【AWS】什么是AWS Transit Gateway
AWS Transit Gateway 是一种网络中枢服务，它允许您将数千个 Amazon Virtual Private Cloud (VPC) 和本地网络连接到单个网关。它简化了您的网络架构，并提供了一种更简单、更可扩展的方式来管理 VPC 和本地网络之间的连接。
您可以将 AWS Transit Gateway 想象成一个**“中央路由器”**，用于连接您在 AWS 云中以及本地的所有网络。它消除了传统上管理大量点对点连接的复杂性，提供了一个集中式的网络管理模型。
AWS Transit Gateway 的核心功能和优势
Transit Gateway 的设计目标是简化复杂的网络拓扑，提高连接的灵活性和可扩展性。
- 简化网络架构：中央连接点： Transit Gateway 充当 VPC 和本地网络之间的中央连接点，而不是为每个连接创建单独的点对点连接（例如，VPC 对等连接或 VPN 连接）。星型拓扑： 它使您能够从复杂的网状（mesh）网络拓扑转换为更简单、更易于管理的星型（hub-and-spoke）拓扑，从而减少了管理开销。
- 增强可扩展性：大规模连接： Transit Gateway 支持连接数千个 VPC 和本地网络。随着您的云足迹增长，您可以轻松添加新的连接，而无需重新设计整个网络。高吞吐量： 它旨在处理高网络流量，并根据需求自动扩展。
- 提高网络灵活性：路由控制： 您可以精细控制 Transit Gateway 上的路由表，以确定流量如何在连接的 VPC 和本地网络之间流动。这允许您创建隔离的网络段、共享服务 VPC 或实现复杂的网络策略。多区域连接： 您可以使用 Transit Gateway Connect (TGW Connect) 或 Transit Gateway Peering 在不同 AWS 区域的 Transit Gateway 之间建立连接，从而实现全球网络连接。
- 提高安全性：集中式网络安全： 流量通过 Transit Gateway 路由，这使得在中心位置实施网络安全策略（例如，通过网络防火墙或入侵检测系统）变得更加容易。网络隔离： 您可以利用路由表和关联来隔离不同业务部门或环境的网络流量。
- 降低成本：简化管理： 减少了管理大量点对点连接所需的人力和时间成本。优化网络路径： 流量通过 AWS 全球骨干网络进行路由，可以减少出站数据传输成本，并提高网络效率。
AWS Transit Gateway 的工作原理
- 创建 Transit Gateway： 您在 AWS 控制台或通过 API 创建一个 Transit Gateway 实例。Transit Gateway 是一个区域性资源。
- 创建附件 (Attachments)： 您将各种网络资源（如 VPC、VPN 连接、Direct Connect 网关）作为“附件”连接到 Transit Gateway。
- 关联路由表： 每个附件都与一个或多个 Transit Gateway 路由表相关联。这些路由表定义了流量如何从该附件路由到 Transit Gateway 上的其他附件。
- 传播路由： 您可以配置附件将其路由传播到 Transit Gateway 路由表，或者手动添加静态路由。
- 流量路由： 当流量从一个连接到 Transit Gateway 的网络流向另一个网络时，Transit Gateway 会根据其路由表来决定流量的转发路径。
关键组件：
- Transit Gateway (TGW)： 核心服务，作为所有连接的网络流量的中心路由器。
- 附件 (Attachments)： 将 VPC、VPN、Direct Connect 网关等连接到 Transit Gateway 的接口。
- 路由表 (Route Tables)： 定义了流量在 Transit Gateway 内部如何路由。每个附件可以关联到一个或多个路由表。
- 关联 (Associations)： 将附件与特定的路由表关联起来。
- 传播 (Propagations)： 允许附件的路由自动传播到 Transit Gateway 的路由表中。
- Transit Gateway Peering (TGW Peering)： 允许在不同 AWS 区域的 Transit Gateway 之间建立连接，实现跨区域网络。
- Transit Gateway Connect (TGW Connect)： 允许您通过现有的 Direct Connect 或 VPN 连接，将第三方网络虚拟设备（如 SD-WAN 设备）连接到 Transit Gateway，从而简化与 SD-WAN 解决方案的集成。
AWS Transit Gateway 的典型用例
- 集中式网络连接： 将企业中所有 AWS VPC 连接到单个 Transit Gateway，实现 VPC 之间的互联互通。
- 混合云连接： 将本地数据中心通过 VPN 或 Direct Connect 连接到 Transit Gateway，从而实现本地网络与 AWS 云中所有 VPC 的互联。
- 共享服务 VPC： 创建一个专门的共享服务 VPC（例如，包含目录服务、日志记录、安全工具等），并通过 Transit Gateway 允许其他业务 VPC 访问这些共享服务。
- 多区域架构： 通过 Transit Gateway Peering 连接不同区域的 Transit Gateway，构建全球性的网络骨干。
- 网络隔离和分段： 根据业务部门、环境（开发、测试、生产）或安全要求，通过不同的路由表和附件关联来隔离网络流量。
- 集中式网络安全： 将网络流量路由到安全 VPC 中的防火墙或入侵检测系统，实现集中式的流量检查和过滤。
- SD-WAN 集成： 使用 Transit Gateway Connect 简化与 SD-WAN 设备的集成，优化分支机构到云的连接。
总结来说，AWS Transit Gateway 是一项强大的网络服务，它通过提供一个可扩展、灵活且易于管理的中央网络中枢，帮助企业简化复杂的云和混合云网络架构，提高连接效率、安全性和可扩展性。
过去考试题
世界中の複数のAWSリージョンに複数のVPCを持つ大企業は、そのVPC間のネットワーク接続と一元管理を必要とします。これらの要件を満たすAWSのサービスまたは機能はどれですか。
- AWS Transit Gateway
- AWS Direct Connect
- AWS VPN
- AWS Route 53
AWS Transit Gateway は、複数の VPC 間、オンプレミスのデータセンター間、あるいはリモートオフィスのような他のネットワークリソース間でネットワークトラフィックをルーティングおよび転送するサービスです。
これにより、ネットワークリソースを相互接続し、中央でルーティングを制御できるため、本問題の要件を満たすことができます。
B: AWS Direct Connect は、オンプレミスのネットワークと AWS のサービスを直接接続するためのクラウドサービスです。VPC 間の接続や一元管理には適していません。
C: AWS VPN は、オンプレミスのネットワークと VPC 間を安全に接続するためのサービスですが、VPC 間の接続や一元管理には適していません。
D: AWS Route 53 はクラウドのドメインネームシステム (DNS) ウェブサービスであり、ネットワーク接続や一元管理の機能はありません。