Analise estas recomendações antes de conectar instâncias de rede por meio de um transit router.
-
Para conectar uma virtual private cloud (VPC) a um transit router Enterprise Edition, a VPC precisa de um vSwitch em uma zona compatível com o transit router. Crie um vSwitch dedicado para essa finalidade — não reutilize vSwitches que transportam tráfego de serviço. Siga estas regras ao criar o vSwitch:
-
Use o menor bloco CIDR que atenda às suas necessidades para evitar desperdício de endereços IP. O comprimento da máscara de sub-rede não deve exceder 28 bits.
Por exemplo, você pode usar 192.168.10.0/28.
Associe todos os vSwitches usados para conexões VPC à mesma lista de controle de acesso à rede (ACL). Se nenhum controle de acesso for necessário, configure a ACL para permitir todo o tráfego de entrada e saída. Aplique ACLs separadas aos vSwitches que transportam tráfego de serviço.
Associe todos os vSwitches usados para conexões VPC à mesma tabela de rotas da VPC.
-
-
Use roteamento dinâmico BGP para conexões IPsec-VPN associadas a um transit router Enterprise Edition. O BGP possibilita a propagação automática de rotas e failover, o que evita atualizações manuais de rotas quando a topologia muda.
Se o gateway on-premises oferecer suporte a roteamento de caminhos múltiplos de custo igual (ECMP), ative-o para distribuir o tráfego entre vários túneis VPN e aumentar o throughput.
Quando um virtual border router (VBR) e uma conexão IPsec-VPN estiverem associados ao mesmo transit router Enterprise Edition, ative o aprendizado de rotas em ambas as associações. O aprendizado de rotas anuncia automaticamente as rotas das associações do VBR e da VPN para as tabelas de rotas do transit router, eliminando a necessidade de configuração manual de rotas.
Mantenha as tabelas de rotas no mínimo exigido pela sua topologia. Use a tabela de rotas padrão se uma única tabela for suficiente. Se várias tabelas de rotas forem necessárias, agrupe as instâncias de rede por tipo de serviço e atribua cada grupo à tabela de rotas apropriada. A proliferação de tabelas de rotas aumenta a complexidade de gerenciamento sem melhorar o desempenho.
Cada transit router já oferece alta disponibilidade — não é necessário implantar vários transit routers para alcançá-la.
-
Após conectar uma instância de rede ao transit router, configure rotas redundantes para proteger contra pontos únicos de falha. Aplique essa prática, no mínimo, aos seguintes cenários:
Conexões VPC: Associe um vSwitch em cada zona compatível com o transit router Enterprise Edition. A associação em múltiplas zonas possibilita a recuperação de desastres em nível de zona e reduz a latência de transmissão de dados.
Conectividade on-premises: Crie várias associações VPN entre sua rede on-premises e o transit router para habilitar ECMP. Como alternativa, combine uma associação VPN com uma conexão VBR como links ativo e standby.