中转网关
通过中转网关,您可以连接同一个区域中的 VPC 和 VPN 连接并在它们之间路由流量。中转网关可跨 Amazon 账户发挥作用,您可以使用 Amazon RAM 与其他账户共享您的中转网关。在您与另一个 Amazon 账户共享中转网关后,账户拥有者可以将其 VPC 挂载到您的中转网关。任一账户的用户都可以随时删除此挂载。
您可以在中转网关上启用多播,然后创建一个中转网关多播域,允许通过与域关联的 VPC 挂载,将多播流量从多播源发送到多播组成员。
每个 VPC 或 VPN 挂载均与单个路由表关联。该路由表决定来自该资源挂载的流量的下一个跃点。中转网关内的路由表同时允许 IPv4 或 IPv6 CIDR 和目标。目标为 VPC 和 VPN 连接。当在中转网关上挂载 VPC 或创建 VPN 连接时,挂载与中转网关的默认路由表关联。
您可以在中转网关内创建其他路由表,并更改 VPC 或 VPN 与这些路由表的关联。这使您可以对网络进行分段。例如,您可以将开发 VPC 与一个路由表关联,而将生产 VPC 与另一个路由表关联。这让您可以在中转网关内创建与传统网络中的虚拟路由和转发 (VRF) 类似的隔离网络。
中转网关支持在连接的 VPC 和 VPN 连接之间进行动态和静态路由。您可以针对每个挂载启用或禁用路由传播。中转网关对等连接挂载仅支持静态路由。
您可以选择将一个或多个 IPv4 或 IPv6 CIDR 块与您的中转网关关联。在为中转网关 Connect 挂载建立中转网关 Connect 对等节点时,您可以从 CIDR 块中指定 IP 地址。您可以关联任何公有或私有 IP 地址范围,但 169.254.0.0/16
范围以及与您的 VPC 挂载和本地网络地址重叠的范围中的地址除外。有关 IPv4 和 IPv6 CIDR 块的信息,请参阅 Amazon VPC 用户指南中的 VPC 和子网。
创建中转网关
当您创建中转网关时,我们创建一个默认的中转网关路由表,并将其用作默认的关联路由表和默认的传播路由表。如果您选择不创建默认的中转网关路由表,则可以稍后创建一个。有关路由和路由表的更多信息,请参见 路由。
使用控制台创建中转网关
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways(中转网关)。
-
选择 Create Transit Gateway(创建中转网关)。
-
对于 Name tag(名称标签),(可选)输入中转网关的名称。名称标签可让您更轻松地确定网关列表中的特定网关。当您添加 Name tag(名称标签)时,将使用 Name(名称)键和与您输入的值相等的值创建一个标签。
-
对于 Description(描述),(可选)输入中转网关的描述。
-
对于 Amazon side Autonomous System Number (ASN)(Amazon 自治系统号 (ASN)),要么保留默认值以使用默认的 ASN,要么输入您中转网关的私有 ASN。这应该是边界网关协议(BGP) 会话的 Amazon 端的 ASN。
对于 16 位 ASN,范围为 64512 到 65534。
对于 32 位 ASN,范围为 4200000000 到 4294967294。
如果您有多区域部署,我们建议您为每个中转网关使用唯一的 ASN。
-
对于 DNS support(DNS 支持),当从挂载到中转网关的某个 VPC 中的实例进行查询时,如果您需要另一个 VPC 将公共 IPv4 DNS 主机名解析为私有 IPv4 地址,则选择 enable(启用)。
-
对于 VPN ECMP support(VPN ECMP 支持),如果您在 VPN 隧道之间需要等价多路径(ECMP) 路由支持,则选择此选项。如果连接公布相同的 CIDR,则流量在它们之间均等分配。
在选择该选项时,公布的 BGP ASN 和 BGP 属性(如 AS 路径和首选项社区)必须相同。
注意
要使用 ECMP,必须创建使用动态路由的 VPN 连接。使用静态路由的 VPN 连接不支持 ECMP。
-
对于 Default route table association(默认路由表关联),选择此选项以自动将中转网关挂载与中转网关的默认路由表关联。
-
对于 Default route table propagation(默认路由表传播),选择此选项以自动将中转网关挂载传播到中转网关的默认路由表。
-
(可选)要使用中转网关作为多播流量的路由器,请选择 Multicast support(多播支持)。
-
对于 Auto accept shared attachments(自动接受共享的挂载),选择此选项以自动接受跨账户挂载。
-
(可选)对于 Transit Gateway CIDR blocks(中转网关 CIDR 块),请为您的中转网关指定一个或多个 IPv4 或 IPv6 CIDR 块。
您可以为 IPv4 指定大小为 /24 或更大(例如 /23 或 /22)的 CIDR 块,或为 IPv6 指定大小为 /64 或更大(例如 /63 或 /62)的 CIDR 块。您可以关联任何公有或私有 IP 地址范围, 但 169.254.0.0/16 范围以及与您的 VPC 挂载和本地网络地址重叠的范围中的地址除外。
-
选择 Create Transit Gateway(创建中转网关)。
要使用 Amazon CLI 创建中转网关
使用 create-transit-gateway 命令。
查看中转网关
使用控制台查看您的中转网关
