Transit Gateway em múltiplas contas AWS
Simplificando a integração de VPCs e contas com AWS Transit Gateway
Gerenciar várias VPCs e contas na AWS pode virar um verdadeiro quebra-cabeça. É aí que entra o AWS Transit Gateway, um serviço que simplifica a vida conectando tudo em um ponto central. Com ele, você consegue integrar diferentes contas, VPCs e até ambientes on-premises, sem precisar montar uma teia de conexões complexas. Neste artigo, vou mostrar como fazer o deploy do Transit Gateway em múltiplas contas AWS, explicando de forma prática como essa solução pode trazer organização, segurança e escalabilidade para sua arquitetura de rede.
Pre-requisitos
- AWS Organizations
- Habilitar o uso do serviço AWS RAM na Organização, para aceitar os compartilhamentos de recursos automaticamente, sem a necessidade de enviar contives. Mais detalhes de como habilitar, pode consultar este artigo aqui: https://ar7technology.com.br/aws-organizations-ativando-servicos/
- AWS IAM
- Criar uma role para permitir a utilização do Transit Gateway gravar registros de logs no serviço AWS CloudWatch Log. Mais detalhes de como criar, pode consultar este artigo aqui: https://ar7technology.com.br/criacao-de-politicas-funcoes-aws-iam/
- AWS CloudWatch Log Group
- Criar um grupo de logs para registras os eventos das conexão passadas no Transit Gateway. Mais detalhes de como criar, pode consultar este artigo aqui: https://ar7technology.com.br/criacao-de-log-group-no-aws-cloud-watch/
- Estrutura de rede
- CONTA PRODUÇÃO: 65xxxxxx5553
- VPC-CONTA-PRD: 10.123.0.0/16
- SBNT-PUBLIC-AZ1a: 10.123.150.0/24
- SBNT-PRIVATE-AZ1b: 10.123.151.0/24
- RTB-PUBLIC
- RTB-PRIVATE
- IGW-VPC-PRD
- CONTA INFRAESTRUTURA: 52xxxxxx4897
- VPC-CONTA-INFRA: 10.245.0.0/16
- SBNT-PUBLIC-AZ1a: 10.245.98.0/24
- SBNT-PUBLIC-AZ1b: 10.245.99.0/24
- RTB-PUBLIC
- RTB-PRIVATE
- IGW-VPC-INFRA
- CONTA PRODUÇÃO: 65xxxxxx5553
Procedimento Técnico
Etapa 01 – Preparar o Transit Gateway na conta Network
Nesta etapa, vamos apenas criar o Transit Gateway, sendo os attachments criados nas contas de PRD e Infra. Dito isso, não sendo necessário/obrigatório criar estrutura de VPC na conta de Network.
Acesse a conta Networ (ID: 886725800651)
Na barra de pesquisa, procure pelo serviço AWS VPC
No menu esquedo, clieque na opção Transit Gateways e depois clique no botão Create transit gateway:
Coloquei um nome para o recurso, no meu caso ficou:
- Name Tag: TGW-AR7-NET
Nas configurações abaixo, decidi manter da seguinte forma:
- ASN: deixe o default ou defina um valor (ex.: 64512)
- Habilite DNS support (para resolução cross-VPC se necessário)
- Habilite Security Group Referencing Support (para conseguir referenciar security groups de uma VPC em outra VPC anexada ao Transit Gateway)
- Habilite VPN ECMP Support (Distribuir o tráfego igualmente entre túneis que anunciam os mesmos prefixos)
- Habilite Default Route Table Association (este recursos faz com que anexos ao Transit Gateway sejam automaticamente associados à tabela de rotas padrão do próprio Transit Gateways)
- Habilite Default Route Table Propagation (Propaga rotas de anexos automaticamente para a tabela de rotas padrão do próprio Transit Gateway)
A opção Auto accept shared attachments = Não habilitei para manter controle manual, apenas uma preferencia pessoal. Clique no botão Create transit gateway para criação do recurso.
Caso esteja tudo certo, aparecerá uma mensagem que o Transit Gateway foi criado com sucesso.
Durante a criação do recursos, já podemos ver as informações detalhadas do Transit Gateway.
