AWS Transit Gateway

AWS Transit Gateway — это центральный сетевой шлюз, предоставляемый Amazon Web Services (AWS) в рамках облачной платформы, который позволяет связывать между собой виртуальные частные облака (VPC) и локальные сети через единую точку соединения. Сервис упрощает управление сетевой топологией в сложных, многорегиональных и гибридных облачных архитектурах, заменяя собой множество индивидуальных пиринговых соединений (VPC Peering) и VPN-туннелей.

История и контекст появления

До появления AWS Transit Gateway (анонсирован в ноябре 2018 года, полноценно запущен в 2019-м) для соединения нескольких VPC и локальных сетей приходилось вручную настраивать сетку из пиринговых подключений. Каждое новое VPC требовало создания N-1 соединений с уже существующими, что приводило к экспоненциальному росту сложности и затрат на управление. В гибридных сценариях, где требовалось объединить десятки или сотни VPC с корпоративным дата-центром, такая модель становилась практически неуправляемой. Transit Gateway решил эту проблему, предоставив единый «транзитный хаб», к которому подключаются все сети, а маршрутизация между ними настраивается централизованно.

Архитектура и принцип работы

Компоненты

Основными элементами AWS Transit Gateway являются:

• Транзитный шлюз (Transit Gateway) — логический сетевой концентратор, развёрнутый в регионе AWS. Он выступает в роли маршрутизатора, обрабатывающего трафик между подключёнными к нему сетями.
• Присоединения (Attachments) — точки подключения к шлюзу. Каждое присоединение представляет собой интерфейс, связывающий шлюз с одной из сетей:
• VPC Attachment — подключение виртуального частного облака AWS.
• VPN Attachment — подключение через IPsec VPN-туннель к локальной сети (используется AWS Site-to-Site VPN).
• Direct Connect Gateway Attachment — подключение через выделенное физическое соединение AWS Direct Connect.
• TGVPN Attachment (Transit Gateway VPN) — подключение к удалённым клиентам через VPN (например, для мобильных пользователей или филиалов).
• Таблица маршрутизации (Transit Gateway Route Table) — набор правил, определяющих, как шлюз перенаправляет трафик между присоединениями. Каждое присоединение может быть связано с одной таблицей маршрутизации, что позволяет изолировать трафик между разными сегментами сети.

Маршрутизация

Шлюз поддерживает два основных режима маршрутизации:

• Статическая маршрутизация — администратор вручную прописывает маршруты в таблице шлюза.
• Динамическая маршрутизация через BGP — используется для VPN-присоединений и Direct Connect. Шлюз обменивается маршрутами с локальным маршрутизатором, автоматически узнавая о доступных подсетях.

Особенностью Transit Gateway является поддержка транзитивной маршрутизации: трафик, поступающий от одного присоединения, может быть направлен к любому другому присоединению, если это разрешено таблицей маршрутизации. Это отличает сервис от VPC Peering, где транзит запрещён (нельзя пройти через одно VPC в другое).

Классификация и варианты использования

По типу подключения

• Региональный Transit Gateway — работает в пределах одного региона AWS. Для соединения между регионами требуется настройка межрегионального пиринга (Inter-Region Peering) между двумя Transit Gateway.
• Межрегиональный пиринг — позволяет объединить шлюзы в разных регионах, создавая единую глобальную сеть.

По сценариям применения

• Объединение множества VPC — централизованная сеть для микросервисной архитектуры, где десятки VPC (например, для разработки, тестирования, продакшена) общаются через единый шлюз.
• Гибридное облако — соединение корпоративного дата-центра (через Direct Connect или VPN) с несколькими VPC. Transit Gateway выступает как пограничный маршрутизатор.
• Изоляция окружений — с помощью отдельных таблиц маршрутизации можно разделить трафик: например, VPC для продакшена видит только локальную сеть и другие продакшен-VPC, но не видит тестовые среды.
• Многорегиональная архитектура — объединение VPC в разных регионах через межрегиональный пиринг для обеспечения отказоустойчивости и глобального присутствия.

