本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
中的亚马逊 VPC 附件 Amazon Transit Gateway
中转网关的 Amazon Virtual Private Cloud (VPC) 连接允许您路由流量进出一个或多个 VPC 子网。将 VPC 连接到中转网关时，必须从每个可用区中指定一个子网，供中转网关用于路由流量。指定的子网作为中转网关流量的入口和出口点。只有当中转网关连接子网的路由表中配置了指向目标子网的适当路由时，流量才能到达同一可用区内其他子网中的资源。
限制
-
将 VPC 挂载到中转网关时，可用区中没有中转网关挂载的任何资源无法到达中转网关。
注意
在已配置中转网关连接的可用区内，流量仅会从与该连接关联的特定子网转发至中转网关。如果子网路由表中存在指向中转网关的路由，则仅当满足以下条件时流量才会转发至中转网关：该中转网关在同一可用区内存在子网关联，且关联子网的路由表包含指向 VPC 内目标位置的正确路由。
-
对于使用 Amazon Route 53 中私有托管区域设置的连接 VPC 的自定义 DNS 名称，中转网关不支持 DNS 解析。要为连接到传输网关的所有 VPC 配置私有托管区域的名称解析，请参阅使用 Amazon Route 53 和 Amazon Transit Gateway 对混合云进行
集中化 DNS 管理。 -
中转网关不支持在具有相同 CIDR 的 VPC 之间进行路由，也不支持在范围内的某个 CIDR 与已连接 VPC 中的 CIDR 发生重叠时进行路由。如果将 VPC 连接至中转网关时，其 CIDR 与已连接至该网关的其他 VPC 的 CIDR 相同或存在重叠，则新连接的 VPC 的路由不会传播至中转网关的路由表。
-
您不能为驻留在本地区域中的 VPC 子网创建连接。但可以将网络配置为允许本地区域中的子网通过父可用区连接到中转网关。有关更多信息，请参阅将 Local Zone 子网连接到中转网关。
-
您无法使用 IPv6-only 子网创建传输网关附件。中转网关连接子网必须同时支持 IPv4 地址。
-
在将中转网关添加到路由表之前，中转网关必须至少有一个 VPC 挂载。
VPC 连接的路由表要求
中转网关的 VPC 连接需要特定的路由表配置才能正常工作：
-
连接子网路由表：与中转网关关联的子网必须为 VPC 内所有需要通过中转网关可达的目标位置配置路由表条目。这包括指向其他子网、互联网网关、NAT 网关和 VPC 端点的路由。
-
目标子网路由表：包含需要通过中转网关通信的资源的子网，必须拥有指向该中转网关的回程路由，以便返回外部目标位置的流量能够顺利返回。
-
本地 VPC 流量：中转网关连接不会自动启用同一 VPC 内子网之间的通信。标准 VPC 路由规则适用，且本地路由 (VPC CIDR) 必须存在于路由表中才能实现 VPC 内部通信。
注意
在同一可用区内未连接子网中配置路由不会启用流量传输。只有与中转网关连接关联的特定子网才能用作中转网关流量的 entry/exit 点。
VPC 挂载生命周期
从请求发起开始，VPC 挂载会经历各个不同阶段。在每个阶段中，您都可以执行一些操作，在生命周期结束后，VPC 挂载仍会在 Amazon Virtual Private Cloud Console 和 API 或命令行输出中继续显示一段时间。
下图显示了挂载在单个账户配置或打开了自动接受共享挂载选项的跨账户配置中会经历的状态。
-
待处理：已发起了 VPC 挂载请求，正在进行配置。在此阶段，挂载可能会失败，也可能会变为
available。 -
即将失败：VPC 挂载请求将会失败。在此阶段，VPC 挂载会变为
failed。 -
失败：VPC 挂载请求失败。在此状态下，无法删除 VPC 挂载。失败的 VPC 挂载仍会继续显示 2 小时，之后不再显示。
-
可用：VPC 挂载可用，流量可以在 VPC 和中转网关之间流动。在此阶段，挂载可以变为
modifying，也可以变为deleting。 -
正在删除：正在删除 VPC 挂载。在此阶段，挂载可以变为
deleted。 -
已删除：已删除
availableVPC 挂载。当 VPC 挂载处于此状态时，无法对其进行修改。VPC 挂载仍会继续显示 2 小时，之后不再显示。 -
