Come posso configurare la mia connessione VPN sito-sito per preferire il tunnel A al tunnel B?

Risoluzione

Configura una VPN sito-sito in modo che preferisca un tunnel specifico con VPN statiche o dinamiche.

VPN statiche tra un gateway del cliente e un gateway privato virtuale o un gateway di transito

Con le VPN statiche, il gateway privato virtuale o il gateway di transito invia il traffico da AWS alla rete on-premises attraverso un unico tunnel VPN. La VPN sito-sito sceglie un tunnel preferito. Per configurare una VPN sito-sito in modo da preferire un tunnel specifico, utilizza una configurazione attiva/passiva in cui il tunnel A è ATTIVO ma il tunnel B è INATTIVO. Poiché il tunnel A è attivo, il traffico dalla VPN sito-sito alla rete on-premises attraversa il tunnel A.

Se la connessione con routing statico ha una configurazione attiva/attiva in cui entrambi i tunnel sono attivi, non puoi configurare la VPN sito-sito in modo che preferisca un tunnel specifico. Ad esempio, la VPN sito-sito potrebbe scegliere casualmente il tunnel A come tunnel della VPN preferito per inviare il traffico da AWS alla rete on-premises. Se il tunnel A si interrompe, il traffico proveniente dalla VPN sito-sito passa automaticamente al tunnel B.

VPN dinamiche create tra un gateway del cliente e un gateway privato virtuale o un gateway di transito

Configurazioni del gateway privato virtuale o del gateway di transito con routing ECMP disattivato

Se disattivi il routing Equal Cost Multipath (ECMP), la VPN sito-sito invia il traffico alla rete on-premises tramite il tunnel A quando entrambe le seguenti condizioni sono soddisfatte:

• La connessione VPN sito-sito ha una configurazione attiva/attiva (entrambi i tunnel sono attivi).
• La connessione VPN sito-sito pubblicizza gli stessi prefissi al gateway privato virtuale o al gateway di transito con gli stessi attributi Border Gateway Protocol (BGP).

Nota: con una configurazione attiva/attiva, devi attivare il routing asimmetrico sulle interfacce del tunnel virtuale del gateway del cliente.

Il risultato di una configurazione attiva/passiva è lo stesso per il routing dinamico e per il routing passivo. Poiché il tunnel A è attivo, il traffico dalla VPN sito-sito alla rete on-premises attraversa il tunnel A.

Configurazioni del gateway di transito con routing ECMP attivato

Se attivi il routing ECMP, il gateway di transito bilancia il carico tra i tunnel VPN quando le seguenti condizioni sono entrambe soddisfatte:

• Il dispositivo gateway del cliente pubblicizza gli stessi prefissi sui tunnel.
• Gli attributi BGP per i prefissi pubblicizzati dal dispositivo gateway del cliente sono identici sui tunnel della VPN. Gli attributi BGP includono l'anteposizione AS-Path, il primo Autonomous System (AS) in AS_SEQUENCE e il Multi-Exit Discriminator (MED).

Per ulteriori informazioni, consulta Come posso ottenere il routing ECMP con più tunnel VPN sito-sito associati a un gateway di transito?

Per le restrizioni sull'utilizzo dell'ECMP con un gateway di transito, consulta Instradamento Equal Cost Multipath.

Configurazioni del gateway del cliente

Imposta il dispositivo gateway del cliente in modo che preferisca un tunnel della VPN sito-sito rispetto all'altro. A tal fine, esegui una di queste azioni:

• Pubblicizza un prefisso più specifico per il gateway privato virtuale o il gateway di transito sul tunnel preferito.
• Abbrevia il valore AS PATH. Se i prefissi corrispondono e ogni connessione VPN utilizza BGP, il gateway del cliente preferisce il prefisso con il valore AS PATH più breve.
• Riduci il valore MED. Se i valori AS PATH hanno la stessa lunghezza e il primo valore AS in AS_SEQUENCE è lo stesso tra i percorsi, il gateway del cliente confronta i valori MED. Il gateway del cliente preferisce il percorso con il valore MED più basso.

Nota: è consigliabile non anteporre valori AS PATH in modo che entrambi i tunnel abbiano un valore AS PATH uguale. A parità di valore AS PATH, la priorità del tunnel è determinata dal valore MED che AWS imposta per il tunnel durante gli aggiornamenti degli endpoint del tunnel della VPN.

Nota: la VPN AWS non supporta ECMP per le connessioni VPN sito-sito su un gateway privato virtuale. La VPN AWS supporta ECMP per le connessioni VPN sito-sito su un gateway di transito.