Amazon ANS-C01: Transit Gateway e Topologia de Rede — Guia de estudos
Faz parte do AWS Advanced Networking Specialty ANS-C01 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Amazon, ou faça testes cronometrados no ExamRoll.io.
Conceitos principais
O AWS Transit Gateway (TGW) é um hub de trânsito de rede regional que centraliza o roteamento entre Amazon VPCs, VPNs, gateways do Direct Connect e outros Transit Gateways. Na sua forma mais simples, um TGW atua como um plano de roteamento: você cria anexos (por exemplo, com a chamada de API do EC2 CreateTransitGatewayVpcAttachment para VPCs, CreateTransitGatewayAttachment para appliances ou CreateTransitGatewayPeeringAttachment para peering) e depois controla como esses anexos trocam rotas, associando e propagando-as em uma ou mais tabelas de rotas do Transit Gateway. As tabelas de rotas em um TGW fornecem as primitivas de isolamento e segmentação que permitem que o TGW atue como múltiplos roteadores virtuais (VRFs). Para cada anexo, você decide a qual tabela de rotas do TGW ele será associado (usando AssociateTransitGatewayRouteTable) e quais anexos propagarão suas rotas para quais tabelas (através das configurações de propagação da tabela de rotas). O TGW encaminha pacotes com base na correspondência de prefixo mais longo (longest-prefix match) em todas as tabelas de rotas com as quais o anexo de origem está associado. Portanto, um design cuidadoso dos limites de associação/propagação é como você implementa topologias hub-and-spoke, hubs segmentados ou malhas parciais (partial meshes).
O peering de Transit Gateway cria um caminho criptografado e privado entre regiões ou entre contas, conectando TGWs, que ainda depende da configuração da tabela de rotas para habilitar o fluxo de tráfego. Você cria o peering com CreateTransitGatewayPeeringAttachment do lado solicitante e depois usa AcceptTransitGatewayPeeringAttachment no lado receptor; depois disso, você deve adicionar rotas às tabelas de rotas apropriadas do TGW para que o anexo de peering seja usado. O peering não é transitivo: o tráfego não fluirá do TGW-A para o TGW-C através do TGW-B, a menos que um peering explícito e mapeamentos de tabela de rotas o permitam. O TGW também suporta anexos do tipo Connect para conectividade de alto desempenho com SD-WAN ou appliances de terceiros, criados com a API CreateTransitGatewayConnect, que habilita encapsulamento (GRE, VXLAN) e encaminhamento de alta taxa de transferência (high-throughput) para dispositivos especializados.
Serviços e configuração principais
Configure os anexos de VPC usando CreateTransitGatewayVpcAttachment e certifique-se de definir as opções de anexo necessárias: por exemplo, habilite ApplianceModeSupport em anexos de VPC que encaminham tráfego para appliances de rede, para que o TGW mantenha o destino original ao enviar o tráfego para o appliance. Após criar os anexos, use CreateTransitGatewayRouteTable para criar tabelas de rotas adicionais do TGW além da padrão. Em seguida, chame AssociateTransitGatewayRouteTable e habilite a propagação para os anexos escolhidos, para que seus prefixos apareçam na tabela de rotas. Para casos de uso de multicast, crie um domínio multicast com CreateTransitGatewayMulticastDomain, depois use AssociateTransitGatewayMulticastDomain para os anexos que participarão e use RegisterTransitGatewayMulticastGroupMembers e RegisterTransitGatewayMulticastGroupSources para estabelecer a participação e as fontes do grupo; os domínios multicast são separados das tabelas de rotas unicast e são necessários para a entrega de grupos no estilo IGMP entre VPCs e appliances.
