AWS Transit Gateway – Häufig gestellte Fragen

Themen der Seite

Allgemeines
12
Leistung und Einschränkungen
1
Sicherheit und Compliance
1
Interoperabilität der Funktionen
8
Netzwerkmanager
17

Allgemeines

AWS Transit Gateway ist verfügbar in den AWS-Regionen USA Ost (Nord-Virginia), USA Ost (Ohio), USA West (Oregon), USA West (Nordkalifornien), AWS GovCloud (USA-Ost), AWS GovCloud (USA-West), Kanada (Zentral), Südamerika (São Paulo), Afrika (Kapstadt), EU (Irland), EU (Stockholm), EU (London), EU (Frankfurt), EU (Paris), EU (Mailand), Naher Osten (Bahrain), Asien-Pazifik (Hongkong), Asien-Pazifik (Mumbai), Asien-Pazifik (Osaka), Asien-Pazifik (Tokio), Asien-Pazifik (Singapur), Asien-Pazifik (Seoul), Asien-Pazifik (Sydney), Asien-Pazifik (Peking), Asien-Pazifik (Ningxia), Asien-Pazifik (Jakarta), Naher Osten (VAE), Europa (Zürich), Europa (Spanien), Asien-Pazifik (Hyderabad), Asien-Pazifik (Melbourne), Israel (Tel Aviv) und Kanada West (Calgary).

Transit Gateway Peering-Unterstützung ist verfügbar in den AWS-Regionen USA Ost (Nord-Virginia), USA Ost (Ohio), USA West (Oregon), USA West (Nordkalifornien), AWS GovCloud (USA-Ost), AWS GovCloud (USA-West), Kanada (Zentral), EU (Irland), EU (Frankfurt), EU (Paris), EU (London), EU (Stockholm), EU (Mailand), Naher Osten (Bahrain), Afrika (Kapstadt), Asien-Pazifik (Hongkong), Asien-Pazifik (Mumbai), Asien-Pazifik (Tokio), Asien-Pazifik (Seoul), Asien-Pazifik (Singapur), Asien-Pazifik (Sydney), Asien-Pazifik (Osaka), Asien-Pazifik (Peking), Asien-Pazifik (Ningxia), Südamerika (Sao Paulo) , Asien-Pazifik (Jakarta), Naher Osten (VAE), Europa (Zürich), Europa (Spanien), Asien-Pazifik (Hyderabad), Asien-Pazifik (Melbourne) und Israel (Tel Aviv) AWS-Regionen.

Support für Transit Gateway Multicast ist in den folgenden AWS-Regionen verfügbar: USA Ost (Nord-Virginia), USA Ost (Ohio), USA West (Oregon), USA West (Nordkalifornien), AWS GovCloud (USA-Ost), AWS GovCloud (USA-West), Kanada (Zentral), Europa (Irland), Europa (London), Europa (Frankfurt), Europa (Stockholm), Europa (Paris), Europa (Mailand), Südamerika (São Paulo), Südafrika (Kapstadt), Asien-Pazifik (Tokio), Asien-Pazifik (Sydney), Asien-Pazifik (Mumbai), Asien-Pazifik (Hongkong), Asien-Pazifik (Osaka), Asien-Pazifik (Seoul), Asien-Pazifik (Singapur), Naher Osten (Bahrain), Asien-Pazifik (Peking), Asien-Pazifik (Ningxia), Asien-Pazifik (Jakarta), Naher Osten (VAE), Europa (Zürich), Asien-Pazifik (Hyderabad), Asien-Pazifik (Melbourne) und Israel (Tel Aviv).

