Amazon ANS-C01: Transit Gateway und Netzwerktopologie — Lernleitfaden
Teil des AWS Advanced Networking Specialty ANS-C01 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Amazon-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.
Kernkonzepte
AWS Transit Gateway (TGW) ist ein regionaler Netzwerk-Transit-Hub, der das Routing zwischen Amazon VPCs, VPNs, Direct Connect Gateways und anderen Transit Gateways zentralisiert. Im einfachsten Fall fungiert ein TGW als Routing-Ebene: Sie erstellen Attachments (zum Beispiel mit dem EC2-API-Aufruf
undefined
für VPCs,
undefined
für Appliances oder
undefined
für Peering) und steuern dann, wie diese Attachments Routen austauschen, indem Sie sie mit einer oder mehreren Transit Gateway-Routingtabellen verknüpfen (associating) und Routen in diese propagieren (propagating). Routingtabellen auf einem TGW stellen die Isolations- und Segmentierungsprimitive bereit, die es dem TGW ermöglichen, wie mehrere virtuelle Router (VRFs) zu agieren. Für jedes Attachment entscheiden Sie, mit welcher TGW-Routingtabelle es verknüpft ist (mittels
undefined
) und welche Attachments ihre Routen in welche Tabellen propagieren (über die Propagierungseinstellungen der Routingtabelle). Das TGW leitet Pakete basierend auf dem Longest-Prefix-Match über alle Routingtabellen weiter, mit denen das Quell-Attachment verknüpft ist. Eine sorgfältige Gestaltung der Verknüpfungs-/Propagierungsgrenzen ist daher entscheidend für die Implementierung von Hub-and-Spoke-Architekturen, segmentierten Hubs oder Teilnetzen (Partial Meshes).
Transit Gateway Peering erstellt einen verschlüsselten, privaten Pfad zwischen TGWs über Regionen oder Konten hinweg, der weiterhin auf die Konfiguration von Routingtabellen angewiesen ist, um den Datenverkehr zu ermöglichen. Sie erstellen das Peering mit
undefined
auf der anfragenden Seite und akzeptieren es dann mit
undefined
auf der akzeptierenden Seite. Danach müssen Sie Routen zu den entsprechenden TGW-Routingtabellen hinzufügen, damit das Peering-Attachment verwendet wird. Das Peering ist nicht transitiv: Der Datenverkehr fließt nicht von TGW-A über TGW-B zu TGW-C, es sei denn, explizite Peering- und Routingtabellen-Zuweisungen erlauben dies. TGW unterstützt auch Connect-Attachments für hochleistungsfähige Konnektivität zu SD-WAN- oder Drittanbieter-Appliances. Diese werden mit der
undefined
-API erstellt und ermöglichen Kapselung (GRE, VXLAN) sowie Weiterleitung mit hohem Durchsatz an spezialisierte Geräte.
Wichtige Dienste und Konfiguration
Konfigurieren Sie VPC-Attachments mit
undefined
und stellen Sie sicher, dass Sie die benötigten Attachment-Optionen festlegen: Aktivieren Sie beispielsweise ApplianceModeSupport für VPC-Attachments, die Datenverkehr an Netzwerk-Appliances weiterleiten, damit das TGW das ursprüngliche Ziel beibehält, wenn es Datenverkehr an die Appliance sendet. Nach dem Erstellen von Attachments verwenden Sie
undefined
, um zusätzliche TGW-Routingtabellen über die Standardtabelle hinaus zu erstellen. Rufen Sie dann
undefined
auf und aktivieren Sie die Propagierung für ausgewählte Attachments, damit deren Präfixe in der Routingtabelle erscheinen. Für Multicast-Anwendungsfälle erstellen Sie eine Multicast-Domäne mit
undefined
, verknüpfen dann die teilnehmenden Attachments mit
undefined
und verwenden
undefined
sowie
undefined
, um Gruppenmitgliedschaften und Quellen einzurichten. Multicast-Domänen sind von Unicast-Routingtabellen getrennt und für die Zustellung von Gruppen im IGMP-Stil über VPCs und Appliances hinweg erforderlich.
Für globale Topologie-Sichtbarkeit und Richtliniendurchsetzung verwenden Sie den AWS Transit Gateway Network Manager (Teil von AWS Network Manager). Erstellen Sie ein Global Network im Network Manager (über die Konsole oder mit
undefined
) und registrieren Sie Transit Gateways, um eine Nord-Süd-Ansicht über Regionen und On-Premise-Verbindungen hinweg zu erhalten. Der Network Manager bietet automatisierte Leistungsüberwachung, Core-Periphery-Visualisierungen und Routenanalysen. Er kann CloudWatch-Metriken und VPC Flow Logs aufnehmen und sie mit TGW-Attachments und VPN/Direct Connect-Verbindungen korrelieren. Die Integration mit AWS Resource Access Manager (RAM) ermöglicht es Ihnen, ein zentral verwaltetes TGW mit anderen AWS-Konten zu teilen, indem Sie
undefined
und die entsprechenden Principal-Attachments verwenden. Denken Sie daran, die TGW-Option AutoAcceptSharedAttachments zu setzen oder die Annahmen programmatisch zu verwalten.