正在修改：已请求修改 VPC 挂载的属性。在此阶段，挂载可以变为
available，也可以变为rolling back。 -
正在回滚：无法完成 VPC 挂载修改请求，系统正在撤消所做的任何更改。在此阶段，挂载可以变为
available。
下图显示了挂载在自动接受共享挂载选项已关闭的跨账户配置中会经历的状态。
-
Pending-acceptance：VPC 连接请求正在等待接受。在此阶段，挂载可以变为
pending、rejecting或deleting。 -
正在拒绝：正在拒绝 VPC 挂载。在此阶段，挂载可以变为
rejected。 -
已拒绝：
pending acceptanceVPC 挂载已被拒绝。当 VPC 挂载处于此状态时，无法对其进行修改。VPC 挂载仍会继续显示 2 小时，之后不再显示。 -
待处理：已接受 VPC 挂载并正在进行配置。在此阶段，挂载可能会失败，也可能会变为
available。 -
即将失败：VPC 挂载请求将会失败。在此阶段，VPC 挂载会变为
failed。 -
失败：VPC 挂载请求失败。在此状态下，无法删除 VPC 挂载。失败的 VPC 挂载仍会继续显示 2 小时，之后不再显示。
-
可用：VPC 挂载可用，流量可以在 VPC 和中转网关之间流动。在此阶段，挂载可以变为
modifying，也可以变为deleting。 -
正在删除：正在删除 VPC 挂载。在此阶段，挂载可以变为
deleted。 -
已删除：已删除
available或pending acceptanceVPC 挂载。当 VPC 挂载处于此状态时，无法对其进行修改。VPC 挂载仍会继续显示 2 小时，之后不再显示。 -
正在修改：已请求修改 VPC 挂载的属性。在此阶段，挂载可以变为
available，也可以变为rolling back。 -
正在回滚：无法完成 VPC 挂载修改请求，系统正在撤消所做的任何更改。在此阶段，挂载可以变为
available。
设备模式
如果您计划在 VPC 中配置有状态的网络设备，则可以为在创建连接时该设备所在的 VPC 连接启用设备模式支持。这可确保 Amazon Transit Gateway 在源和目标之间的流量流的生命周期内为该 VPC 附件使用相同的可用区。它还允许中转网关将流量发送到 VPC 中的任何可用区，只要该区中存在子网关联。虽然设备模式仅支持 VPC 连接，但网络流量可来自任何其他中转网关连接类型，包括 VPC、VPN 和 Connect 连接。设备模式同样适用于源地址和目标地址跨不同 Amazon Web Services 区域的网络流量。若您未在初始阶段启用设备模式，但后续编辑连接配置时启用了该模式，网络流量可能会在不同可用区之间重新平衡。您可通过控制台、命令行或 API 来启用或禁用设备模式。
重要
设备模式仅适用于 VPC 连接。
AZ-aware 路由的先决条件：必须为与设备模式 VPC 连接关联的中转网关路由表启用路由传播。如果不进行传播，中转网关将无法确定源和目标可用区。所有流量（包括方案 1 中描述的相同Availability-Zone 流量）都将退回到基于流量哈希的可用区选择。这意味着同一可用区内的流量可能会路由到设备 VPC 中的不同可用区，从而打破可用区隔离。
T Amazon ransit Gateway 中的设备模式在确定通过设备模式 VPC 的路径时，通过考虑源和目标可用区域来优化流量路由。这种方法有助于提高效率并降低延迟。具体行为因配置和流量模式而异。
以下场景假设为与设备模式 VPC 连接关联的中转网关路由表启用了路由传播。如果不进行传播，中转网关将无法确定源和目标可用区，并且所有场景都默认为基于流量哈希的可用区选择（场景 2 中描述的行为）。
场景 1：通过设备 VPC 进行 Intra-Availability 区域流量路由
当流量从源可用区 us-east-1a 流向目标可用区 us-east-1a 时，若 us-east-1a 和 us-east-1b 均存在设备模式 VPC 连接，Transit Gateway 将从设备 VPC 内的 us-east-1a 选择一个网络接口。该可用区将在源与目标之间的整个流量流过程中保持不变。
场景 2：通过设备 VPC 进行 Inter-Availability 区域流量路由
