半小时学会 Amazon Transit Gateway 跨 VPC 网络互联配置

多个 VPC 需要互通时，可以用 Amazon Transit Gateway（TGW）集中转发流量。下面记录创建 TGW、连接 VPC、配置两层路由表，以及通过 RAM 跨账户共享的过程。

VPC Peering 的局限性

点对点连接：一条 VPC Peering 连接只连接两个 VPC，而且不支持传递路由。比如 A 与 B、B 与 C 建立了 Peering，并不意味着 A 就能经由 B 访问 C。需要全互联的 VPC 多起来后，要维护的连接也会增加。

手动路由配置：每个 VPC Peering 连接都需要手动配置路由表，这在大规模环境下非常繁琐。

TGW 的优势

集中式管理：TGW 作为一个中央枢纽，允许多个 VPC 和本地网络通过单个网关相互连接，简化了网络架构和管理。

自动路由传播：TGW 支持自动路由传播，简化了路由配置，减少了人为错误的风险。

跨账户和跨区域支持：TGW 支持跨多个亚马逊云科技账户和跨区域的连接，提供更大的灵活性和扩展性。

可以把 TGW 理解成中转网关。每个需要互通的 VPC 创建一个挂载点（attachment），TGW 根据路由表把流量转发到对应挂载点。EC2 发出的请求先经过子网路由表到达 TGW，再由 TGW 路由表决定下一跳，所以这两层路由都要配置。

TGW 的网络拓扑图如下：

在这里插入图片描述

1. 创建 TGW

登录到亚马逊云科技管理控制台，导航到”VPC”服务。
在左侧菜单中选择”Transit Gateways”，点击”Create Transit Gateway”。
填写 TGW 名称和描述，配置 DNS 支持等选项。

根据要求创建 TGW，如果不需要和本地网络打通，这里填写名称和描述就好。

建议开启以下三个选项：

DNS support：开启 DNS 支持，但它不会自动打通其他 VPC 关联的 Route 53 私有托管区域。跨 VPC 的私有域名解析还需要单独规划，例如使用 Route 53 Resolver。[^1]

Default route table association：让新建的挂载点自动关联 TGW 的默认路由表。

Default route table propagation：让挂载点的路由传播到默认 TGW 路由表。它不会代替 VPC 子网路由表中的配置。

2. 在每个 VPC 新建挂载点

在 TGW 创建完成后，导航到”Transit Gateway Attachments”。
点击”Create Transit Gateway Attachment”，选择目标 VPC 并配置相关选项。

创建挂载点需要选择关联的 TGW 以及挂载点的 Type，除了 VPC 之外还有 peering，DX 类型的可供选择。

这里也开启 DNS 支持。另一个选项 Appliance Mode support 主要用于有状态网络设备，例如集中式防火墙。它让同一条流在该挂载点保持可用区路径的一致性，并不是把所有流量限制在同一个可用区内。普通 VPC 互联先按实际需要配置，具体行为见 VPC 挂载点的 Appliance mode 说明。