道連接相對應。確認對等區域的 VPC CIDR 區塊範圍。 

如需詳細步驟和指示,請參閱與傳輸閘道路由表建立關聯在 Amazon VPC 文件中。

NetworkAdministrator

Attachments

attachment.zip