View a markdown version of this page

Migra la tua rete a AWS - AWS Trasformazione
Fase 1: Mappatura della rete di origineFase 2: File di configurazione aggiuntiviFase 3: Topologie di reteFase 4: Mappatura dei gruppi di sicurezzaFase 5: Rivedi e ottimizza la tua reteFase 6: Diagramma reticolareFase 7: Configurare la codifica delle risorseFase 8: Implementa la reteElimina le risorse di rete distribuiteEstrazione del file di configurazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Migra la tua rete a AWS

Con AWS Transform, puoi migrare la tua rete verso. AWS AWS Transform traduce la configurazione dell'ambiente di origine in risorse di rete AWS equivalenti: VPC, sottoreti, gruppi di sicurezza, gateway NAT, gateway di transito, IP elastici, percorsi e tabelle di routing in base alle esigenze. È possibile rivedere e modificare la configurazione di rete generata prima della distribuzione. È possibile implementare la configurazione con AWS Transform e analizzare la connettività di rete. In alternativa, puoi scegliere l'implementazione automatica e ricevere Infrastructure as Code (IaC) nel formato che preferisci: AWS Cloud Development Kit (AWS CDK) Landing Zone Accelerator (LZA) o Terraform. HashiCorp

Per migrare la rete, procedi nel seguente modo:

  1. Carica il file di rete di origine.

  2. Carica file di configurazione aggiuntivi (opzionale, per ambienti RVTools).

  3. Seleziona una topologia di rete.

  4. Seleziona una strategia di mappatura dei gruppi di sicurezza.

  5. Rivedi e ottimizza la tua rete.

  6. Genera un diagramma di rete (opzionale).

  7. Configura l'etichettatura delle risorse.

  8. Implementa la tua rete.

Nota

Per le implementazioni con più account, è necessario configurare i ruoli IAM su più account e l'accesso affidabile per AWS Organizations prima di iniziare la migrazione di rete. Per ulteriori informazioni sui tipi di migrazione, consulta. Fase 1: Selezione del tipo di migrazione

Fase 1: Mappatura della rete di origine

Il processo di mappatura della rete richiede il caricamento di un file di configurazione dall'ambiente di origine. Lo strumento scelto dipende dal tipo di rete di origine:

Nota

La dimensione massima supportata del file di rete di origine è 70 MB.

avvertimento

Scarica RVTools solo dal sito ufficiale Dell all'indirizzo. https://www.dell.com/en-us/shop/vmware/sl/rvtools Non scaricate RVTools da fonti non ufficiali.

Ogni segmento della rete di origine è mappato sul proprio VPC distinto. La segmentazione della rete varia in base al tipo di sorgente:

  • vNetwork: AWS Transform raggruppa le macchine virtuali tramite vSwitch e LAN virtuale (VLAN). Le VLAN possono apparire su più vSwitch (eccetto VLAN 0).

  • Reti NSX: AWS trasformano i segmenti della rete in base ai router, raggruppando Tier-1 i router e raccogliendo i relativi segmenti.

Fase 2: File di configurazione aggiuntivi

Per gli ambienti di origine RVTools, è possibile caricare facoltativamente file di configurazione aggiuntivi per abilitare la generazione di gruppi di sicurezza. Se non caricate file di configurazione aggiuntivi, non viene generato alcun gruppo di sicurezza per la migrazione. RVTools-based

AWS Transform supporta i seguenti tipi di file di configurazione aggiuntivi. È possibile caricare un solo file di configurazione da una piattaforma.

  • Cisco Application Centric Infrastructure (ACI) fornisce configurazioni delle policy di rete.

  • Palo Alto Networks fornisce politiche di sicurezza firewall.

  • Fortinet FortiGate fornisce politiche di sicurezza firewall.

Quando carichi un firewall o un file Cisco ACI, AWS Transform genera infrastrutture di rete e gruppi di sicurezza. Quando si carica un file RVTools da solo, AWS Transform genera solo l'infrastruttura di rete.

Per ulteriori informazioni sulle versioni supportate e sulle istruzioni di estrazione, consulta Estrazione dei file di configurazione.

Fase 3: Topologie di rete

Durante la fase di definizione della rete, si seleziona una topologia di rete. È possibile scegliere la topologia dei VPC isolati o la topologia Hub and Spoke.