IGMP-Support für Transit Gateway Multicast ist in den folgenden AWS-Regionen verfügbar: USA Ost (Nord-Virginia), USA Ost (Ohio), USA West (Oregon), USA West (Nordkalifornien), Europa (Irland), Europa (London), Europa (Paris), Europa (Frankfurt), Europa (Stockholm), Europa (Mailand), Asien-Pazifik (Tokio), Asien-Pazifik (Seoul), Asien-Pazifik (Singapur), Asien-Pazifik (Sydney), Asien-Pazifik (Mumbai), Asien-Pazifik (Hongkong), Asien-Pazifik (Peking), Asien-Pazifik (Ningxia), Asien-Pazifik (Osaka), Asien-Pazifik (Jakarta), Kanada (Zentral), Südamerika (São Paulo), Afrika (Kapstadt), Naher Osten (Bahrain), Mittlerer Osten (VAE), Europa (Zürich), Europa (Spanien), Asien-Pazifik (Hyderabad), Asien-Pazifik (Melbourne), Israel (Tel Aviv), GovCloud (USA-Ost) und GovCloud (USA-West).

Transit Gateway Connect ist in den folgenden AWS-Regionen verfügbar: USA Ost (Nord-Virginia), USA Ost (Ohio), USA West (Oregon), USA West (Nordkalifornien), Europa (Irland), Europa (London), Europa (Paris), Europa (Frankfurt), Europa (Stockholm), Europa (Mailand), Asien-Pazifik (Tokio), Asien-Pazifik (Seoul), Asien-Pazifik (Singapur), Asien-Pazifik (Sydney), Asien-Pazifik (Mumbai), Asien-Pazifik (Hongkong), Asien-Pazifik (Peking), Asien-Pazifik (Ningxia), Asien-Pazifik (Osaka), Asien-Pazifik (Jakarta), Kanada (Zentral), Südamerika (São Paulo), Afrika (Kapstadt), Naher Osten (Bahrain), Mittlerer Osten (VAE), Europa (Zürich), Europa (Spanien), Asien-Pazifik (Hyderabad), Asien-Pazifik (Melbourne), Israel (Tel Aviv), GovCloud (USA-Ost) und GovCloud (USA-West).

Sie können Ihr Netzwerk durch mehrere Route-Tabellen in einem AWS Transit Gateway segmentieren und diesen Tabellen Amazon VPCs und VPNs zuweisen. Auf diese Weise erstellen Sie innerhalb eines AWS Transit Gateways isolierte Netzwerke ähnlich dem Virtual Routing and Forwarding (VRF) herkömmlicher Netzwerke. AWS Transit Gateway hat eine Standard-Route-Tabelle. Die Verwendung mehrerer Route-Tabellen ist optional.

AWS Transit Gateway unterstützt dynamisches und statisches Routing zwischen verbundenen Amazon VPCs und VPNs. Standardmäßig sind Amazon VPCs, VPNs, Direct Connect Gateways, Transit Gateway Connect und gepeerte Transit Gateways der Standard-Routing-Tabelle zugeordnet. Sie können aber weitere Routing-Tabellen erstellen und diesen Amazon VPCs, Direct Connection Gateways, VPNs, Transit Gateway Connect und gepeerte Transit Gateways zuordnen.

Die Routen bestimmen entsprechend der Ziel-IP-Adresse des Pakets den jeweils nächsten Hop. Routen können auf eine Amazon VPC- oder VPN-Verbindung, ein Direct Connect Gateway, ein Transit Gateway Connect oder ein gepeertes Transit Gateway verweisen.

Es gibt 2 Möglichkeiten, mit denen Routen an AWS Transit Gateway weitergeleitet werden können:

  1. Aus/in On-Premise-Netzwerke(n) weitergeleitete Routen: Bei der Verbindung mit einem VPN oder Direct Connect Gateway werden die Routen über das Border Gateway Protocol (BGP) zwischen dem AWS Transit Gateway und Ihrem On-Premise-Router weitergeleitet.
  2. Aus/in Amazon VPCs weitergeleitete Routen: Wenn Sie eine Amazon VPC mit einem AWS Transit Gateway verbinden oder eine verbundene Amazon VPC skalieren, erfolgt die Weiterleitung an die Routing-Tabelle des AWS Transit Gateways über Amazon VPC Classless Inter-Domain Routing (CIDR) mittels interner APIs (und nicht über das BGP). CIDR ist eine Methode der IP-Adresszuweisung und des IP-Routing, die Routing-Tabellen klein hält und einen zu schnellen Verbrauch der IPv4-Adressen verhindert. Routen in der Route-Tabelle des AWS Transit Gateways werden nicht an die Route-Tabelle von Amazon VPC weitergeleitet. Der VPC-Besitzer muss zur Weiterleitung von Datenverkehr an das AWS Transit Gateway statische Routen erstellen.

