SBB – AWS Transit Gateway

Auf dem Weg in die Cloud stehen viele Unternehmen vor der Herausforderung, mehrere lokale Workloads mit ihren Cloud-Workloads zu verbinden. Während Segmentierung für ein sicheres Netzwerkdesign entscheidend ist, kann die Verbindung mehrerer Netzwerke eine Herausforderung darstellen, insbesondere im Hinblick auf Skalierbarkeit und Verwaltbarkeit. Typischerweise erfordert die Anbindung von lokalen Niederlassungen und Rechenzentren an die Cloud den Einsatz von Punkt-zu-Punkt-Verbindungen, wie z. B. IPsec-VPN-Tunnel (Virtual Private Network) oder Glasfaserverbindungen über private Netzwerke. Auch die Verbindung virtueller Netzwerke (Gruppen vernetzter Cloud-Ressourcen) untereinander erfordert Punkt-zu-Punkt-Verbindungen. Mit steigender Anzahl von lokalen Niederlassungen und virtuellen Netzwerken wächst jedoch auch die Anzahl der Punkt-zu-Punkt-Verbindungen, was zu einem grossen Maschennetzwerk führt, dessen Verwaltung schwierig, aufwendig und kostspielig sein kann. Unternehmen, die AWS nutzen, haben in der Regel AWS Direct Connect und AWS Site-to-Site-VPN-Verbindungen verwendet, um ihre lokale Umgebung mit einzelnen Amazon VPCs zu verbinden, sowie VPC-Peering, um ihre Amazon VPCs miteinander zu verbinden.

Das Hauptproblem eines solchen Szenarios besteht darin, dass die Einrichtung von VPC-Peering-Verbindungen zwischen separaten Konten unübersichtlich und aufwendig wurde. Damit eine VPC-Peering-Verbindung hergestellt werden kann, sendet ein Konto die Verbindungsanfrage, während das andere Konto diese akzeptieren muss.

Das Konto, das die Anfrage akzeptiert, muss die Amazon VPC manuell konfigurieren, um die neue Verbindung zu ermöglichen. Während dies bei einer geringen Anzahl von Verbindungen ein einfacher Vorgang sein mag, rechnete SBB damit, diesen Prozess im Rahmen des normalen Betriebs wiederholt durchführen und Verbindungen neu konfigurieren zu müssen.

Dieses Grundproblem führt zu vielen weiteren Problemen:

– Das Netzwerk wird schnell zu komplex, um es zu verwalten

– Die Automatisierung ist schwierig, da VPC-Peering manuelle Eingriffe erfordert.

– Die Transparenz und Kontrolle über den Datenverkehr wird eingeschränkt.

– Die Überwachung des Datenverkehrs wird schwierig, da mehrere Protokolle aus verschiedenen Quellen und Konten gesammelt werden müssen.

AWS Transit Gateway vereinfacht die Art und Weise, wie Unternehmen ihre Amazon VPCs untereinander und mit ihren lokalen Netzwerken innerhalb einer Region verbinden, indem es als zentraler Knotenpunkt für Layer-3-Netzwerkkonnektivität dient. Durch die Ermöglichung einer „Hub-and-Spoke“-Topologie kann die Lösung Unternehmen dabei helfen, die Anzahl der VPC-Peering-Verbindungen zu reduzieren und den Zugriff auf das lokale Netzwerk zu konsolidieren.

Auch wenn die Anzahl der VPCs gering ist und es in der obigen Abbildung nur einen Unternehmensstandort gibt, lässt sich leicht erkennen, wie das Transit Gateway die Umgebung vereinfacht. Stellen Sie sich vor, wie viel Komplexität vermieden wird, wenn es weitere Unternehmensstandorte und Hunderte oder Tausende von Amazon VPCs gibt. Nun können Unternehmen ihre lokalen Netzwerke und Amazon VPCs einfach über das AWS Transit Gateway verbinden.

Die Integration von Cloud- und lokalen IT-Umgebungen bleibt für Unternehmen eine Herausforderung, wenn sie eine Hybrid-Cloud-Strategie verfolgen. Ein wesentlicher Bestandteil dieser Integration ist es, sicherzustellen, dass Ressourcen sowohl in der Cloud als auch an lokalen Standorten vernetzt sind, um auf geschäftliche Anforderungen zu reagieren, ohne dass eine umfangreiche Architekturplanung, Verwaltung und Administration erforderlich ist.

AWS Transit Gateway ermöglicht es Unternehmen, ihre Cloud- und lokalen Umgebungen miteinander zu vernetzen. Mit diesem verwalteten, verteilten und skalierbaren Service können grosse Unternehmen globale private Netzwerke aufbauen, die lokale Standorte mit Amazon VPCs in jeder AWS-Region verbinden, ohne dass mehrere Punkt-zu-Punkt-Verbindungen erforderlich sind. Unternehmen können den AWS Transit Gateway Network Manager nutzen, um die Leistung und Verfügbarkeit ihrer AWS Transit Gateways und der zugehörigen Verbindungen zu überwachen. AWS Transit Gateway bietet zudem weitere Funktionen, die Unternehmen beim Aufbau und der Verwaltung globaler Netzwerke auf Unternehmensniveau unterstützen. Mit AWS Transit Gateway können Unternehmen letztlich den Zeit- und Ressourcenaufwand für die Bereitstellung und Verwaltung einer globalen Netzwerkarchitektur bei geringerer Komplexität reduzieren und so sowohl die Kosten für die Netzwerkinfrastruktur als auch die Betriebskosten senken.

Da in diesem Fall das Hauptziel darin besteht, den Datenverkehr von den VPCs zu trennen und sicherzustellen, dass externe Unternehmen, die sich über VPN verbinden, nur auf die jeweiligen Workloads in ihrer VPC zugreifen können, besteht die Architektur, für deren Implementierung wir uns entschieden haben, aus der Verwendung von zwei verschiedenen Routing-Tabellen: einer für das VPN, die nur die Routen zu den relevanten VPCs zulässt und den Zugriff auf das lokale Netzwerk einschränkt, und einer für die VPCs, die sicherstellt, dass keine Verbindung zwischen Konten und VPCs besteht, und nur Nord-Süd-Datenverkehr (VPC-VPN und zurück) zulässt.