VPC isolati

Cosa viene distribuito

I VPC isolati sono ambienti di rete indipendenti che operano all'interno come unità separate. AWS I tuoi VPC sono completamente isolati, senza percorsi di comunicazione integrati tra di loro. Questa separazione offre il massimo livello di protezione dei confini della rete.

AWS Transform crea le seguenti risorse:

  • Un VPC dedicato per ogni segmento di rete sorgente rilevato.

  • Sottoreti private basate sulla configurazione della rete di origine.

  • Gruppi di sicurezza (se hai fornito file di configurazione del firewall o SDN).

Completa la configurazione

AWS Transform implementa l'infrastruttura di rete ma lascia a te l'accesso a Internet e la connettività tra VPC, così puoi scegliere la configurazione che soddisfa i requisiti della tua organizzazione.

Per abilitare l'accesso a Internet per un VPC isolato, completa i seguenti passaggi:

  1. Crea un gateway Internet e collegalo al VPC.

  2. Crea sottoreti pubbliche in ogni zona di disponibilità in cui è necessario l'accesso a Internet. Aggiungi un percorso per 0.0.0.0/0 puntare al gateway Internet. Per ulteriori informazioni sulla configurazione delle sottoreti, consulta Subnet for your VPC.

  3. Crea gateway NAT nelle sottoreti pubbliche (uno per AZ per un'elevata disponibilità). Assegna un IP elastico per ogni gateway NAT.

  4. Aggiorna le tabelle di routing delle sottoreti private: aggiungi una route per 0.0.0.0/0 puntare al gateway NAT nella stessa AZ.

  5. Rivedi le regole del tuo gruppo di sicurezza: assicurati che le regole in uscita consentano il traffico necessario ai tuoi carichi di lavoro (HTTPS, DNS, ecc.).

Per la VPC-to-VPC comunicazione, configura il peering VPC o un Transit Gateway e aggiorna le tabelle di routing in ogni VPC per instradare il traffico verso la connessione peering o l'allegato TGW.

Hub and Spoke

In questo modello, un AWS Transit Gateway funge da hub centrale che collega più VPC per carichi di lavoro (gli spoke).

Cosa viene distribuito

AWS Transform crea le seguenti risorse:

  • VPC Spoke: un VPC per segmento di rete di origine rilevato, con sottoreti private e un allegato Transit Gateway.

  • Inspection VPC: ospita il dispositivo firewall per l'ispezione del traffico. Tutto il traffico tra VPC viene instradato attraverso questo VPC. L'allegato Transit Gateway utilizza la modalità appliance, un'impostazione che assicura che il traffico scorra simmetricamente attraverso lo stesso dispositivo per entrambe le direzioni di una connessione.

  • VPC in entrata: gestisce il traffico che entra nella rete dalla rete Internet pubblica (in entrata nord-sud). Include un gateway Internet e sottoreti pubbliche su più zone di disponibilità.

  • VPC in uscita: gestisce il traffico che esce dalla rete verso la rete Internet pubblica (direzione nord-sud in uscita). Include un gateway Internet, gateway NAT con indirizzi IP elastici in ogni zona di disponibilità per l'alta disponibilità e sottoreti private per l'allegato Transit Gateway.

  • Tabelle di routing Transit Gateway: due tabelle di routing indirizzano il traffico attraverso il VPC di Inspection. La tabella Uninspected è associata a Spoke VPC, VPC in entrata e VPC in uscita: indirizza tutto il traffico (0.0.0. 0/0) all'allegato Inspection VPC ed è la tabella dei percorsi di associazione predefinita. La tabella Inspected è associata al VPC di ispezione: contiene le route propagate da tutti i VPC spoke ed è la tabella delle rotte di propagazione predefinita.

Per le implementazioni con più account, il Transit Gateway è condiviso tra gli account tramite AWS Resource Access Manager (RAM).

Flusso di traffico

Tutto il traffico cross-VPC segue questo percorso:

  1. Il traffico proveniente da un VPC spoke viene inviato al Transit Gateway (route predefinita 0.0.0). 0/0).

  2. La tabella delle rotte non ispezionate indirizza il traffico verso il VPC di ispezione.

  3. Il firewall nel VPC di Inspection ispeziona il traffico e lo inoltra al Transit Gateway.

  4. La tabella delle rotte ispezionate indirizza il traffico verso il VPC spoke di destinazione utilizzando rotte propagate.