Peering-Verbindungen zwischen Transit Gateways unterstützen keine Routenweitergabe. Sie müssen statische Routen in Transit-Gateway-Routetabellen erstellen, um Traffic über Peering-Anhänge weiterzuleiten.

AWS Transit Gateway unterstützt kein Routing zwischen Amazon VPCs mit identischen CIDRs. Wenn Sie eine neue Amazon VPC verbinden, deren CIDR identisch mit demjenigen einer bereits verbundenen Amazon VPC ist, leitet AWS Transit Gateway die neue Amazon VPC-Route nicht an die Routing-Tabelle des AWS Transit Gateways weiter.

AWS Transit Gateway Connect ist eine Funktion von AWS Transit Gateway. Es vereinfacht die Zweigstellen-Konnektivität durch die native Integration von virtuellen SD-WAN-Netzwerk-Appliances (Software-Defined Wide Area Network) in AWS Transit Gateway. AWS Transit Gateway Connect bietet den neuen logischen Verbindungstyp "Connect-Verbindung", der die Amazon VPC- oder AWS Direct Connect-Verbindungen als zugrundeliegenden Netzwerk-Transport verwendet. Dabei werden Standardprotokolle wie Generic Routing Encapsulation (GRE) und Border Gateway Protocol (BGP) über die Connect-Verbindung unterstützt.

AWS Transit Gateway Connect wird von mehreren führenden SD-WAN- und Netzwerkpartnern unterstützt. Auf der Partner-Seite erfahren Sie mehr.

Alle Drittanbieter-Netzwerk-Appliances, die die Standardprotokolle (wie GRE und BGP) unterstützen, sind für AWS Transit Gateway Connect geeignet.

Ja, Sie können Connect-Verbindungen mit einem bestehenden AWS Transit Gateway erstellen.

Nein, AWS Transit Gateway Connect unterstützt keine statischen Routen. BGP ist eine Mindestanforderung.

Ja, BGP-Sitzungen werden über einen GRE-Tunnel aufgebaut.

Ja, ähnlich wie bei Transit-Gateway-Verbindungen können Sie eine Routing-Tabelle mit der Connect-Verbindung verknüpfen. Diese Routing-Tabelle kann sich von der Routing-Tabelle, die mit der VPC- oder AWS Direct Connect-Verbindung (zugrundeliegeder Transportmechnismus) verknüpft ist, unterscheiden oder identisch mit ihr sein.

Leistung und Einschränkungen

Genaue Informationen zu Limits und Kontingenten finden Sie in unserer Dokumentation.

Wenn Sie höhere Limits wünschen, erstellen Sie bitte einen Supportfall.

Sicherheit und Compliance

AWS Transit Gateway übernimmt die Compliance der Amazon VPC und erfüllt die Standards für PCI DSS Level 1, ISO 9001, ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3, FedRAMP Moderate sowie FedRAMP High und ist HIPAA-konform.

Interoperabilität der Funktionen

Ja, Sie können Ihr AWS Transit Gateway einem AWS Direct Connect Gateway aus einem anderen AWS-Konto zuordnen. Nur der Besitzer des AWS Transit Gateway kann eine Zuordnung zu einem Direct Connect Gateway herstellen. Sie können den Resource Access Manager nicht verwenden, um Ihr AWS Transit Gateway dem Direct Connect Gateway zuzuordnen. Weitere Informationen finden Sie im Abschnitt „AWS Transit Gateway Support“ in den Direct Connect – Häufig gestellten Fragen.