对于从源可用区 us-east-1a 流向目标可用区 us-east-1b 的流量，当 us-east-1a 和 us-east-1b 均存在设备模式 VPC 连接时，Transit Gateway 会使用流量哈希算法，在设备 VPC 中选择 us-east-1a 或 us-east-1b。所选可用区将在流量生命周期内保持一致。
场景 3：通过无可用区数据的设备 VPC 进行流量路由
当流量从源可用区 us-east-1a 发往没有可用区信息的目的地（例如，互联网流量）时，如果设备模式 VPC 附件同时位于 us-east-1a 和 us-east-1b 中，Transit Gateway 会在设备 VPC 内从 us-east-1a 中选择一个网络接口。
场景 4：通过与源或目标不同的可用区中的设备 VPC 进行流量路由
当流量从源可用区 us-east-1a 流向目标可用区 us-east-1b 时，若设备模式的 VPC 连接位于不同可用区（例如，us-east-1c 和 us-east-1d），Transit Gateway 将使用流量哈希算法，在设备 VPC 中选择 us-east-1c 或 us-east-1d。所选可用区将在流量生命周期内保持一致。
引用安全组
您可以使用此功能来简化安全组管理和控制连接到同一传输网关的 VPC 之间的实例间流量。您只能在入站规则中交叉引用安全组。出站安全规则不支持安全组引用。启用或使用安全组引用不会产生额外费用。
安全组引用支持可同时配置于中转网关和中转网关 VPC 连接，且仅当中转网关及其所有 VPC 连接均已启用该功能时方可生效。
限制
在将安全组引用与 VPC 连接结合使用时，适用以下限制。
跨中转网关对等连接不支持安全组引用。两个 VPC 必须连接到同一个中转网关。
可用区 use1-az3 中的 VPC 连接不支持引用安全组。
PrivateLink 终端不支持安全组引用。我们建议使用 IP CIDR-based 安全规则作为替代方案。
只要在 VPC 中为 EFS 接口配置了允许所有出站流量的安全组规则，安全组引用机制对 Elastic File System (EFS) 同样有效。
Amazon 前哨、 Amazon 波长区域和某些 Amazon 本地区域不支持安全组引用。为避免服务中断，对于在这些位置具有子网的 VPC，在 VPC 连接级别禁用安全组引用。
不支持 Amazon Local Zones
以下 Amazon 本地区域不支持此功能：
us-east-1-bos-1a、、、、、、、us-east-1-bue-1a、us-east-1-lim-1a、us-east-1-mci-1a、、us-east-1-msp-1a、us-east-1-phl-1a、us-east-1-scl-1a、、us-west-2-den-1a、us-west-2-hnl-1a、us-west-2-las-1a、、us-west-2-sea-1a、ap-south-1-ccu-1a、ap-south-1-del-1a、、ap-southeast-1-mnl-1a、ap-southeast-2-per-1a、eu-north-1-cph-1a、、eu-north-1-hel-1a、eu-central-1-ham-1a、eu-central-1-waw-1a、、af-south-1-los-1a、me-south-1-mct-1a。-
如果您有检查 VPC，则通过传输网关引用的安全组不适用于网 Amazon 关负载均衡器或 Amazon 网络防火墙。
IPv6 支持
创建或修改 VPC 附件时，您可以启用或禁用 IPv6 支持。默认值为 disable。
启用 IPv6 支持会执行以下操作：
-
为连接子网中的中转网关网络接口分配 IPv6 地址。传输网关使用此地址通过附件发送和接收 IPv6 流量。
-
配置路由传播后，将 IPv6 VPC CIDR 传播到中转网关路由表。
当您禁用 IPv6 支持时，以下行为仍然适用：
-
您仍然可以创建以附件为目标的静态 IPv6 路由。
-
如果 VPC 路由表具有指向中转网关的 IPv6 路由，并且网络 ACL 和安全组允许流量，则 IPv6 流量仍然可以从 VPC 进入传输网关。
此设置仅控制网络接口寻址和路由传播，不过滤数据包。