Vamos aproveitar e criar o fluxo de logs, para que todas as conexões processadas e registradas pelo Transit Gateway sejam guardadas.
Selecione o Transit Gateway
Na aba Flo Logs, clique no botão Create flow log
Preença algumas informações:
- Nome: FL-TGW-AR7-NET
- Destino: CloudWatch Logs (escolhi esta opção, por não precisar de nenhuma outra solução para visualizar os logs. Mas faça a escolhar, de acordo com o seu cenário/orçamento/diretrizes internas da sua empresa
- Destino log Group: TGW-AR7-NET
- IAM Role: TransitFateway-AR7-NET-Role (Função que vai permitir que o serviço AWS Transit Gateway, grave retistro de logs no Log Group do AWS CloudWatch)
Mantenha o formato do log padrão. Ele já vem bastante informações, mas fique a vontade de customizar quais informações aparecerão nos resgistros de logs. Clique em Create flow log.
Caso não tenha nenhum configuração incorreta, aprareceça a mensagem que o fluxo de log foi criado com sucesso.
Etapa 02 – Compartilhar o TGW com as contas PRODUÇÃO e INFRAESTRUTURA
Ainda na conta Network, procure o serviço AWS RAM na caixa de pesquisa
No menu esquedo, na sessão Shared by me, clique em Create resource share, para iniciar a configuração de compartilhamento do recurso.
Preencha e selecione as informações, conforme:
- Escreva o nome: TGW-AR7-NET-SHARE
- Selecione o tipo de recurso: Transity Gateway
- Selecioner o recurso
Nesta sessão, apresentará as permissões que serão utilizadas para que o compartilhamento do Transit Gateway seja feito com sucesso. Nesta tela, não precisa mexer em nada, apenas clique em Next.
Preencha as informações das contas:
- CONTA PRODUÇÃO: 65xxxxxx5553
- CONTA INFRAESTRUTURA: 52xxxxxx4897
Selecione as duas contas inseridas e clique em Next
Na tela de revisão, ao final da página clique no botão Create resource share
Estando tudo certo, aparecerá uma mensagem que foi concluido com sucesso o compartilhamento do recurso (Transit Gateway)
Na tela dos recrusos compartilhados, podemos ver que o compartilhamento esta ativo e disponível para utilização
Para validação do compartilalhamento, sugiro você entrar nas contas de Produção e de Infraestrutura, para confirmar se esta tudo certo mesmo.
- Conta de Produção – Compartilhamento de recursos via AWS RAM
- Conta de Infraestrutura – Compartilhamento de recursos via AWS RAM
Etapa 03 – Criar VPC Attachments (nas contas PRODUÇÃO e INFRAESTRUTURA)
Nesta etapa você precisará executar esta etapa por 2x (uma na conta de Produção e outra na conta de Infraestrutura)
Na barra de pesquisa, procure pelo serviço VPC
No menu esquedo, seleione a opção Transit Gateway attachments e clique no botão Create trasit gateway attachment
Preecha o nome, selecione o Transit Gateway (aquele que foi compartilhado na etapa anterior) e selecione o tipo de uso como VPC.
Selecione a VPC desejada na propria conta e selecione as subnets que você quer permitir a comunicação com a outra conta AWS, através do Transit Gateway. O que fiz abaixo é só uma exemplo, se adapte a sua realidade ai, beleza?
Clique em Create transit Gateway attachment
Estando tudo certo, aparecerá uma mensagem que o seu attachment foi concluído com sucesso. E aproveitando, pode observar que o status esta como “Aceite Pendente” (vamos resolver isso na próxima etapa)
Você chegou ate´aqui. Agora você precisará repetir a mesma sequência nesta etapa, para a outra conta AWS Infraesturtura, por exemplo.
Não avançe sem realizar as mesmas configurações na conta de Infraestrutura, ok?
Etapa 04 – Aprovar os Attachments na Conta Network
Retorne na conta AWS de Network e procure o serviço VPC na barra de pesquisa.
No menu esquedo, clique na opção Transit Gateway Attachments. Veja os attachments que estão com pendencia de aceite.
Selecione um attachment por vez, clique no botão Actions e clique Accept transit gateway attachment para aceitar o vinculo.
Aparecerá uma mensagem de confirmação, clique em Accept
Estando tudo certo, aparecerá uma mensagem que o aceite foi concluído com sucesso.