Nein, Sie können nicht die gleiche ASN für das Transit Gateway und das Direct Connect Gateway verwenden.

Sie können Multicast-Datenverkehr innerhalb von und zwischen VPC-Anhängen an ein Transit Gateway leiten. Multicast-Routing wird für AWS Direct Connect, AWS Site-to-Site-VPN und Peering-Verbindungen nicht unterstützt.

Ja, AWS Transit Gateway Connect unterstützt IPv6. Sie können sowohl den GRE-Tunnel als auch BGP-Adressen (Border Gateway Protocol) mit IPv6-Adressen konfigurieren.

Ja, Sie können den GRE-Tunnel und die BGP-Adressen für die gleiche oder eine unterschiedliche Adressfamilie konfigurieren. Sie können zum Beispiel den GRE-Tunnel mit einem IPv4-Adressbereich und die BGP-Adressen mit einem IPv6-Adressbereich konfigurieren (oder umgekehrt).

Ja, AWS Transit Gateway unterstützt IGMPv2 (Internet Group Management Protocol version 2) für den Multicast-Datenverkehr.

Ja, sowohl IGMP- als auch statische Mitglieder können in derselben Multicast-Domäne sein. IGMP-fähige Mitglieder können Multicast-Gruppen dynamisch beitreten oder verlassen, indem sie IGMPv2-Nachrichten senden. Sie können statische Mitglieder über die Konsole, die CLI oder das SDK hinzufügen oder entfernen.

Ja, Sie können AWS Resource Access Manager (RAM) nutzen, um eine Transit-Gateway-Multicast-Domäne für eine VPC-Subnetz-Zuordnung in Konten oder Ihrer Organisation in AWS Organizations freizugeben.

Netzwerkmanager

Der AWS Transit Gateway Network Manager ist eine Funktion von AWS Transit Gateway. Sie zentralisiert die Verwaltung und Überwachung von Netzwerkressourcen und -verbindungen zu Fernzweigstellen.

Verwenden Sie die folgenden Schritte, um den Transit Gateway-Netzwerkmanager einzurichten und zu verwalten:

  • Erstellen Sie ein neues „globales Netzwerk“, anfangs ein leeres Objekt.
  • Registrieren Sie Ihre AWS Transit Gateways aus beliebigen AWS-Regionen.
  • Fügen Sie On-Premise-Ressourcen/Cloud-Ressourcen hinzu: Geben Sie Informationen zu Ihren On-Premise-/Cloud-Geräten, -Sites, -Links, -Verbindungen, -Connect-Peers sowie den Site-to-Site-VPN-Verbindungen ein, mit denen diese verknüpft sind.
  • Überwachen Sie Ihr globales Netzwerk: mit den Visualisierungen, Ereignissen und Metriken des Netzwerkmanagers.

Der AWS Transit Gateway Network Manager wird von mehreren führenden SD-WAN-Partnern unterstützt. Auf der Partner-Seite erfahren Sie mehr. Die Integration des Netzwerkmanagers in die SD-WAN-Lösungen dieser Partner ermöglicht Ihnen die Automatisierung der Zweigstellen-Cloud-Konnektivität und bietet eine Komplettüberwachung des globalen Netzwerks über ein einziges Dashboard.

Ein „globales Netzwerk“ ist ein Objekt im AWS-Transit-Gateway-Network-Manager-Service, das Ihr privates globales Netzwerk in AWS repräsentiert. Dies umfasst AWS Transit Gateway-Hubs, deren Verbindungen, virtuelle SD-WAN Netzwerk-Appliances von AWS Partnern sowie On-Premise-Geräte, -Sites, -Links und -Verbindungen.

Bei registrierten AWS Transit Gateways sind alle Verbindungen automatisch enthalten. Verbindungen umfassen VPCs, VPNs, Direct Connect-Gateways, AWS Transit Gateway Connect und Peering zwischen AWS Transit Gateways.