Per il traffico Internet in uscita, la tabella delle rotte ispezionate indirizza il traffico verso il VPC in uscita. I gateway NAT traducono gli indirizzi IP privati prima che il traffico venga inoltrato al gateway Internet. La tabella delle route pubbliche VPC in uscita include percorsi specifici per ogni intervallo di routing VPC Inter-Domain Classless Routing (CIDR) a pozzetti verso il Transit Gateway. Questi percorsi consentono al traffico di ritorno di raggiungere il VPC con razze corrette.

Il traffico Internet in entrata entra attraverso il gateway Internet di Inbound VPC e segue lo stesso percorso di ispezione per raggiungere i VPC spoke.

Completa la configurazione

AWS Transform implementa l'infrastruttura di rete ma lascia a te la configurazione del firewall e dei servizi in entrata, così puoi scegliere le appliance e le politiche di sicurezza che soddisfano i requisiti della tua organizzazione.

Nota

Per impostazione predefinita, il traffico cross-VPC passa attraverso il VPC di ispezione senza ispezione. È necessario implementare un firewall per abilitare l'ispezione del traffico.

Implementa un firewall: crea sottoreti aggiuntive nel VPC di ispezione per gli endpoint del firewall. AWS Transform crea sottoreti solo per l'allegato Transit Gateway. Indirizza il traffico dalle sottoreti degli allegati TGW agli endpoint del firewall e dalle sottoreti del firewall al Transit Gateway. È possibile distribuire AWS Network Firewall o un'appliance di terze parti. Per ulteriori informazioni sull'implementazione di un firewall con un Transit Gateway, vedere Creazione di un firewall con un Transit Gateway.

Verifica la connettività: dopo aver implementato il firewall, verifica l'accesso a Internet in uscita da un'istanza VPC spoke (ad esempio,). curl https://aws.amazon.com È possibile utilizzare Reachability Analyzer per risolvere i problemi di connettività.

Configura i servizi in entrata: per ospitare servizi rivolti al pubblico, implementa un Application Load Balancer o un Network Load Balancer nelle sottoreti pubbliche VPC in entrata. Configura i gruppi target che puntano alle istanze nei tuoi VPC spoke tramite Transit Gateway e verifica che la tabella delle rotte ispezionate contenga percorsi di ritorno verso il VPC in entrata.

Se desideri un controllo granulare sulla comunicazione tra i VPC, scegli l'opzione VPC isolati e modifica la rete generata per creare i percorsi di comunicazione specifici di cui hai bisogno.

Fase 4: Mappatura dei gruppi di sicurezza

Scegli in che modo le tue politiche di sicurezza di origine si traducono in gruppi AWS di sicurezza. AWS Transform crea gruppi di sicurezza in base alle configurazioni dell'ambiente di origine. Le politiche di sicurezza, le regole della politica di sicurezza, le politiche del gateway e le regole delle politiche del gateway vengono convertite in gruppi di sicurezza.

Importante

AWS Transform crea gruppi di sicurezza nel miglior modo possibile, in base all'ambiente di origine. Rivedi e modifica i gruppi di sicurezza generati per assicurarti che soddisfino le esigenze e le politiche di sicurezza della tua azienda.

Riferimenti dei gruppi di sicurezza

Quando vengono generati i gruppi di sicurezza, AWS Transform utilizza i riferimenti ai gruppi di sicurezza, ove supportato. Il riferimento ai gruppi di sicurezza imposta le regole di sicurezza basate su un altro ID di gruppo di sicurezza anziché su intervalli di indirizzi IP specifici (blocchi CIDR). Questo approccio offre configurazioni di sicurezza più flessibili e gestibili.