Para visibilidade da topologia global e aplicação de políticas, use o AWS Transit Gateway Network Manager (parte do AWS Network Manager). Crie uma Global Network no Network Manager (pelo console ou com networkmanager:CreateGlobalNetwork) e registre os Transit Gateways para obter uma visão norte/sul (north/south) entre regiões e conexões on-prem. O Network Manager oferece monitoramento de desempenho automatizado, visualizações de núcleo-periferia (core-periphery) e análise de rotas; ele pode ingerir métricas do CloudWatch e logs de fluxo da VPC (VPC flow logs) e correlacioná-los com anexos do TGW e links de VPN/Direct Connect. A integração com o AWS Resource Access Manager (RAM) permite que você compartilhe um TGW gerenciado centralmente com outras contas AWS usando CreateResourceShare e os anexos de principal (principal attachments) apropriados; lembre-se de definir a opção AutoAcceptSharedAttachments do TGW ou gerenciar as aceitações de forma programática.
Padrões de design e contrapartidas
Uma topologia hub-and-spoke implementada com um único Transit Gateway é o padrão mais comum para arquiteturas multi-VPC e multi-contas porque centraliza a conectividade, simplifica a distribuição de rotas e permite a consolidação de serviços compartilhados, appliances de segurança e conectividade on-premises. Use uma ou mais tabelas de rotas do TGW para fornecer segmentação entre unidades de negócio: associe os spokes a uma tabela de rotas específica do spoke e propague os prefixos de serviços compartilhados apenas para as tabelas que devem visualizá-los. A contrapartida é que a centralização pode se tornar um único gargalo para o tráfego e um único raio de impacto para configurações incorretas; grandes fluxos leste-oeste através do TGW podem exigir uma engenharia de tráfego cuidadosa, a implantação de anexos Connect para appliances de alta vazão ou o posicionamento de TGWs regionais para manter o tráfego local.
Uma malha completa (full mesh) (emparelhamento ponto a ponto entre TGWs ou muitos links de VPC peering) fornece conectividade direta e reduz a dependência de um hub central para alguns padrões de tráfego, mas introduz complexidade operacional à medida que o número de links aumenta e complica a aplicação de políticas de segurança em muitos domínios administrativos. O emparelhamento de Transit Gateway (CreateTransitGatewayPeeringAttachment + AcceptTransitGatewayPeeringAttachment) permite conectividade de backbone entre regiões com criptografia através da rede global da AWS e é útil quando você deseja isolamento regional mais alguns serviços compartilhados, mas você deve gerenciar os mapeamentos da tabela de rotas explicitamente e aceitar que o emparelhamento não é transitivo. Você pode combinar padrões: um TGW hub-and-spoke regional por região e o emparelhamento entre os hubs para tráfego entre regiões geralmente equilibra escala, latência e domínios de falha.
Ao integrar redes on-premises, anexe o Direct Connect Gateway ao TGW usando os recursos de associação do Direct Connect (configure uma interface virtual privada no Direct Connect e crie uma associação com o TGW através do console ou da API do Direct Connect). Considere se deve usar VPNs baseadas em rotas (BGP sobre IPSec) para roteamento dinâmico ou rotas estáticas para fluxos rigorosamente controlados. Para casos de uso de inspeção baseada em appliance e terminação de mutual TLS, evite terminar o TLS em um appliance central se a criptografia de ponta a ponta for necessária entre clientes e back-ends; em vez disso, realize a terminação de TLS na camada de aplicação (por exemplo, em pods no EKS) e use o roteamento do TGW para direcionar o tráfego através de um ALB ou Network Load Balancer que preserve os IPs do cliente com o Proxy Protocol ou use os cabeçalhos X-Forwarded-For do ALB.
Armadilhas comuns e critérios de decisão
Um erro operacional comum é presumir que o TGW fornece segmentação implícita; ele não fornece. Você deve criar e associar explicitamente tabelas de rotas e habilitar a propagação para controlar quais attachments podem alcançar quais prefixos. Outra armadilha frequente é a configuração incorreta de security groups e NACLs: o TGW lida apenas com o roteamento, então todos os security groups e NACLs da VPC ainda se aplicam e devem estar alinhados com a conectividade de ponta a ponta desejada. Espere que os security groups stateful sejam avaliados na instância ou no load balancer; se você precisar da preservação do IP do cliente através da terminação TLS no ALB, habilite o X-Forwarded-For do ALB e, para Network Load Balancers, preserve o IP de origem usando o tipo de destino (target type) IP e o proxy-protocol quando necessário.