Das Dashboard von AWS Transit Gateway Network Manager zeigt Ihre AWS Transit Gateways über alle AWS-Regionen und On-Premise-Standorte hinweg. Es bietet eine logische und geografische Ansicht Ihrer Netzwerkressourcen und -verbindungen und zeigt auch den Verbindungsstatus an.

Das Dashboard von AWS Transit Gateway Network Manager zeigt Ihnen auch Ereignisse und Metriken wie Bytes in/out, Pakete in/out und verlorene Pakete. Der Verbindungsstatus ist in die Topologie und geografischen Ansichten Ihres globalen Netzwerks eingebettet. Der AWS Transit Gateway Network Manager zeigt außerdem Netzwerkereignisse und Metriken für Ihr globales Netzwerk über AWS CloudWatch in Echtzeit an. Mit diesen Ereignissen, Metriken und Visualisierungen können Sie Ihr Netzwerk überwachen und bei Bedarf einschreiten.

Über das Dashboard des AWS Transit Gateway-Netzwerkmanagers können Sie die Verfügbarkeit und Leistungsmetriken von Transit Gateways ansehen, darunter Bytes in/out, Pakete in/out und verlorene Pakete. AWS Site-to-Site-VPN-Up-/Down-Metriken sind ebenfalls für On-Premise-Geräte und -Links anzeigbar.

Der AWS Transit Gateway Network Manager bietet integrierte Ereignisbenachrichtigungen für Änderungen der Netzwerktopologie, Routing-Aktualisierungen und Verbindungsstatusaktualisierungen. Diese Ereignisse werden über CloudWatch Events bereitgestellt.

Die Integration mit dem AWS Transit Gateway Network Manager wird durch SD-WAN-Anbieter angeboten. Die Integration des Netzwerkmanagers in die SD-WAN-Lösungen dieser Partner ermöglicht die Automatisierung der Zweigstellen-Cloud-Konnektivität und bietet eine Komplettüberwachung des globalen Netzwerks über eine einzige Ansicht, das Dashboard des Netzwerkmanagers.

Die SD-WAN-Lösung Ihres Partners verwendet AWS-Anwendungsprogrammierschnittstellen (APIs), um für Sie automatisch das Branch-Gerät zu registrieren und eine VPN-Verbindung zu erstellen. Dann werden die VPN-Konfigurationen zur Herstellung der Verbindung auf das Branch-Gerät angewandt.

Route Analyzer ist eine Funktion von AWS Transit Gateway Network Manager. Er hilft Ihnen bei der Überprüfung von Routing-Konfigurationen von Transit Gateways in Ihrem globalen Netzwerk.

Nein, Route Analyzer sendet keine Datenpakete, überprüft allerdings die zugeordnete Transit-Gateway-Routing-Tabellenkonfiguration zwischen der angegebenen Quelle und dem Ziel.

Ja, wenn Transit Gateway in Ihrem globalen Netzwerk registriert ist. Falls Sie auf dem Weg zum Ziel mehrere Transit Gateways haben, müssen alle im globalen Netzwerk registriert sein.

Nein, Route Analyzer überprüft nur Transit-Gateway-Routing-Tabellen. VPC-Routing-Tabellen und Kunden-Gateway-Geräte sind nicht Teil der Analyse.

Nein, Route Analyzer überprüft nur Transit-Gateway-Routing-Tabellen. Sicherheitsgruppenregeln und Netzwerk-ACL-Regeln sind nicht Teil der Analyse.

Ja, Sie können dieses Feature mit einer Middlebox-Appliance-Architektur verwenden, die in Ihrem Transit Gateway eingerichtet ist. Wenn Sie die Analyse ausführen, werden Sie von Route Analyzer gebeten, zu überprüfen, ob sich eine Middlebox-Appliance zwischen Quelle und Ziel befindet.