Le regole del gruppo di sicurezza possono fare riferimento solo ad altri gruppi di sicurezza all'interno dello stesso VPC o in un VPC connesso all'interno della stessa regione. Cross-account sono supportati anche i riferimenti. Non è possibile fare riferimento a un gruppo di sicurezza in un VPC non connesso o in più regioni. Per i VPC connessi, solo le regole in entrata supportano i riferimenti ai gruppi di sicurezza tra VPC: le regole in uscita devono utilizzare regole. CIDR-based Il modo AWS in cui Transform crea le regole dei gruppi di sicurezza dipende dalla topologia di rete scelta:

  • Hub and Spoke: Transit Gateway fornisce connettività di rete tra VPC. AWS Transform utilizza il riferimento sia per le regole all'interno di VPC che per quelle di ingresso incrociato. VPC/cross-account Cross-VPC/cross-account Le regole di uscita (in uscita) utilizzano le regole. CIDR-based

  • VPC isolati: i tuoi VPC non hanno alcuna connettività di rete tra di loro. AWS Transform utilizza il riferimento solo per le regole all'interno del VPC. Tutte le regole tra VPC e tra account utilizzano regole. CIDR-based

CIDR-based le regole vengono utilizzate anche quando le configurazioni di origine non sono simmetriche.

Scegliete una delle seguenti strategie di mappatura dei gruppi di sicurezza:

  • MAP: traduce le regole di sicurezza dall'ambiente di origine in gruppi e regole AWS di sicurezza. Utilizzate questa opzione per le migrazioni che utilizzano l'indirizzamento IP statico.

  • MAP_DHCP (Translate with DHCP support): traduce le regole di sicurezza dall'ambiente di origine con compatibilità DHCP. DHCP assegna gli indirizzi IP in modo dinamico dall'intervallo CIDR della sottorete. Di conseguenza, le regole di uscita tra VPC vengono ampliate per corrispondere all'intera sottorete di destinazione CIDR. Un CIDR più ristretto bloccherebbe gli DHCP-assigned IP che non rientrano in tale intervallo: rivedi queste regole dopo la migrazione.

    Utilizza questa opzione per il supporto DHCP con la comunicazione Transit Gateway tra VPC. Funziona anche con IP statici, ma potrebbe generare regole più ampie rispetto a MAP.

  • SKIP: non traduce le regole di sicurezza. Configura manualmente i gruppi AWS di sicurezza dopo la migrazione. Funziona con ambienti IP statici e DHCP. Per gli ambienti di origine RVTools senza file di configurazione aggiuntivi, AWS Transform utilizza automaticamente SKIP.

Nota

La strategia di mappatura determina le opzioni di assegnazione degli IP. MAP supporta solo l'IP statico. MAP_DHCP e SKIP supportano sia DHCP statico che DHCP.

Approcci alla migrazione IP

Sono disponibili due opzioni di configurazione di rete per la migrazione:

Selezione dell'intervallo di rete

  • Mantieni gli intervalli esistenti (conservazione degli intervalli di indirizzi IP): conserva gli intervalli di indirizzi IP originali durante la migrazione. Ideale per le migrazioni in cui si spostano le applicazioni AWS senza modifiche (lift-and-shift), in particolare con applicazioni legacy che hanno dipendenze IP codificate o regole firewall esistenti.

  • Aggiornamento a nuovi intervalli IP (aggiornamento CIDR): puoi modificare ogni intervallo CIDR VPC durante la migrazione AWS e Transform propaga automaticamente le modifiche a sottoreti, tabelle di routing e gruppi di sicurezza.

Assegnazione dell'indirizzo IP

  • Indirizzi IP fissi (statici): AWS Transform assegna IP statici in base al CIDR. È la soluzione ideale per le applicazioni che richiedono un comportamento di rete prevedibile, la gestione DNS o il controllo degli accessi. IP-based Gli IP persistono anche dopo il riavvio delle istanze tramite Elastic Network Interfaces (ENI), che sono schede di rete virtuali collegate alle istanze.

  • Assegnazione IP dinamica (AWS DHCP): assegna automaticamente gli IP dai pool di sottoreti all'avvio dell'istanza. Ottimale per applicazioni progettate per l'esecuzione nel cloud e carichi di lavoro con scalabilità automatica. Riduce il sovraccarico operativo ma richiede alle applicazioni di utilizzare DNS o service discovery.

È possibile combinare la selezione di entrambi gli intervalli con entrambi i metodi di assegnazione IP.

Nota

La strategia di assegnazione degli indirizzi IP è impostata a livello di onda. È possibile assegnare strategie diverse a server specifici personalizzando il file wave. Ad esempio, se si è scelto un approccio basato su un indirizzo IP statico per il wave ma si desidera assegnare un approccio dinamico a un server specifico, è possibile utilizzare [RESET_VALUE] quanto descritto in Modifica della configurazione nella guida per l'utente di MGN.

