中转网关工作原理 - Amazon Virtual Private Cloud
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

中转网关工作原理

中转网关充当区域虚拟路由器,用于路由在您的 Virtual Private Cloud (VPC) 和本地网络之间流动的流量。中转网关根据网络流量的规模灵活地进行扩展。通过中转网关进行路由是在第 3 层运行的,其中,数据包根据其目的地 IP 地址发送到特定的下一个跃点挂载。

资源连接

Transit Gateway 挂载同时是数据包的源和目的地。您可以将以下资源附加到中转网关:

  • 一个或多个 VPC

  • 一个或多个 VPN 连接

  • 一个或多个 Amazon Direct Connect 网关

  • 一个或多个中转网关连接挂载

  • 一个或多个中转网关对等连接

如果您附加了中转网关对等连接,则中转网关必须位于其他区域中。

可用区

当您将 VPC 连接到中转网关时,您必须启用要由中转网关使用的一个或多个可用区,以将流量路由到 VPC 子网中的资源。要启用每个可用区,您应指定确切一个子网。中转网关使用此子网中的一个 IP 地址将网络接口放入该子网中。在启用可用区之后,流量可路由到该区中的所有子网,而不只是指定的子网。驻留在没有 Transit Gateway 挂载的可用区内的资源将无法到达中转网关。

我们建议您启用多个可用区以确保可用性。

使用设备模式支持

如果您计划在 VPC 中配置有状态的网络设备,则可以为该设备所在的 VPC 挂载启用设备模式支持。这可以确保在源和目标之间传输流量的生命周期内,中转网关为该 VPC 挂载使用相同的可用区。它还允许中转网关将流量发送到 VPC 中的任何可用区,只要该区中存在子网关联。有关更多信息,请参阅 示例:共享服务 VPC 中的设备

Routing

您的中转网关使用中转网关路由表在挂载之间路由 IPv4 和 IPv6 数据包。您可以将这些路由表配置为传播所连接的 VPC、VPN 连接和 Direct Connect 网关的路由表中的路由。您还可以将静态路由添加到中转网关路由表中。当数据包来自一个连接时,会使用与目的地 IP 地址相符的路由,将该数据包路由到另一个连接。

中转网关对等连接仅支持静态路由。

路由表

您的中转网关自动附带默认路由表。默认情况下,此路由表是默认的关联路由表和默认的传播路由表。或者,如果您禁用路由传播和路由表关联,Amazon 不会为中转网关创建默认路由表。

您可以为中转网关创建其他路由表。这样,您就可以隔离连接的子网。每个连接可以与一个路由表相关联。一个挂载可以将其路由传播到一个或多个路由表。

您可以在中转网关路由表中创建丢弃与路由匹配的流量的黑洞路由。

将 VPC 附加到中转网关时,您必须向子网路由表添加路由,以使流量通过中转网关进行路由。有关更多信息,请参阅 Amazon VPC 用户指南 中的中转网关的路由

路由表关联

您可以将 Transit Gateway 挂载与单个路由表相关联。每个路由表可以与零到多个连接关联,并可以将数据包转发到其他连接。

路由传播

每个挂载都附带可以安装到一个或多个中转网关路由表的路由。当挂载传播到中转网关路由表时,这些路由安装在路由表中。

对于 VPC 连接,VPC 的 CIDR 块将传播到中转网关路由表。

当动态路由与 VPN 挂载或 Direct Connect 网关挂载一起使用时,可以通过 BGP 将从本地路由器获知的路由传播到任何中转网关路由表中。

当动态路由与 VPN 挂载一起使用时,路由表中与 VPN 挂载关联的路由将通过 BGP 发布给客户网关。

对于 Direct Connect 网关挂载,允许的前缀交互控制哪些路由将从 Amazon 发布到客户网络。

当静态路由和传播路由具有相同的目标时,静态路由具有更高的优先级,因此传播路由不包含在路由表中。如果移除静态路由,则重叠的传播路由将包含在路由表中。

对等连接的路由

您可以将两个中转网关对等连接并在它们之间路由流量。为此,您可以在中转网关上创建对等挂载,并指定要与其创建对等连接的对等中转网关。然后,您可以在中转网关路由表中创建静态路由,以将流量路由到中转网关对等挂载。路由到对等中转网关的流量随后可以路由到对等中转网关的 VPC 和 VPN 挂载。

有关更多信息,请参阅 示例:对等中转网关

路由评估顺序

中转网关路由是按以下顺序评估的:

  • 目标地址的最具体路由。

  • 如果路由有相同的目的地 IP 地址但目标不同,则路由优先级如下:

    • 静态路由(例如,Site-to-Site VPN 静态路由)

    • 前缀列表引用的路由

    • VPC 传播路由

    • Direct Connet 网关传播路由

    • Transit Gateway Connect 传播路由

    • Site-to-Site VPN 传播路由

请考虑以下 VPC 路由表。VPC 本地路由具有最高的优先级,然后是最具体的路由。在静态路由和传播的路由具有相同的目标时,静态路由具有更高的优先级。

目的地 目标 优先级
10.0.0.0/16

本地

1
192.168.0.0/16 pcx-12345 2
172.31.0.0/16 vgw-12345(静态)或

tgw-12345(静态)

2
172.31.0.0/16 vgw-12345(传播) 3
0.0.0.0/0 igw-12345 4

考虑下面的中转网关路由表。如果要选择 Amazon Direct Connect 网关连接而不是 VPN 连接,则使用 BGP VPN 连接并传播中转网关路由表中的路由。

目的地 连接(目标) 资源类型 路由类型 优先级
10.0.0.0/16 tgw-attach-123 | vpc-1234 VPC 静态或传播 1
192.168.0.0/16 tgw-attach-789 | vpn-5678 VPN 静态 2
172.31.0.0/16 tgw-attach-456 | dxgw_id Amazon Direct Connect 网关 传播 3
172.31.0.0/16 tgw-attach-789 | tgw-connect-peer-123 VPN 传播 4
172.31.0.0/16 tgw-attach-789 | vpn-5678 VPN 传播 5