Designmuster und Kompromisse
Eine Hub-and-Spoke-Topologie, die mit einem einzigen Transit Gateway implementiert wird, ist das gängigste Muster für Architekturen mit mehreren VPCs und Konten, da sie die Konnektivität zentralisiert, die Routenverteilung vereinfacht und die Konsolidierung von gemeinsam genutzten Diensten, Sicherheits-Appliances und On-Prem-Konnektivität ermöglicht. Verwenden Sie eine oder mehrere TGW-Routing-Tabellen, um eine Segmentierung zwischen Geschäftsbereichen zu schaffen: Ordnen Sie Spokes einer Spoke-spezifischen Routing-Tabelle zu und propagieren Sie Präfixe von gemeinsam genutzten Diensten nur in die Tabellen, die diese sehen sollen. Der Kompromiss besteht darin, dass die Zentralisierung zu einem einzigen Engpass für den Datenverkehr und einem einzigen Blast Radius für Fehlkonfigurationen werden kann; große Ost-West-Datenflüsse durch das TGW erfordern möglicherweise sorgfältiges Traffic Engineering, den Einsatz von Connect-Attachments für Appliances mit hohem Durchsatz oder die Platzierung regionaler TGWs, um den Datenverkehr lokal zu halten.
Ein Full Mesh (paarweises Peering zwischen TGWs oder viele VPC-Peering-Verbindungen) bietet direkte Konnektivität und reduziert bei einigen Datenverkehrsmustern die Abhängigkeit von einem zentralen Hub, führt aber zu betrieblicher Komplexität, wenn die Anzahl der Verbindungen wächst, und verkompliziert die Durchsetzung von Sicherheitsrichtlinien über viele administrative Domänen hinweg. Transit Gateway Peering (CreateTransitGatewayPeeringAttachment + AcceptTransitGatewayPeeringAttachment) ermöglicht Backbone-Konnektivität zwischen Regionen mit Verschlüsselung über das globale AWS-Netzwerk und ist nützlich, wenn Sie regionale Isolation plus einige gemeinsam genutzte Dienste wünschen. Sie müssen jedoch die Zuordnungen der Routing-Tabellen explizit verwalten und akzeptieren, dass Peering nicht transitiv ist. Sie können Muster kombinieren: Ein regionales Hub-and-Spoke-TGW pro Region und Peering zwischen den Hubs für regionenübergreifenden Datenverkehr gleicht oft Skalierbarkeit, Latenz und Fehlerdomänen aus.
Bei der Integration von On-Premises-Netzwerken verbinden Sie das Direct Connect Gateway mit dem TGW über die Direct-Connect-Assoziierungsfunktionen (konfigurieren Sie ein privates virtuelles Interface auf Direct Connect und erstellen Sie eine Assoziierung mit dem TGW über die Direct-Connect-Konsole oder API). Überlegen Sie, ob Sie routenbasierte VPNs (BGP über IPSec) für dynamisches Routing oder statische Routen für streng kontrollierte Datenflüsse verwenden möchten. Für Anwendungsfälle der Appliance-basierten Inspektion und der gegenseitigen TLS-Terminierung sollten Sie die TLS-Terminierung an einer zentralen Appliance vermeiden, wenn eine Ende-zu-Ende-Verschlüsselung zwischen Clients und Backends erforderlich ist. Führen Sie stattdessen die TLS-Terminierung auf der Anwendungsschicht durch (zum Beispiel auf Pods in EKS) und verwenden Sie TGW-Routing, um den Datenverkehr über einen ALB oder Network Load Balancer zu leiten, der die Client-IPs mit dem Proxy Protocol beibehält, oder verwenden Sie die X-Forwarded-For-Header des ALB.
Häufige Fallstricke und Entscheidungskriterien
Ein häufiger operativer Fehler ist die Annahme, dass TGW eine implizite Segmentierung bietet; das ist nicht der Fall. Sie müssen explizit Routing-Tabellen erstellen und zuordnen sowie die Propagierung aktivieren, um zu steuern, welche Attachments welche Präfixe erreichen können. Eine weitere häufige Fehlerquelle ist die Fehlkonfiguration von Security Groups und NACLs: TGW kümmert sich nur um das Routing, daher gelten alle VPC Security Groups und NACLs weiterhin und müssen auf die beabsichtigte End-to-End-Konnektivität abgestimmt sein. Beachten Sie, dass zustandsbehaftete (stateful) Security Groups auf der Instanz oder dem Load Balancer ausgewertet werden. Wenn Sie die Client-IP über die TLS-Terminierung am ALB hinweg beibehalten müssen, aktivieren Sie den X-Forwarded-For-Header des ALB und erhalten Sie bei Network Load Balancern die Quell-IP, indem Sie den Zieltyp (Target Type) IP und bei Bedarf das Proxy-Protokoll verwenden.