Характеристики и ограничения

• Пропускная способность — каждый шлюз способен обрабатывать до 50 Гбит/с на одно присоединение (в одном направлении). Общая пропускная способность шлюза ограничена ёмкостью региона.
• Количество присоединений — по умолчанию можно создать до 300 присоединений на один шлюз (лимит можно увеличить по запросу).
• Задержка — минимальная, так как трафик остаётся в пределах сети AWS и не покидает её (кроме VPN/Direct Connect).
• Стоимость — взимается плата за час работы шлюза и за каждый гигабайт обработанного трафика (как входящего, так и исходящего). Межрегиональный пиринг тарифицируется отдельно, как передача данных между регионами.
• Поддержка multicast — Transit Gateway поддерживает многоадресную рассылку (multicast) для определённых сценариев (например, для финансовых приложений).

Преимущества и недостатки

Преимущества

• Упрощение управления — вместо сотен пиринговых соединений — один шлюз.
• Централизованная маршрутизация — все правила задаются в одном месте.
• Гибкость — поддержка статической и динамической маршрутизации, изоляция трафика через таблицы.
• Интеграция с другими сервисами AWS — например, с AWS Network Firewall, AWS Resource Access Manager (для совместного использования шлюза между аккаунтами), AWS CloudWatch для мониторинга.

Недостатки

• Стоимость — при малом количестве VPC (до 5–10) использование Transit Gateway может оказаться дороже, чем VPC Peering, из-за фиксированной платы за шлюз и трафик.
• Сложность начальной настройки — требуется понимание сетевой архитектуры и правил маршрутизации, особенно при интеграции с локальными сетями через BGP.
• Региональная привязка — шлюз работает в одном регионе; для глобальной сети требуется настройка межрегионального пиринга, что увеличивает задержки и стоимость.
• Ограничения по multicast — поддержка мультикаста есть, но она имеет ряд ограничений по сравнению с традиционными сетями.

Примеры использования

1. Крупная корпорация с гибридной инфраструктурой: компания имеет дата-центр в Москве и использует AWS в регионе eu-central-1 (Франкфурт) для облачных нагрузок. Через Direct Connect и Transit Gateway все VPC (бухгалтерия, разработка, продакшен) получают доступ к локальным ресурсам, а трафик между VPC изолирован с помощью таблиц маршрутизации.
2. SaaS-платформа с мультитенантной архитектурой: провайдер SaaS использует отдельные VPC для каждого клиента. Transit Gateway позволяет централизованно управлять сетевым доступом, подключая к шлюзу только те VPC, которым требуется взаимодействие (например, для биллинга или логирования).
3. Глобальная игровая компания: серверы игры развёрнуты в VPC в США, Европе и Азии. Через межрегиональный пиринг Transit Gateway обеспечивает низкую задержку для синхронизации данных между регионами.

Интересные факты

• Transit Gateway поддерживает межрегиональный пиринг только между шлюзами, находящимися в коммерческих регионах AWS. Регионы для государственных заказчиков (GovCloud) не могут пиринговаться с коммерческими.
• Сервис позволяет использовать алгоритм ECMP (Equal-Cost Multi-Path) для балансировки трафика между несколькими VPN-туннелями или Direct Connect-подключениями.
• AWS Transit Gateway является частью более широкой концепции AWS Cloud WAN — управляемой глобальной сети, которая автоматизирует создание и управление сетями, объединяющими несколько регионов и локальных точек.

Критика и альтернативы

Основная критика сервиса связана с его стоимостью при малых объёмах и сложностью отладки — при неправильной настройке таблиц маршрутизации возможны «чёрные дыры» (потеря трафика). В качестве альтернатив на рынке облачных сетей существуют решения от других провайдеров:

• Azure Virtual WAN — аналог от Microsoft Azure, предлагающий похожую функциональность с интеграцией в экосистему Azure.
• Google Cloud Network Connectivity Center — централизованный сетевой хаб в Google Cloud.
• Собственные решения — некоторые компании продолжают использовать VPC Peering или сторонние SD-WAN-решения для управления гибридными сетями, считая Transit Gateway избыточным для своих задач.

Источники

• Документация Amazon Web Services: «AWS Transit Gateway» (AWS Documentation).
• Amazon Web Services: «Introducing AWS Transit Gateway» (блог AWS, ноябрь 2018).
• Whitepaper AWS: «Building a Scalable and Secure Multi-VPC AWS Network Infrastructure».
• Книга: «AWS Certified Advanced Networking – Specialty Exam Guide» (Sidhartha Chauhan, 2020).