中转网关
通过中转网关,您可以连接同一个区域中的 VPC 和 VPN 连接并在它们之间路由流量。中转网关可跨 AWS 账户发挥作用,您可以使用 AWS Resource Access Manager 与其他账户共享您的中转网关。在您与另一个 AWS 账户共享中转网关后,账户拥有者者可以将其 VPC 挂载到您的中转网关。任一账户的用户都可以随时删除此挂载。
您可以在中转网关上启用多播,然后创建一个中转网关多播域,允许通过与域关联的 VPC 挂载,将多播流量从多播源发送到多播组成员。
您还可以在不同 AWS 区域的中转网关之间创建对等连接挂载。这使您能够跨不同区域在中转网关的挂载之间路由流量。
每个 VPC 或 VPN 挂载均与单个路由表关联。该路由表决定来自该资源挂载的流量的下一个跃点。中转网关内的路由表同时允许 IPv4 或 IPv6 CIDR 和目标。目标为 VPC 和 VPN 连接。当在中转网关上挂载 VPC 或创建 VPN 连接时,挂载与中转网关的默认路由表关联。
您可以在中转网关内创建其他路由表,并更改 VPC 或 VPN 与这些路由表的关联。这使您可以对网络进行分段。例如,您可以将开发 VPC 与一个路由表关联,而将生产 VPC 与另一个路由表关联。这让您可以在中转网关内创建与传统网络中的虚拟路由和转发 (VRF) 类似的隔离网络。
中转网关支持在连接的 VPC 和 VPN 连接之间进行动态和静态路由。您可以针对每个挂载启用或禁用路由传播。中转网关对等连接挂载仅支持静态路由。
您可以选择将一个或多个 IPv4 或 IPv6 CIDR 块与您的中转网关关联。在为中转网关 Connect 挂载建立 Connect 对等节点时,您可以从 CIDR 块中指定 IP 地址。您可以关联任何公有或私有 IP 地址范围,但 169.254.0.0/16
范围以及与您的 VPC 挂载和本地网络地址重叠的范围中的地址除外。
创建中转网关
当您创建中转网关时,我们创建一个默认的中转网关路由表,并将其用作默认的关联路由表和默认的传播路由表。
使用控制台创建中转网关
-
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways (中转网关)。
-
选择 Create Transit Gateway (创建中转网关)。
-
对于 Name tag (名称标签),(可选)输入中转网关的名称。名称标签可让您更轻松地确定网关列表中的特定网关。当您添加名称标签时,将使用 Name 键和与您输入的值相等的值创建一个标签。
-
对于 Description (描述),(可选)输入中转网关的描述。
-
对于 Amazon side ASN (Amazon 端 ASN),要么保留默认值以使用默认的自治系统编号 (ASN),要么输入您中转网关的私有 ASN。这应该是边界网关协议 (BGP) 会话的 AWS 端的 ASN。
对于 16 位 ASN,范围为 64512 到 65534。
对于 32 位 ASN,范围为 4200000000 到 4294967294。
如果您有多区域部署,我们建议您为每个中转网关使用唯一的 ASN。
-
对于 DNS support (DNS 支持),当从连接到中转网关的某个 VPC 中的实例进行查询时,如果您需要另一个 VPC 将公共 IPv4 DNS 主机名解析为私有 IPv4 地址,则选择 enable (启用)。
-
对于 VPN ECMP support (VPN ECMP 支持),如果您在 VPN 隧道之间需要等价多路径 (ECMP) 路由支持,则选择 enable (启用)。如果连接公布相同的 CIDR,则流量在它们之间均等分配。
在选择该选项时,公布的 BGP ASN 和 BGP 属性(如 AS 路径和首选项社区)必须相同。
注意 要使用 ECMP,必须创建使用动态路由的 VPN 连接。使用静态路由的 VPN 连接不支持 ECMP。
-
对于 Default route table association (默认路由表关联),选择 enable (启用) 以自动将 Transit Gateway 挂载与中转网关的默认路由表关联。
-
对于 Default route table propagation (默认路由表传播),选择 enable (启用) 以自动将 Transit Gateway 挂载传播到中转网关的默认路由表。
-
(可选)要使用中转网关作为多播流量的路由器,请选择 Multicast support (多播支持)。
-
对于 Auto accept shared attachments (自动接受共享的挂载),选择 enable (启用) 以自动接受跨账户挂载。
-
(可选)对于 Transit Gateway CIDR blocks(中转网关 CIDR 块),请选择 Add CIDR(添加 CIDR),并为您的中转网关指定一个或多个 IPv4 或 IPv6 CIDR 块。
您可以为 IPv4 指定大小为 /24 或更大(例如 /23 或 /22)的 CIDR 块,或为 IPv6 指定大小为 /64 或更大(例如 /63 或 /62)的 CIDR 块。您可以关联任何公有或私有 IP 地址范围, 但 169.254.0.0/16 范围以及与您的 VPC 挂载和本地网络地址重叠的范围中的地址除外。
-
选择 Create Transit Gateway (创建中转网关)。
-