Skalierungsentscheidungen hängen oft vom Verkehrsaufkommen und von administrativen Grenzen ab. Die Zentralisierung vieler datenintensiver Datenströme über ein einziges TGW kann die Leistung und die Wiederherstellung nach einem Ausfall erschweren. Verwenden Sie Transit Gateway Connect Attachments für Appliance-Verbindungen mit hoher Bandbreite, ziehen Sie mehrere TGWs mit Peering zur Isolierung in Betracht und nutzen Sie den Network Manager zur Überwachung und zum Auslösen von Alarmen bei Sättigung. Überprüfen Sie immer die Soft Limits für die Anzahl der Attachments, Routing-Tabellen und Multicast-Domänen und beantragen Sie bei Bedarf Erhöhungen, anstatt sich auf die Standardkontingente zu verlassen.
Praktisches Problem: Anwendungsfallszenario
Unternehmen: Atlas Financial Services. Herausforderung: Atlas muss zehn VPCs von Geschäftsbereichen in us-east-1 mit einer zentralen Shared-Services-VPC verbinden, den Netzwerkzugriff mit den geringsten Rechten (Least Privilege) zwischen den Einheiten und den Shared Services durchsetzen, im Laufe der Zeit auf Dutzende weitere Geschäftsbereiche skalieren und eine verkehrsbezogene Abrechnung pro Geschäftsbereich bereitstellen, um Bursts zu beheben, die gelegentlich ihre Direct Connect-Verbindung sättigen.
Ansatz (nummeriert):
- Stellen Sie ein regionales Transit Gateway mit
undefined
bereit und erstellen Sie eine dedizierte Transit Gateway Routing-Tabelle für jeden Geschäftsbereich sowie eine für die Shared Services mit
undefined
; dies ermöglicht eine Segmentierung pro Einheit ohne eine Explosion von VPC-Peerings. 2. Hängen Sie jede VPC eines Geschäftsbereichs über
undefined
und
undefined
an die Routing-Tabelle der jeweiligen Einheit an; hängen Sie die Shared-Services-VPC an und ordnen Sie sie nur der Shared-Services-Routing-Tabelle zu. 3. Aktivieren Sie die Propagierung selektiv: Lassen Sie jedes Attachment eines Geschäftsbereichs in seine eigene Routing-Tabelle propagieren und lassen Sie das Shared-Services-Attachment seine Präfixe in eine separate Shared-Services-Tabelle propagieren; fügen Sie dann statische Routen in der Routing-Tabelle jeder Einheit hinzu, die für die erlaubten Präfixe auf das Shared-Services-Attachment verweisen. Dadurch wird das Prinzip der geringsten Rechte durchgesetzt, indem die Präfixe der Einheiten nicht in die Shared-Services-Tabelle propagiert werden. 4. Geben Sie das TGW für andere AWS-Konten mit AWS RAM (
undefined
) frei, sodass das Onboarding eines neuen Geschäftsbereichs nur ein VPC-Attachment und eine Zuordnung zu einer Routing-Tabelle erfordert, was den administrativen Aufwand minimiert. 5. Aktivieren Sie für die Verkehrsabrechnung und Fehlerbehebung Flow Logs auf dem TGW und den zugehörigen VPCs und nehmen Sie das TGW in den AWS Network Manager auf (
undefined
und Registrierung des TGW), um die Topologie zu visualisieren und die Bandbreite zu überwachen. Korrelieren Sie TGW Flow Logs und CloudWatch-Metriken, um zu identifizieren, welches Attachment die Sättigung der Direct Connect-Verbindung verursacht. 6. Wenn die Kapazität von Direct Connect während vorhersehbarer Spitzenlasten gesättigt ist, erstellen Sie ein Direct Connect Gateway und verwenden Sie eine Direct Connect-Assoziierung zum TGW; implementieren Sie Route-Tagging pro Geschäftsbereich und konfigurieren Sie bei Bedarf Routing-Richtlinien (On-Premises-BGP-Communities oder Routenfilter) am Direct Connect Gateway, um den Verkehr pro Einheit zu begrenzen oder zu formen (Traffic Shaping).
AWS-Begründung: Die Verwendung eines TGW mit Routing-Tabellen pro Einheit bietet eine starke Segmentierung und skaliert linear, wenn weitere Einheiten hinzugefügt werden, ohne die Komplexität von Peer-to-Peer-Verbindungen. Die Freigabe des TGW mit AWS RAM minimiert die kontoübergreifende Verwaltung. Selektive Propagierung und statische Routeneinträge setzen das Prinzip der geringsten Rechte auf der Routing-Ebene durch, während Security Groups und NACLs den Zugriff auf Instanzebene durchsetzen. Flow Logs in Verbindung mit dem Network Manager bieten die nötige Transparenz, um genau zu bestimmen, welches Attachment oder welcher Geschäftsbereich die Direct Connect-Verbindung sättigt, sodass Atlas Kontingentkontrollen anwenden oder Kapazitätserhöhungen gezielt für die verursachende Einheit beantragen kann.
← Hybride Konnektivität: VPN und Direct Connect · Alle Domänen · DNS und Route 53 →
Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Bestehe deine Prüfung →