如何将我的 VPN 从虚拟私有网关迁移到中转网关?

上次更新时间:2021 年 3 月 23 日

我想要使用中转网关在我的 Amazon Virtual Private Cloud (Amazon VPC) 与我的虚拟私有网关 (VPN) 之间建立安全连接。如何将我的 VPN 从虚拟私有网关迁移到中转网关?

简短描述

要将 VPN 从虚拟私有网关迁移到中转网关:

1.    创建一个中转网关

2.    将 VPC 附加到中转网关

3.    将 VPN 附加到中转网关

4.    将流量从虚拟网关故障转移到中转网关

解决方法

注意:如果您在运行 AWS 命令行界面 (AWS CLI) 命令时遇到错误,请确保您使用的是最新版的 AWS CLI

您可以终止到中转网关的 VPN。然后,您可以将流量从虚拟网关故障转移到中转网关。中转网关上挂载的任一 VPC 可以通过单个 VPN 连接访问。挂载到中转网关的所有 VPC 可以通过路由和安全组进行通信(如果允许)。

到 AWS Transit Gateway 的单一 VPN 连接必须仍然具有最高 1.25Gbps 的吞吐量。如果您需要更快的带宽,您必须终止到此中转网关的多个 VPN 连接,然后在这些连接之间分布您的本地子网。

在开始之前,请注意以下事项:

  • 您可以使用 TGW Migrator 工具自动化执行下面的第 1 步和第 2 步。
  • 要在不进行任何更改的情况下将现有虚拟网关迁移到中转网关,您可以使用 ModifyVpnConnection API 调用。但这种调用可能会导致停机,因此应考虑在计划维护时段进行更改。

第 1 步:创建中转网关

按照创建中转网关中的步骤操作。

配置中转网关时,务必选择 Auto accept shared attachments(自动接受共享挂载)以支持自动接受跨账户挂载。

您还可以使用 AWS CLI 创建中转网关:

aws ec2 create-transit-gateway

第 2 步:将 VPC 挂载到中转网关

按照将 VPC 挂载到中转网关中的步骤操作。

您必须从每个可用区指定一个子网,以供中转网关用于路由流量。从每个可用区指定一个子网可使流量到达该可用区中每个子网中的资源。

要使用 AWS CLI 将 VPC 挂载到中转网关:

aws ec2 create-transit-gateway-vpc-attachment
--transit-gateway-id tgw-14324bbc412a43243
--vpc-id vpc-2321314314
--subnet-ids "subnet-12312312" "subnet-41343432"

第 3 步:将 VPN 挂载到中转网关

按照将 VPN 挂载到中转网关中的步骤操作。

创建中转网关挂载时:

  • 对于 Customer Gateway(客户网关),选择 Existing(现有),然后从下拉列表中选择您的客户网关 ID。
  • 对于 Tunnel Options(隧道选项),您可以选择指定 CIDR 的自定义隧道和 VPN 隧道的预共享密钥。否则,系统会随机生成隧道选项。

要使用 AWS CLI 创建 VPN 挂载,请使用 create-vpn-connection 命令。

创建 VPN 挂载后,请下载配置文件并将配置应用到您的客户网关。您可以启用互联网协议安全 (IPsec) 和 边界网关协议 (BGP) 会话,但确保通过 VPN 将流量路由到虚拟网关。

AWS Transit Gateway 路由域包含所挂载 VPC 和 VPN 的路由。要查看路由表:

1.    打开 Amazon VPC 控制台

2.    从导航窗格中选择 Transit Gateway Route Tables(Transit Gateway 路由表)。

3.    选择路由表。

-或者-

在 AWS CLI 中,运行以下命令:

aws ec2 search-transit-gateway-routes --transit-gateway-route-table-id tgw-rtb-xxxxxxxxxxxxxxxxxx --filters Name=route-search.subnet-of-match,Values="0.0.0.0/0"

步骤 4:将流量从虚拟网关故障转移到中转网关

1.    打开 Amazon VPC 控制台

2.    从导航窗格中,选择 Route Tables(路由表)。

3.    从列表中选择 VPC 路由表。

4.    选择 Routes(路由),然后选择 Edit routes(编辑路由)。

5.    为您的本地网络添加一个不太特定的路由,以指向中转网关。例如,如果当前通过虚拟私有网关访问您的本地网络的路由为 10.10.0.0/24,则使用 10.10.0.0/16 CIDR 块。此配置可确保在您准备好将流量重定向到中转网关之前,流量将优先路由到虚拟私有网关。

6.    要将流量切换到中转网关,请配置与您的私有网关连接的客户网关,以停止通过 VPN 隧道公布本地 CIDR。您也可以禁用 BGP 会话。

7.    为 VPC 路由禁用路由传播

8.    为包含虚拟网关条目的每个 VPC 路由表重复第 3 – 7 步:


这篇文章对您有帮助吗?


您是否需要账单或技术支持?