Revise estas recomendaciones antes de conectar instancias de red mediante un transit router.
-
Para conectar una virtual private cloud (VPC) a un transit router Enterprise Edition, la VPC requiere un vSwitch en una zona compatible con el transit router. Cree un vSwitch dedicado para este fin; no reutilice vSwitches que transporten tráfico de servicio. Siga estas reglas al crear el vSwitch:
-
Use el bloque CIDR más pequeño que satisfaga sus necesidades para evitar el desperdicio de direcciones IP. La longitud de la máscara de subred no debe exceder los 28 bits.
Por ejemplo, puede usar 192.168.10.0/28.
Asocie todos los vSwitches usados para conexiones de VPC con la misma network access control list (ACL). Si no se requiere control de acceso, configure la ACL para permitir todo el tráfico entrante y saliente. Aplique ACL independientes a los vSwitches que transportan tráfico de servicio.
Asocie todos los vSwitches usados para conexiones de VPC con la misma VPC route table.
-
-
Use enrutamiento dinámico BGP para las conexiones IPsec-VPN vinculadas a un transit router Enterprise Edition. BGP permite la propagación automática de rutas y el failover, lo que evita actualizaciones manuales de rutas cuando cambia la topología.
Si su gateway local admite enrutamiento multipath de costo igual (ECMP), habilítelo para distribuir el tráfico entre varios túneles VPN y aumentar el throughput.
Cuando tanto un virtual border router (VBR) como una conexión IPsec-VPN están vinculados al mismo transit router Enterprise Edition, habilite route learning en ambos vínculos. El aprendizaje de rutas anuncia automáticamente las rutas del VBR y del vínculo VPN hacia las tablas de rutas del transit router, lo que elimina la necesidad de configurar rutas manualmente.
Mantenga las tablas de rutas al mínimo necesario según su topología. Use la tabla de rutas predeterminada si una sola es suficiente. Si se requieren varias tablas de rutas, agrupe las instancias de red por tipo de servicio y asigne cada grupo a la tabla correspondiente. La proliferación de tablas de rutas aumenta la complejidad de gestión sin mejorar el rendimiento.
Cada transit router está diseñado para alta disponibilidad, por lo que no es necesario desplegar varios transit routers para lograrla.
-
Después de conectar una instancia de red al transit router, configure rutas redundantes para protegerse contra puntos únicos de falla. Aplique esto como mínimo en los siguientes escenarios:
Conexiones de VPC: Vincule un vSwitch en cada zona compatible con el transit router Enterprise Edition. La vinculación multizona habilita la recuperación ante desastres por zona y reduce la latencia en la transmisión de datos.
Conectividad local: Cree varios vínculos VPN entre su red local y el transit router para habilitar ECMP. Como alternativa, combine un vínculo VPN con una conexión VBR para funcionar como enlaces activo y en espera.