FFS – AWS Transit Gateway

Nel percorso verso il cloud, molte aziende devono affrontare la sfida di dover interconnettere più carichi di lavoro on-premise con quelli cloud. Sebbene la segmentazione sia fondamentale nella progettazione della rete per garantire un’architettura sicura, l’interconnessione di diverse reti può rivelarsi complessa, soprattutto dal punto di vista della scalabilità e della gestibilità. In genere, la connessione di uffici e data center on-premise al cloud richiede l’uso di connessioni punto-punto, come tunnel IPsec Virtual Private Network (VPN) o connessioni in fibra ottica di rete privata. Anche il collegamento tra reti virtuali (gruppi di risorse cloud in rete) richiede connessioni punto a punto. Tuttavia, con l’aumentare del numero di uffici on-premise e di reti virtuali, cresce anche il numero di connessioni punto a punto, dando vita a una grande rete a maglia che può risultare difficile, ingombrante e costosa da gestire. Le organizzazioni che utilizzano AWS hanno tipicamente utilizzato AWS Direct Connect e le connessioni VPN (Virtual Private Network) site-to-site di AWS per collegare il proprio ambiente on-premise a singole VPC Amazon e il peering VPC per collegare tra loro le proprie VPC Amazon.

Il problema principale di tale scenario è che la configurazione delle connessioni di peering VPC tra account separati è diventata ingestibile e macchinosa. Affinché venga stabilita una connessione di peering VPC, un account invia la richiesta di connessione, mentre l’altro account deve accettarla.

L’account che accetta la richiesta deve configurare manualmente Amazon VPC per accogliere la nuova connessione. Sebbene questo possa essere un processo semplice quando si ha a che fare con un numero limitato di connessioni, SBB ha previsto di dover ripetere questo processo e riconfigurare le connessioni come parte delle proprie operazioni normali.

Questo problema di fondo genera molte altre difficoltà:

– La rete diventa troppo complessa da gestire

– L’automazione è difficile, poiché il peering VPC richiede un intervento manuale.

– Il livello di visibilità e controllo sul flusso di traffico è ridotto.

– Il monitoraggio del traffico diventa difficile, poiché è necessario raccogliere più log da diverse fonti e account.

AWS Transit Gateway semplifica il modo in cui le organizzazioni collegano le loro VPC Amazon tra loro e alle loro reti on-premise all’interno di una regione, fungendo da punto centrale per la connettività di rete di livello 3. Abilitando una topologia “hub-and-spoke”, la soluzione può aiutare le organizzazioni a ridurre il numero di connessioni di peering VPC e a consolidare l’accesso alla rete on-premise.

Anche se il numero di VPC è ridotto e nella figura precedente è presente una sola sede aziendale, è facile comprendere come Transit Gateway semplifichi l’ambiente. Immaginate quanta complessità viene eliminata quando sono presenti ulteriori sedi aziendali e centinaia o migliaia di Amazon VPC. Ora, le organizzazioni possono semplicemente connettere le proprie reti on-premise e le Amazon VPC tramite AWS Transit Gateway.

L’integrazione degli ambienti IT cloud e on-premise rimane una sfida per le organizzazioni che perseguono una strategia di cloud ibrido. Una parte necessaria di tale integrazione consiste nel garantire che le risorse sia nel cloud che nelle sedi on-premise siano collegate in rete per rispondere alle esigenze aziendali senza la necessità di una pianificazione, gestione e amministrazione estese dell’architettura.

AWS Transit Gateway consente alle organizzazioni di collegare in rete i propri ambienti cloud e on-premise. Con questo servizio gestito, distribuito e scalabile, le grandi imprese possono sviluppare reti private globali che collegano le sedi on-premise alle VPC Amazon in qualsiasi regione AWS senza la necessità di connessioni punto-punto multiple. Le imprese possono sfruttare AWS Transit Gateway Network Manager per monitorare le prestazioni e la disponibilità dei propri AWS Transit Gateway e dei relativi collegamenti. AWS Transit Gateway offre anche altre funzionalità che aiutano le organizzazioni a costruire e gestire reti globali di livello aziendale. Con AWS Transit Gateway, le organizzazioni possono ridurre il tempo e le risorse necessarie per implementare e gestire un’architettura di rete globale con minore complessità, riducendo sia i costi dell’infrastruttura di rete che quelli operativi.

Poiché in questo caso l’obiettivo principale è separare il traffico dai VPC e garantire che le aziende esterne che si connettono tramite VPN possano accedere solo ai rispettivi carichi di lavoro sul proprio VPC, l’architettura che abbiamo deciso di implementare consiste nell’utilizzo di 2 diverse tabelle di routing, una per la VPN, che consente solo le rotte verso i VPC pertinenti e limita l’accesso alla rete on-premise, e un’altra per i VPC, che garantisce l’assenza di interconnessione tra account e VPC e consente solo il traffico northbound-southbound (VPC-VPN e viceversa).