Fase 5: Rivedi e ottimizza la tua rete

Dopo che AWS Transform ha generato la configurazione di rete di destinazione, è possibile esaminare i segmenti di rete locali convergenti verso l'infrastruttura. AWS Utilizza l'interfaccia visiva per esaminare la rete e l'interfaccia di chat per apportare modifiche e ricevere consigli guidati. AWS Transform esegue analisi di impatto a cascata e implementa le modifiche necessarie per mantenere la coerenza della rete e la conformità alle migliori pratiche. Puoi anche chiedere a AWS Transform di analizzare la tua rete e suggerire ottimizzazioni: vedi Consigli guidati.

VPC esistenti nel tuo account di destinazione

Se il tuo account di destinazione contiene già VPC, provenienti da precedenti fasi di migrazione o progetti di infrastruttura parallela, AWS Transform li rileva automaticamente e li visualizza insieme ai tuoi VPC mappati durante il processo di revisione. Per le migrazioni con più account, AWS Transform rileva i VPC esistenti su tutti gli account dell'organizzazione. AWS

Questa visibilità ti aiuta a capire in che modo la rete pianificata si relaziona all'infrastruttura esistente, a identificare potenziali conflitti CIDR e a prendere decisioni informate prima dell'implementazione.

Nota

AWS Transform rileva solo i VPC esistenti (non le sottoreti o altre risorse). Il rilevamento è di sola lettura: AWS Transform non modifica i VPC esistenti.

Ottimizza la tua rete

Nota

Queste operazioni si applicano solo ai VPC per carichi di lavoro. Per i VPC delle appliance con topologia Hub and Spoke (Inspection, Inbound, Outbound), è supportata solo la modifica dell'indirizzo IP.

Non è possibile annullare le operazioni di eliminazione, unione e divisione. Esamina attentamente la configurazione prima di applicare queste modifiche.

Le seguenti operazioni sono disponibili per i VPC:

  • Elimina: rimuove definitivamente un VPC dalla configurazione. Usalo per segmenti di rete obsoleti verso i quali non è necessario migrare. AWS

  • Escludi: rimuovi temporaneamente un VPC dalla migrazione per strategie di migrazione graduale. I VPC esclusi non vengono distribuiti ma possono essere reinclusi in un secondo momento.

  • Includi: aggiungi un VPC precedentemente escluso nella migrazione.

  • Unisci: combina due VPC in uno solo. Il primo VPC mantiene la sua identità e assorbe tutte le sottoreti dal secondo VPC. I gruppi di sicurezza vengono spostati nel VPC unito e le relative associazioni vengono ricostruite di conseguenza. Il CIDR del primo VPC si espande fino all'intervallo CIDR più piccolo che contiene entrambi i CIDR originali e il routing viene aggiornato automaticamente. Il secondo VPC viene rimosso dalla configurazione.

    Unisci i requisiti:

    • I CIDR di sottorete non devono sovrapporsi tra i due VPC.

    • Il CIDR unito non deve superare /16.

    • Per le distribuzioni con più account, entrambi i VPC devono essere assegnati allo stesso account.

  • Modifica indirizzo IP: modifica l'indirizzo IP di base di un CIDR VPC mantenendo la stessa lunghezza del prefisso. AWS Transform traduce automaticamente tutti i CIDR di sottorete con lo stesso offset. Ad esempio, cambiando un VPC da 10.0.0.0/16 a 10.20.0.0/16 si sposta una sottorete da a. 10.0.1.0/24 10.20.1.0/24

    Le regole del gruppo di sicurezza che corrispondono esattamente al vecchio CIDR VPC vengono aggiornate automaticamente. Le regole che si sovrappongono parzialmente o non corrispondono al vecchio CIDR non vengono modificate: rivedi queste regole dopo la modifica.

  • Rinomina: modifica il nome di un VPC per allinearlo alle convenzioni di denominazione dell'organizzazione per l'allocazione dei costi, il monitoraggio della conformità e gli standard operativi.

  • Ridimensiona: modifica la lunghezza del prefisso di un CIDR VPC per espandere o ridurre l'intervallo di indirizzi IP.

    • Riduzione della lunghezza del prefisso (più IP, ad esempio da /20 a /16): le sottoreti rientrano ancora nell'intervallo più ampio. Non sono necessarie modifiche alla sottorete.