在您看到消息 Create Transit Gateway request succeeded (创建中转网关请求成功) 后,选择 Close (关闭)。
使用 AWS CLI 创建中转网关
使用 create-transit-gateway 命令。
查看中转网关
使用控制台查看您的中转网关
-
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways (中转网关)。中转网关的详细信息显示在页面上的网关列表下方。
使用 AWS CLI 查看您的中转网关
使用 describe-transit-gateways 命令。
添加或编辑中转网关的标签
向资源添加标签以帮助整理和识别资源,例如,按用途、拥有者或环境。您可以向每个中转网关添加多个标签。每个中转网关的标签键必须是唯一的。如果您添加的标签中的键已经与中转网关关联,它将更新该标签的值。有关更多信息,请参阅标记 Amazon EC2 资源。
使用控制台向中转网关添加标签
-
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways (中转网关)。
-
选择要为其添加或编辑标签的中转网关。
-
在页面的下面部分选择 Tags (标签) 选项卡。
-
选择添加/编辑标签。
-
选择创建标签。
-
输入标签的键和值。
-
选择 Save。
修改中转网关
您可以修改中转网关的配置选项。修改中转网关时,修改后的选项将仅应用于新的 Transit Gateway 挂载。不会修改现有的 Transit Gateway 挂载。
您无法修改他人与您共享的中转网关。
如果任何 IP 地址当前用于 Connect 对等节点,您将无法删除中转网关的 CIDR 块。
修改中转网关
-
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways (中转网关)。
-
选择要修改的中转网关。
-
依次选择操作和修改。
-
根据需要修改选项,然后选择修改中转网关。
使用 AWS CLI 修改您的中转网关
使用 modify-transit-gateway 命令。
共享中转网关
您可以使用 AWS Resource Access Manager (RAM) 在 AWS Organizations 中的账户之间或组织之间共享中转网关。使用以下过程共享您拥有的中转网关。
您必须从组织的管理账户启用资源共享。有关启用资源共享的信息,请参阅 AWS RAM 用户指南 中的通过 AWS Organizations 启用共享。
共享中转网关
-
通过以下网址打开 AWS Resource Access Manager 控制台:https://console.aws.amazon.com/ram/
。 -
选择 Create a Resource Group (创建资源组)。
-
在 Description (描述) 下,对于 Name (名称),键入资源共享的描述性名称。
-
对于 Select resource type (选择资源类型),选择 Transit Gateways (中转网关)。选择中转网关。
-
(可选)对于 Principals (委托人),将委托人添加到资源共享。对于每个 AWS 账户、OU 或组织,指定其 ID 并选择添加。
对于 Allow external accounts (允许外部账户),选择是否允许与组织外部的 AWS 账户共享此资源。
-
(可选)在标签下,键入每个标签的标签密钥和标签值对。这些标签应用于资源共享,但不应用于中转网关。
-
选择 Create resource share (创建资源共享)。
接受资源共享
如果已将您添加到资源共享,您将收到加入资源共享的邀请。您必须接受资源共享,然后才能访问共享的资源。
接受资源共享
-
通过以下网址打开 AWS Resource Access Manager 控制台:https://console.aws.amazon.com/ram/
。 -
在导航窗格中,依次选择与我共享和 Resource shares (资源共享)。
-
选择资源共享。
-
选择 Accept resource share (接受资源共享)。
-
要查看共享的中转网关,请在 Amazon VPC 控制台中打开 Transit Gateways (中转网关) 页面。
接受共享挂载
如果您在创建中转网关时未启用 Auto accept shared attachments (自动接受共享挂载) 功能,则必须手动接受跨账户(共享)挂载。
手动接受共享挂载
-
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateway Attachments (中转网关挂载)。
-
选择等待接受的 Transit Gateway 挂载。
-
依次选择 Actions (操作)、Accept (接受)。
使用 AWS CLI 接受共享挂载
使用 accept-transit-gateway-vpc-attachment 命令。
删除中转网关
您不能删除带有现有挂载的中转网关。您需要先删除所有挂载,然后才能删除中转网关。
使用控制台删除中转网关
-
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
选择要删除的中转网关。
-
依次选择操作、删除,然后选择删除以确认删除。
使用 AWS CLI 删除中转网关
使用 delete-transit-gateway 命令。