中转网关工作原理 - Amazon Virtual Private Cloud
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

中转网关工作原理

中转网关 充当区域虚拟路由器,用于路由在您的 Virtual Private Cloud (VPC) 和 VPN 连接之间流动的流量。中转网关根据网络流量的规模灵活地进行扩展。通过中转网关进行路由是在第 3 层运行的,其中,数据包根据其目的地 IP 地址发送到特定的下一个跃点挂载。

资源连接

Transit Gateway 挂载同时是数据包的源和目的地。您可以将以下资源附加到中转网关:

  • 一个或多个 VPC

  • 一个或多个 VPN 连接

  • 一个或多个 AWS Direct Connect 网关

  • 一个或多个中转网关对等连接

如果您附加了中转网关对等连接,则中转网关必须位于其他区域中。

可用区

当您将 VPC 连接到中转网关时,您必须启用要由中转网关使用的一个或多个可用区,以将流量路由到 VPC 子网中的资源。要启用每个可用区,您应指定确切一个子网。中转网关使用此子网中的一个 IP 地址将网络接口放入该子网中。在启用可用区之后,流量可路由到该可用区中的所有子网,而不只是指定的子网。驻留在没有 Transit Gateway 挂载的可用区内的资源将无法到达中转网关。

我们建议您启用多个可用区以确保可用性。

使用设备模式支持

默认情况下,当中转网关在 VPC 挂载之间路由流量时,它会将流量保持在发出流量的同一可用区中,直到流量到达目的地。只有在可用区出现故障或该可用区中没有与 VPC 挂载关联的子网时,流量才会在挂接之间跨过可用区。如果您计划在 VPC 中配置有状态的网络设备,则可以为该 VPC 挂载启用设备模式支持。这可以确保在源和目标之间传输流量的生命周期内,中转网关继续为该 VPC 挂载使用相同的可用区。它还允许中转网关将流量发送到 VPC 中的任何可用区,只要该可用区中存在子网关联。有关更多信息以及示例,请参阅 示例:共享服务 VPC 中的设备

路由选择

您的中转网关使用中转网关路由表在挂载之间路由 IPv4 和 IPv6 数据包。您可以将这些路由表配置为传播所连接的 VPC 和 VPN 连接的路由表中的路由。您还可以将静态路由添加到中转网关路由表中。当数据包来自一个连接时,会使用与目的地 IP 地址相符的路由,将该数据包路由到另一个连接。

中转网关对等连接仅支持静态路由。

路由表

您的中转网关自动附带默认路由表。默认情况下,此路由表是默认的关联路由表和默认的传播路由表。或者,如果您禁用路由传播和路由表关联,我们不会为中转网关创建默认路由表。

您可以为中转网关创建其他路由表。这样,您就可以隔离连接的子网。每个连接可以与一个路由表相关联。一个连接可以将其路由传播到一个或多个路由表。

您可以在中转网关路由表中创建丢弃与路由匹配的流量的黑洞路由。

将 VPC 附加到中转网关时,您必须向子网路由表添加路由,以使流量通过中转网关进行路由。有关更多信息,请参阅 Amazon VPC 用户指南 中的中转网关的路由

路由表关联

您可以将 Transit Gateway 挂载与单个路由表相关联。每个路由表可以与零到多个连接关联,并将数据包转发到其他连接。

路由传播

每个挂载都附带可以安装到一个或多个中转网关路由表的路由。当挂载传播到中转网关路由表时,这些路由安装在路由表中。

对于 VPC 连接,VPC 的 CIDR 块将传播到中转网关路由表。

要附加 VPN 连接挂载,中转网关路由表中的路由会使用边界网关协议 (BGP) 在中转网关和本地路由器之间往返传播。通过 BGP 会话通告的前缀将传播到中转网关路由表。

对等连接的路由

您可以将两个中转网关对等连接并在它们之间路由流量。为此,您可以在中转网关上创建对等挂载,并指定要与其创建对等连接的对等中转网关。然后,您可以在中转网关路由表中创建静态路由,以将流量路由到中转网关对等挂载。路由到对等中转网关的流量随后可以路由到对等中转网关的 VPC 和 VPN 挂载。

有关更多信息,请参阅 示例:对等中转网关

路由评估顺序

中转网关路由是按以下顺序评估的:

  • 目标地址的最具体路由。

  • 如果不同目标具有相同的路由:

    • 静态路由的优先级高于传播的路由。

    • 对于传播的路由,采用以下顺序:

      • VPC 具有最高优先级

      • Direct Connect 网关具有第二高优先级

      • 站点到站点 VPN 的优先级为第三

请考虑以下 VPC 路由表。VPC 本地路由具有最高的优先级,然后是最具体的路由。在静态路由和传播的路由具有相同的目标时,静态路由具有更高的优先级。

目的地 目标 优先级
10.0.0.0/16

本地

1
192.168.0.0/16 pcx-12345 2
172.31.0.0/16 vgw-12345(静态)或

tgw-12345(静态)

2
172.31.0.0/16 vgw-12345(传播) 3
0.0.0.0/0 igw-12345 4

考虑下面的中转网关路由表。在静态路由和传播的路由具有相同的目标时,静态路由具有更高的优先级。如果要通过 VPN 挂载使用 AWS Direct Connect 网关挂载,则使用 BGP VPN 挂载并传播中转网关路由表中的路由。

目的地 连接(目标) 资源类型 路由类型 优先级
10.0.0.0/16 tgw-attach-123 | vpc-1234 VPC 静态或传播 1
192.168.0.0/16 tgw-attach-789 | vpn-5678 VPN 静态 2
172.31.0.0/16 tgw-attach-456 | dxgw_id AWS Direct Connect 网关 传播 3
172.31.0.0/16 tgw-attach-789 | vpn-5678 VPN 传播 4