    • Aumento della lunghezza del prefisso (meno IP, ad esempio da /16 a /20): le sottoreti che non rientrano nel nuovo intervallo devono essere prima ridimensionate utilizzando l'operazione di ridimensionamento della sottorete.

    Le regole del gruppo di sicurezza che corrispondono esattamente al vecchio CIDR VPC vengono aggiornate automaticamente. Le regole che si sovrappongono parzialmente o non corrispondono al vecchio CIDR non vengono modificate: rivedi queste regole dopo il ridimensionamento.

    Requisiti di ridimensionamento:

    • Il nuovo CIDR deve essere compreso tra /16 e /28.

    • Il nuovo CIDR non deve sovrapporsi ad altri VPC della rete (topologia Hub and Spoke).

    • Quando si riduce il CIDR, tutte le sottoreti esistenti devono rientrare nel nuovo CIDR. Se necessario, ridimensiona prima le sottoreti.

  • Dividi: dividi un VPC in due VPC in base ai limiti CIDR che fornisci. Le sottoreti vengono assegnate al nuovo VPC il cui CIDR le contiene. I gruppi di sicurezza vengono clonati su entrambi i nuovi VPC, ma i CIDR delle regole dei gruppi di sicurezza non vengono aggiornati automaticamente: rivedi le regole dopo la suddivisione per assicurarti che la comunicazione tra VPC funzioni come previsto. Il VPC originale viene sostituito dai due nuovi VPC.

    Requisiti suddivisi:

    • È necessario fornire esattamente due intervalli CIDR.

    • I due CIDR non devono sovrapporsi.

    • Ogni CIDR deve essere compreso tra /16 e /28.

    • Ogni sottorete deve rientrare esattamente in uno dei due CIDR. Se una sottorete non si adatta, l'operazione viene rifiutata.

Le seguenti operazioni sono disponibili per le sottoreti:

  • Modifica indirizzo IP: modifica l'indirizzo IP di base di una sottorete CIDR mantenendo la stessa lunghezza del prefisso.

  • Elimina: rimuove definitivamente una sottorete dalla configurazione senza influire sul VPC principale.

  • Ridimensiona: modifica la lunghezza del prefisso di una sottorete CIDR per espandere o ridurre l'intervallo di indirizzi IP.

    Requisiti di ridimensionamento della sottorete:

    • Il nuovo CIDR deve essere compreso tra /16 e /28.

    • Il nuovo CIDR non deve sovrapporsi ad altre sottoreti nello stesso VPC.

    • Il nuovo CIDR deve trovarsi all'interno del VPC CIDR principale.

Dopo ogni operazione, AWS Transform rivaluta i riferimenti ai gruppi di sicurezza, il che potrebbe convertire CIDR-based le regole in riferimenti ai gruppi di sicurezza o viceversa. Rivedi le regole del gruppo di sicurezza dopo aver apportato le modifiche per verificare che soddisfino i tuoi requisiti.

Consigli guidati sulla rete

AWS Transform analizza la rete mappata e fornisce consigli prioritari tramite l'interfaccia di chat. I consigli si basano sui dati di rete e richiedono la conferma dell'utente prima di applicare qualsiasi modifica.

AWS Transform potrebbe consigliare le seguenti ottimizzazioni:

  • Risoluzione dei conflitti CIDR: contrassegna gli intervalli CIDR che si sovrappongono tra i VPC mappati e i VPC esistenti in tutti gli account dell'organizzazione. AWS I VPC in conflitto vengono mostrati per primi. È possibile risolvere i conflitti reindirizzando il VPC mappato, escludendolo o eliminandolo oppure riconoscendo il conflitto e risolvendolo autonomamente dopo la distribuzione.

  • Standardizzazione dei nomi: contrassegna i nomi VPC che non seguono uno schema coerente (ad esempio, nomi contenenti riferimenti hardware). AWS Transform richiede la convenzione di denominazione nel cloud prima di proporre sostituzioni.

  • Revisione dell'ambito: identifica i segmenti di rete verso i quali potrebbe non essere necessario migrare AWS, come i sistemi o i costrutti legacy in attesa di smantellamento. AWS Transform richiede la conferma dell'utente prima di escludere qualsiasi costrutto.

  • Dimensionamento corretto della capacità VPC: espone i VPC in cui il CIDR appare sovradimensionato o sottodimensionato per le sottoreti che contiene. AWS Transform presenta i dati sulla capacità corrente e consente di decidere se ridimensionarli.