Apos concluir os aceites dos dois attachments (PRD e Infraestrutura), veja que os dois já estão disponíveis
Etapa 05 – Configurar as rotas no Transit Gateway
Ainda na conta AWS de Network, vamos agora começar as configurações da tabela de rota do Transit Gateway (não é a tablela de rota da VPC, não ainda, ok?)
Antes de iniciar, ao abrir o Transit Gateway, podemos observar as configurações que permitem:
- Default association route table: Todo novo attachment (VPC, VPN, Direct Connect) é automaticamente associado à tabela de rotas padrão do Transit Gateway
- Default propragation route table: Rotas aprendidas de anexos são automaticamente propagadas para a tabela de rotas padrão (do próprio Transit Gateway)
- Auto accept shared attachments: Permite que anexos compartilhados via Resource Access Manager (RAM) sejam aceitos automaticamente pelo Transit Gateway
No menu esquedo, seleione a opção Transit Gateway route table, selecione a aba Associoations para validar a propagação das interface do Attachments do Transit Gateway
Seleione a aba Propagations, para validar a propagação das interfaces do Attachmento do Transit Gateway
Na aba Routes, podemos validar que as VPC’s que os Attachments do Transit Gateway estão vinculados, estaão com status Ativo.
Etapa 06 – Etapa 06 – Configurar tabelas de rotas (contas PRD e INFRA)
Nesta etapa você precisará executar esta etapa por 2x (uma na conta de Produção e outra na conta de Infraestrutura)
Na barra de pesquisa, procure pelo serviço VPC. Vou utilizar a conta AWS de Produção nesta etapa.
Selecione a opção Route Table, selecione as tabelas de rotas (que você queria permitir a comunicação com Transit Gateway)
Na parte de edição da tabela de rota, adicione o range de IP da VPC de destino, neste caso aqui a VPC de Infraestrutura), selecione o Attachment do Transit Gateway e clique para salvar as configurações.
Apos terminar a configuração da tabela de rota, estando tudo certo, aprecerá uma mensagem que a configuração deu certo.
Etapa 07 – Teste de conectividade
- Suba uma EC2 t2.micro Amazon Linux em cada VPC (Conta PRODUÇÃO e Conta INFRAESTRUTURA), em subnets públicas ou privadas (fica aqui a sua escolha, deste que você vinculou a Attachment do Transisit Gateway na AZ que a instancia EC2 será criada).
- Criar Role do IAM “AmazonSSMManagedInstanceCore” e vincular a política “AmazonSSMManagedInstanceCore” SRV-TST-POC-TGW
- Libere SG para ICMP (ping) e SSH (22) entre os dois ranges (10.123.0.0/16 ↔ 10.245.0.0/16).
SG-SRV-TST-POC-TGW - Teste ping entre instâncias para validar comunicação via TGW.
Opcional: use VPC Flow Logs ou CloudWatch TGW metrics para confirmar o tráfego.
Para criar a instancia EC2, você pode consultar este outro artigo aqui: https://ar7technology.com.br/amazon-aws-criar-servidor-virtual-no-plano-gratuito/
Considerações
- A comunicação Conta PRODUÇÃO <> Conta INFRAESTRUTURA deve fluir via Transit Gateway.
- O IGW garante acesso externo (para update/teste via SSH).
- Se quiser validar DNS cross-VPC, habilite Route 53 Resolver mais adiante
Conclusão
No fim das contas, o Transit Gateway é aquele tipo de recurso que simplifica a vida de quem precisa lidar com várias VPCs e contas na AWS. Em vez de ficar montando um emaranhado (teia de aranha) de conexões ponto a ponto, você centraliza tudo e ganha clareza na arquitetura. É como trocar um monte de cabos bagunçados por um hub organizado: mais fácil de gerenciar, mais seguro e pronto pra crescer junto com o ambiente. Se a ideia é ter uma rede na nuvem que não vire dor de cabeça, o Transit Gateway é o caminho certo.
Despedida e agradecimentos.
Espero ter ajudado. Deixe seu feedback nos comentários logo abaixo, não esqueça de se inscrever, compartilhe nas redes sociais e fique ligado nas novidades. Abraços!
