如何在內部部署網路中使用網站對網站 VPN 存取網際網路？

簡短描述

AWS Site-to-Site VPN 允許 AWS 資源與內部部署網路 (例如資料中心或分公司) 之間的安全連線。

AWS Site-to-Site VPN 使用虛擬私有閘道或 AWS Transit Gateway，每個連線提供兩個通道。虛擬私有閘道提供連線至區域中的單一 Amazon Virtual Private Cloud (Amazon VPC) 。傳輸閘道提供連線至一個區域中的多個 Amazon VPC 以及網際網路。

有關 AWS Site-to-Site VPN 如何運作的詳細資訊，請參閱什麼是 AWS 站點對站點 VPN？

解決方案

透過傳輸閘道建立站台對站台 VPN 連線，從內部部署網路取得集中式網際網路存取。此集中式設定使用 AWS 網路翻譯服務 (NAT 閘道) 連線到網際網路。

請依照下列步驟從內部部署網路取得網際網路存取權：

1. 建立傳輸閘道。

2. 使用傳輸閘道建立](https://docs.aws.amazon.com/vpn/latest/s2svpn/create-tgw-vpn-attachment.html)站台對站台 VPN[。

3. 將您的 Amazon VPC 連接到您所在區域的傳輸閘道。

4. 在相同 Amazon VPC 的公有子網路中建立公用 NAT 閘道。

5. 在與傳輸閘道相關聯的 VPC 子網路路由表中建立預設路由 0.0.0.0/0。此路由指向您先前建立的 NAT 閘道。

Destination  Target
0.0.0.0/0    nat-12345678901234567

6. 在您先前使用的公用子網路路由表中，為內部部署 CIDR 建立路由。這條路由指向傳輸閘道。

Destination  Target
10.0.0.0/16  tgw-12345678909876543
0.0.0.0/0    igw-12345678901234567

7. 在與 VPN 連接相關聯的傳輸閘道路由表中建立預設路由 0.0.0.0/0。然後，將其指向亞馬遜 VPC 連接：

CIDR        Attachment ID                  Resource ID        Resource type       Route type        Route state    Prefix list ID
0.0.0.0     tgw-attach-98765432109876      vpc-987654321      VPC                 Static            Active         -

8. 在與 Amazon VPC 連接相關聯的傳輸閘道路由表中，為內部部署 CIDR 建立路由 (靜態路由或傳播)。然後，將其指向 VPN 連接：

CIDR          Attachment ID               Resource ID         Resource type      Route type       Route state     Prefix list ID
10.0.0.0/16   tgw-attach-1234567890123    vpn-1234567897      VPN                Static           Active          -

注意： 站台對站台 VPN 加密域必須允許內部部署 CIDR 與任何 (0.0.0.0) 目的地 (原則型 VPN) 之間的流量。

相關資訊

建立傳輸閘道 VPN 連接

傳輸閘道路由表