  • Revisione della sicurezza: contrassegna le regole del gruppo di sicurezza che consentono il traffico in entrata senza restrizioni (0.0.0. 0/0) per la tua recensione.

  • Consolidamento VPC: identifica i VPC frammentati che sembrano separati dai limiti dell'infrastruttura fisica anziché dai requisiti di isolamento logico e suggerisce di unirli.

Nota

Tutti i consigli richiedono una conferma esplicita dell'utente prima che Transform applichi qualsiasi modifica. AWS AWS Transform presenta dei compromessi quando una raccomandazione influisce su più aspetti della rete.

Fase 6: Diagramma reticolare

Dopo aver esaminato le configurazioni VPC generate, puoi facoltativamente generare un diagramma di rete per visualizzare la topologia della tua rete. AWS Transform supporta i seguenti formati di diagrammi:

  • Mermaid code (.mmd): questo formato produce un file di definizione del diagramma basato su testo che è possibile renderizzare con strumenti. Mermaid-compatible

  • Immagine (.png): questo formato produce un'immagine renderizzata della topologia di rete.

Fase 7: Configurare la codifica delle risorse

Le risorse di rete sono contrassegnate per l'avvio e la replica. Puoi anche aggiungere tag personalizzati e tag AWS Migration Acceleration Program (MAP).

Tag automatici per l'avvio e la replica

AWS Transform etichetta automaticamente le risorse di rete migrate (VPC, sottoreti, gruppi di sicurezza e tabelle di routing) con i seguenti tag:

  • Chiave: CreatedBy Valore: AWSApplicationMigrationService

  • Chiave: ATWorkspace Valore: workspace-id

Questi tag consentono di utilizzare il VPC e la sottorete per avviare istanze di test e cutover. AWS

Nota

I VPC e le sottoreti migrati non includono la connettività Internet per impostazione predefinita, quindi non sono adatti come aree di memorizzazione per la replica.

Per utilizzare il VPC e la sottorete anche come area di gestione temporanea (replica), aggiungi manualmente i seguenti tag:

  • Chiave: CreatedFor Valore: AWSTransform

  • Chiave: ATWorkspace Valore: workspace-id

È inoltre possibile applicare questi tag a qualsiasi risorsa di AWS rete esistente per renderla disponibile per la replica.

Trova l'ID del tuo spazio di lavoro nell'URL dell'app web AWS Transform: https://... workspace-id /workspace//-id job/job

Tag personalizzati

Oltre ai tag applicati automaticamente da AWS Transform, puoi aggiungere opzionalmente tag personalizzati per organizzare, tenere traccia dei costi e gestire la conformità per le tue risorse di rete migrate. È possibile applicare tag personalizzati a due livelli:

  • Job-level tag: si applicano a tutte le risorse create da questo lavoro, inclusi tutti i VPC, le sottoreti, i gruppi di sicurezza e le tabelle di routing.

  • VPC-level tag: si applica a un VPC specifico e passa automaticamente a cascata a tutte le risorse associate (sottoreti, gruppi di sicurezza, tabelle di routing).

Nota

Massimo 40 tag per richiesta. Ogni tag richiede una chiave e un valore. AWS si applicano le convenzioni di etichettatura.

AWS Transform applica questi tag quando genera i modelli Infrastructure as Code.

AWS Programma di accelerazione della migrazione

Se la migrazione fa parte del AWS Migration Acceleration Program (MAP 2.0) AWS , Transform applica un tag MAP alle risorse. Se hai fornito il tuo ID MPE in precedenza nel processo di migrazione, il tag viene applicato automaticamente. Altrimenti, dopo aver esaminato le configurazioni VPC generate, AWS Transform chiede se disponi di un accordo MAP e ti chiede di fornire il tuo ID MPE, un codice di 10 caratteri che utilizza lettere e cifre maiuscole (ad esempio, ABCDE12345). Il tag applicato utilizza il formato:

  • Chiave: map-migrated Valore: migMPE_ID

Fase 8: Implementa la rete

Dopo aver aggiunto i tag, seleziona la tua strategia di implementazione:

  • AWS Transform-managed implementazione: AWS Transform utilizza CloudFormation modelli per implementare la rete ed esegue Reachability Analyzer per verificare la connettività tra sottoreti su più VPC e all'interno dello stesso VPC.