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways(中转网关)。中转网关的详细信息显示在页面上的网关列表下方。
要使用 Amazon CLI 查看您的中转网关
使用 describe-transit-gateways 命令。
添加或编辑中转网关的标签
向资源添加标签以帮助整理和识别资源,例如,按用途、拥有者或环境。您可以向每个中转网关添加多个标签。每个中转网关的标签键必须是唯一的。如果您添加的标签中的键已经与中转网关关联,它将更新该标签的值。有关更多信息,请参阅标记 Amazon EC2 资源。
使用控制台向中转网关添加标签
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways(中转网关)。
-
选择要为其添加或编辑标签的中转网关。
-
在页面的下面部分选择 Tags(标签) 选项卡。
-
选择 Manage tags(管理标签)。
-
选择 Add new tag(添加新标签)。
-
输入标签的键和值。
-
选择Save(保存)。
修改中转网关
您可以修改中转网关的配置选项。修改中转网关时,修改后的选项将仅应用于新的中转网关连接。不会修改您现有的中转网关连接,也不会出现任何服务中断的情况。
您无法修改他人与您共享的中转网关。
如果任何 IP 地址当前用于 Transit Gateways Connect 对等节点,您将无法删除中转网关的 CIDR 块。
修改中转网关
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateways(中转网关)。
-
选择要修改的中转网关。
-
选择 Actions(操作)、Modify Transit Gateways(修改中转网关)。
-
根据需要修改选项,然后选择 Modify Transit Gateway(修改中转网关)。
要使用 Amazon CLI 修改您的中转网关
使用 modify-transit-gateway 命令。
共享中转网关
您可以使用 Amazon RAM 在 Amazon Organizations 的账户之间或组织之间共享中转网关。使用以下过程共享您拥有的中转网关。
您必须从组织的管理账户启用资源共享。有关启用资源共享的信息,请参阅 Amazon RAM 用户指南中的通过 Amazon Organizations 启用共享。
共享中转网关
-
打开 Amazon RAM 控制台(https://console.aws.amazon.com/ram/
)。 -
选择 Create a Resource Group(创建资源组)。
-
在 Name(名称) 下,键入资源共享的描述性名称。
-
对于 Select resource type(选择资源类型),选择 中转网关s(中转网关)。选择中转网关。
-
(可选)对于 Principals(委托人),将委托人添加到资源共享。对于每个 Amazon 账户、OU 或组织,指定其 ID 并选择 Add(添加)。
对于 Allow external accounts(允许外部账户),选择是否允许与组织外部的 Amazon 账户共享此资源。
-
(可选)在 Tags(标签) 下,键入每个标签的标签密钥和标签值对。这些标签应用于资源共享,但不应用于中转网关。
-
选择 Create resource share(创建资源共享)。
接受资源共享
如果已将您添加到资源共享,您将收到加入资源共享的邀请。您必须接受资源共享,然后才能访问共享的资源。
接受资源共享
-
打开 Amazon RAM 控制台(https://console.aws.amazon.com/ram/
)。 -
在导航窗格中,依次选择 Shared with me(与我共享) 和 Resource shares(资源共享)。
-
选择资源共享。
-
选择 Accept resource share(接受资源共享)。
-
要查看共享的中转网关,请在 Amazon VPC 控制台中打开 Transit Gateways(中转网关) 页面。
接受共享挂载
如果您在创建中转网关时未启用 Auto accept shared attachments(自动接受共享挂载) 功能,则必须手动接受跨账户(共享)挂载。
手动接受共享挂载
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
在导航窗格中,选择 Transit Gateway Attachments(中转网关挂载)。
-
选择等待接受的中转网关连接。
-
选择 Actions(操作)、Accept Transit Gateway attachment(接受中转网关挂载)。
使用 Amazon CLI 接受共享连接
使用 accept-transit-gateway-vpc-attachment 命令。
删除中转网关
您不能删除带有现有挂载的中转网关。您需要先删除所有挂载,然后才能删除中转网关。
使用控制台删除中转网关
通过以下网址打开 Amazon VPC 控制台:https://console.aws.amazon.com/vpc/
。 -
选择要删除的中转网关。
-
选择 Actions(操作)、Delete Transit Gateway(删除中转网关)。输入
delete
然后选择 Delete(删除) 以确认删除。
要使用 Amazon CLI 删除中转网关
使用 delete-transit-gateway 命令。