Come posso ottenere il routing ECMP con più tunnel VPN sito-sito associati a un gateway di transito?

Soluzione

Crea un gateway di transito, quindi collega Amazon VPC e una VPN sito-sito

1. Crea un gateway di transito.
   Importante: Quando crei il tuo gateway di transito, devi attivare il supporto VPN ECMP.
2. Collega i tuoi Amazon Virtual Private Cloud (Amazon VPC) al tuo gateway di transito.
3. Crea una VPN sito-sito e collegala al tuo gateway di transito.
   Importante: AWS offre due opzioni di routing per creare connessioni VPN sito-sito, statiche e dinamiche. L'opzione dinamica utilizza il Border Gateway Protocol (BGP). Quando crei la tua VPN sito-sito, devi scegliere Dynamic (Dinamica) nella sezione Routing options (Opzioni di routing). Il routing statico non supporta ECMP.

Conferma la configurazione BGP del gateway del cliente

1. Assicurati di attivare il routing asimmetrico sul tuo gateway del cliente. Verifica che il gateway del cliente sia configurato per eseguire l'ECMP per il traffico in uscita verso AWS di tutti i tunnel VPN sito-sito. Per farlo, configura lo stesso valore o peso delle preferenze locali su tutti i tunnel VPN sito-sito. Se necessario, configura il tuo gateway cliente BGP in modo che accetti il percorso da AWS. Ciò significa che il gateway del cliente installa tutti i percorsi con la stessa metrica.

   Nota: Se il gateway del cliente non è configurato per eseguire l'ECMP e il routing asimmetrico non è attivato, può verificarsi una perdita di pacchetti.

2. Verifica che il tuo gateway del cliente stia pubblicizzando il prefisso on-premise di AWS con lo stesso attributo BGP AS PATH. Affinché AWS scelga tutti i percorsi ECMP disponibili, l'AS Path (Percorso AS) e l'AS Number (Numero AS) adiacente devono corrispondere.

   Ad esempio, se vuoi utilizzare ECMP con due connessioni VPN sito-sito. Il numero AS del gateway del cliente è 65270. In questo scenario, configura le tue VPN sito-sito come nell'esempio seguente:

   VPN-A sito-sito
   Tunnel 1 – AS PATH: 65270 (quando si pubblicizza il prefisso)
   Tunnel 2 – AS PATH: 65270 (quando si pubblicizza il prefisso)
   VPN-B sito-sito
   Tunnel 1 – AS PATH: 65270 (quando si pubblicizza il prefisso)
   Tunnel 2 – AS PATH: 65270 (quando si pubblicizza il prefisso)

   Con le configurazioni precedenti, AWS invia traffico con ECMP attivato per tutti e quattro i tunnel VPN sito-sito.

   Nota: È necessario attivare Dynamic VPN (VPN dinamica) e VPN ECMP support (Supporto VPN ECMP) sul gateway di transito affinché ECMP funzioni correttamente. Modifica il gateway di transito per attivare o disattivare VPN ECMP Support (Supporto VPN ECMP).

Crea una tabella di routing del gateway di transito e associa ad essa i tuoi Amazon VPC e la VPN sito-sito

1. Apri la console Amazon VPC.
2. Dal pannello di navigazione, scegli Transit Gateways (Gateway di transito).
3. Controlla l'impostazione Default association route table (Tabella di routing di associazione predefinita) per il tuo gateway di transito. Se è impostata su False (Falso), procedi al passaggio 4. Se è impostata su True (Vero), tutte le associazioni fanno già parte della tabella di routing predefinita, quindi puoi procedere al passaggio 6.
4. Scegli Transit Gateway Route Tables (Tabelle di routing del gateway di transito).
5. Scegli Create Transit Gateway Route Table (Crea tabella di routing del gateway di transito), quindi completa quanto segue:
   In Name tag (Tag nome), inserisci Route Table A (Tabella di routing A).
   In Transit Gateway ID (ID gateway di transito), scegli l'ID del gateway di transito per il tuo gateway di transito.
   Scegli Create Transit Gateway Route Table (Crea tabella di routing del gateway di transito).
6. Scegli Route Table A (Tabella di routing A) (o la tabella di routing predefinita del tuo gateway di transito).
7. Scegli Associations (Associazioni), quindi seleziona Create Association (Crea associazione).
8. In Choose attachment to associate (Scegli allegato da associare), scegli gli ID di associazione per i tuoi Amazon VPC e le VPN sito-sito. Quindi, scegli Create association (Crea associazione).
9. Ripeti il passaggio 8 fino a visualizzare tutti i tuoi Amazon VPC e VPN sito-sito nella sezione Association (Associazione).

Propaga i percorsi dai tuoi Amazon VPC e dalle VPN sito-sito nella tabella di routing del gateway di transito

1. Scegli Route Table A Propagation (Propagazione tabella di routing A).
2. Scegli Propagation (Propagazione).
3. In Choose attachment to propagate (Scegli allegato da propagare), scegli la propagazione per le VPN sito-sito e Amazon VPC.