As decisões de escalabilidade geralmente dependem do volume de tráfego e dos limites administrativos. Centralizar muitos fluxos de alta vazão (high-throughput) através de um único TGW pode complicar o desempenho e a recuperação de falhas; use attachments do tipo Transit Gateway Connect para links de appliances de alta largura de banda, considere múltiplos TGWs com peering para isolamento e use o Network Manager para monitorar e disparar alarmes em caso de saturação. Sempre revise os limites flexíveis (soft limits) para o número de attachments, tabelas de rotas e domínios multicast e solicite aumentos quando necessário, em vez de depender das cotas padrão.
Problema Prático: Cenário de Caso de Uso
Empresa: Atlas Financial Services. Desafio: A Atlas precisa conectar dez VPCs de unidades de negócio em us-east-1 a uma VPC central de serviços compartilhados, impor o acesso à rede com o menor privilégio entre as unidades e os serviços compartilhados, escalar para dezenas de outras unidades de negócio ao longo do tempo e fornecer contabilização de tráfego por unidade de negócio para solucionar picos que ocasionalmente saturam seu link do Direct Connect.
Abordagem (numerada):
- Provisione um Transit Gateway regional com CreateTransitGateway e crie uma tabela de rotas do Transit Gateway dedicada para cada unidade de negócio, mais uma para os serviços compartilhados, usando CreateTransitGatewayRouteTable; isso permite a segmentação por unidade sem a explosão de peerings de VPC.
- Anexe cada VPC de unidade de negócio via CreateTransitGatewayVpcAttachment e associe-a com AssociateTransitGatewayRouteTable à tabela de rotas por unidade; anexe a VPC de serviços compartilhados e associe-a apenas à tabela de rotas de serviços compartilhados.
- Habilite a propagação seletivamente: faça com que cada attachment de unidade de negócio propague para sua própria tabela de rotas e que o attachment de serviços compartilhados propague seus prefixos para uma tabela separada de serviços compartilhados; em seguida, adicione rotas estáticas na tabela de rotas de cada unidade que apontem para o attachment de serviços compartilhados para os prefixos permitidos, impondo o menor privilégio ao não propagar os prefixos das unidades para a tabela de serviços compartilhados.
- Compartilhe o TGW com outras contas da AWS usando o AWS RAM (CreateResourceShare) para que a integração de uma nova unidade de negócio seja apenas um attachment de VPC e uma associação de tabela de rotas, minimizando a sobrecarga administrativa.
- Para contabilização e solução de problemas de tráfego, habilite os Flow Logs no TGW e nas VPCs associadas, e integre o TGW ao AWS Network Manager (CreateGlobalNetwork e registre o TGW) para visualizar a topologia e monitorar a largura de banda. Correlacione os flow logs do TGW e as métricas do CloudWatch para identificar qual attachment está causando a saturação do Direct Connect.
- Se a capacidade do Direct Connect for saturada durante picos previsíveis, crie um Direct Connect Gateway e use a associação do Direct Connect ao TGW; implemente a marcação de rotas (route tagging) por unidade de negócio e, se necessário, configure políticas de roteamento (comunidades BGP on-prem ou filtros de rota) no Direct Connect Gateway para limitar ou modelar o tráfego por unidade.
Justificativa da AWS: O uso de um TGW com tabelas de rotas por unidade fornece uma segmentação forte e escala linearmente à medida que mais unidades são adicionadas, sem a complexidade do peer-to-peer. Compartilhar o TGW com o AWS RAM minimiza o gerenciamento entre contas (cross-account). A propagação seletiva e as entradas de rotas estáticas impõem o menor privilégio no plano de roteamento, enquanto os security groups e NACLs impõem o acesso no nível da instância. Os Flow Logs em conjunto com o Network Manager fornecem a visibilidade necessária para identificar qual attachment ou unidade de negócio está saturando o Direct Connect, para que a Atlas possa aplicar controles de cota ou solicitar aumentos de capacidade direcionados à unidade infratora.
← Conectividade Híbrida: VPN e Direct Connect · Todos os domínios · DNS e Route 53 →
Pratique estas questões → · Prática cronometrada no ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Passe no seu exame →