在 AWS 上为 Carrier 创建自动化、软件定义的全球网络

自 1915 年成立以来，Carrier 已从一家小型的 HVAC（采暖、通风和空调）系统制造商发展成为一家拥有超 75 个品牌的全球性企业。该公司在 HVAC、制冷以及消防和安全领域使用创新、节能的产品来改造和优化室内空间。

随着 Carrier 从制造设备转型为提供数字化支持的健康生活方式，其网络对于连接其遍布 180 多个国家或地区的资产、办公室、制造设施和 53,000 名员工而言变得越来越重要。起初，各团队使用 Amazon Virtual Private Cloud（Amazon VPC）服务进行协作，该服务使公司能够完全控制其虚拟网络环境，包括资源放置和安全性。Carrier 使用 AWS Transit Gateway（连接 Amazon VPC、AWS 账户和本地网络）以中心辐射模式连接其 VPC。该架构需要静态路由来提供跨多个 AWS 区域的连接，这依赖于工程师手动更改配置。

此外，随着网络变得越来越复杂，工程师无法确定一个团队的变更请求是否会导致中断或破坏另一个团队的工作负载。虽然网络能够正常运行，但 Carrier 需要容纳越来越多的 AWS 账户以加快创新。Carrier 云工程和治理副总监 Justin McDowell 说：“随着我们将越来越多的工作负载迁移到云端，网络建设其实是后来才考虑的事。”“它跟不上 Carrier 在云端经历的创新步伐和有机增长规模。”

2023 年，Carrier 开始准备从另一家云服务提供商迁移到 AWS，公司知道其错综复杂的网络和缺乏全球可见性可能会使这一过程复杂化。McDowell 说：“我们需要一个坚如磐石的网络设计才能成功完成迁移。”“这就是投资网络变更的驱动力。”

Carrier 启动了一个大型项目，使用 AWS 云 WAN 重新架构其全球 AWS 网络，AWS 云 WAN 提供了一个中央控制面板，用于在分支机构、数据中心和 VPC 之间建立连接，只需单击几下即可构建全球网络。该公司还使用了 Amazon VPC IP 地址管理器（Amazon VPC IPAM），这是一项 Amazon VPC 功能，可让组织规划、跟踪和监控 AWS 工作负载的 IP 地址。

Carrier 于 2023 年 5 月启动了该项目。该公司认识到，适当的 IP 地址规划和管理对网络稳定性至关重要。为了创建具有标准基准和护栏的新账户，包括为 VPC 和子网指定无类域间路由范围，Carrier 求助于 Amazon VPC IPAM。因此，该公司实现了账户创建和设置的自动化，将预置新账户的时间从 3 天缩短到几分钟，避免了手动错误，并提高了对 IP 地址使用情况的可见性。

为了进一步为账户入驻做好准备，Carrier 更新了 AWS Service Catalog 中产品的配置，AWS Service Catalog 可让组织使用基础设施即代码模板集中管理其云资源，以实现大规模治理。在部署之前，工程师们花时间编写高质量的代码，仔细记录变更，并生成易于理解的审计跟踪记录。McDowell 说：“我们已经尽可能地移除了手动接触点。”“这有助于我们分析我们的网络并调整大小。”

通过使用 AWS 云 WAN，Carrier 的小型云网络工程师团队可以即时调整其 VPC 的连接。Carrier 与 AWS 合作，制定了元数据驱动的设计，使用标签来识别特定 VPC 的网络特征。McDowell 说：“我们想消除网络建设中的人为错误因素。”“通过使用 AWS 云 WAN，我们可以通过更改标签来动态更改 VPC 的网络特征。” Carrier 预计，由于 AWS 云 WAN 会根据精心定义的规则适当地路由数据，因此服务台和上报到云运营团队的工单将大幅减少。McDowell 说：“现在，进行网络变更并不是什么大问题，而以前可能需要几个月的时间。”

Carrier 需要通过第三方防火墙检查其流量。该公司的传统网络使用硬编码的防火墙实例，而这些实例难以扩展且容易出现单点故障。为了缓解这种情况，Carrier 使用了网关负载均衡器（可部署、扩展和运行第三方虚拟设备）来管理其第三方防火墙设备并创建高度可扩展的防火墙架构。

清晰的网络图可显示遍历各种配置场景的网络流量，工程师通过使用这些网络图，可清楚地了解需要将哪些流量路由到防火墙。Carrier 通过使用服务插入进一步增强了网络安全，服务插入是 AWS 云 WAN 的一项新功能，可简化将安全和检查服务整合到全球网络中的过程。因此，Carrier 可以将其网络流量从多个 AWS 区域引导到安全服务，而无需创建和管理复杂的路由配置。工程师集中定义检查和路由意图，并在 AWS 云 WAN 网络中部署一致的安全配置。McDowell 说：“一个主要的好处是，现在每个人都了解我们的网络，并且可以审计配置。”这也缩短了连接新账户所需的时间。