    Nota

    È necessario ottenere l'approvazione esplicita prima che venga eseguita la richiesta di distribuzione della rete. Vedi Procedura di approvazione della distribuzione.

  • Self-deployment: AWS Transform genera modelli Infrastructure as Code (IaC). CloudFormation i modelli vengono generati per impostazione predefinita. Puoi anche selezionare formati di output aggiuntivi:

    • AWS CDK genera un TypeScript progetto per l'implementazione dell'infrastruttura programmatica.

    • HashiCorp Terraform genera modelli di HashiCorp Configuration Language (HCL) per la gestione delle risorse di rete.

    • Landing Zone Accelerator (LZA) genera un file network-config.yaml per la configurazione di rete LZA.

Nota

Quando si esegue la distribuzione tramite la pipeline Landing Zone Accelerator (LZA), l'account Transform e l'installazione di LZA devono trovarsi nella stessa organizzazione. AWS AWS La distribuzione avrà esito negativo in caso di mancata corrispondenza tra gli ID dell'organizzazione.

Per la distribuzione automatica, utilizza il link fornito per scaricare un file zip contenente i modelli generati. La cartella zip include un README.md file che spiega come utilizzare i modelli generati.

Per verificare che il file scaricato non sia stato danneggiato o manomesso, genera e scarica un checksum, quindi confrontalo con un hash generato localmente utilizzando il comando. openssl dgst -sha256 -binary <file.zip> | base64

Processo di approvazione della distribuzione

Per garantire che le modifiche alla rete siano conformi agli standard di sicurezza e ai requisiti architetturali dell'organizzazione, tutte le richieste di implementazione vengono sottoposte a un flusso di lavoro di approvazione. È necessario ottenere l'approvazione esplicita prima che venga eseguita la richiesta di distribuzione della rete. Quando invii una richiesta di distribuzione, questa viene indirizzata automaticamente agli approvatori autorizzati tramite la scheda AWS Transform Approvals. Gli approvatori convalidano sia i CloudFormation modelli che le configurazioni di rete per garantire la conformità agli standard di sicurezza e ai requisiti architettonici. Ogni invio attiva un nuovo ciclo di revisione e le implementazioni procedono solo dopo aver ricevuto la conferma. Se un approvatore rifiuta la tua richiesta, contattalo direttamente per discutere delle modifiche necessarie. AWS Transform tiene traccia di tutte le decisioni di approvazione a fini di controllo e conserva la cronologia delle implementazioni.

Elimina le risorse di rete distribuite

Se è necessario ripristinare una distribuzione, è possibile eliminare le risorse di rete distribuite da AWS Transform. È possibile eliminare le risorse immediatamente dopo il completamento della distribuzione. Se si modificano le risorse di rete distribuite dopo la distribuzione, le risorse non possono essere eliminate automaticamente.

  • AWS Transform-managed distribuzioni: AWS Transform rimuove tutti gli CloudFormation stack creati durante la distribuzione. Questa azione richiede l'approvazione tramite la scheda AWS Transform Approvals.

  • Self-deployments: è necessario eliminare manualmente le risorse distribuite tramite la console di AWS gestione o la AWS CLI.

Estrazione del file di configurazione

Se l'ambiente di origine utilizza Cisco ACI, Palo Alto Networks o Fortinet FortiGate, devi estrarre un file di configurazione da fornire a Transform. AWS È possibile utilizzare questi file come file sorgente autonomi per generare infrastrutture di rete e gruppi di sicurezza o come file complementari insieme a un caricamento di RVTools per aggiungere la generazione di gruppi di sicurezza. Il processo di estrazione è lo stesso in entrambi i casi.

Per estrarre i file di configurazione dal firewall e dagli ambienti di rete, segui queste procedure. Consulta la documentazione del fornitore per le informazioni più recenti.

Fortinet FortiGate

  • La versione del firmware deve essere v7.0 o successiva.

  • Hai bisogno dei super_admin nostri super_admin_readonly privilegi a livello globale.

  • Fasi:

    1. Connect al firewall tramite SSH o client CLI integrato

    2. Esegui: show | grep "" (| grep ""disabilita l'impaginazione)

    3. Salva tutto l'output in un file a partire dal comando show

Palo Alto Networks

  • La versione del firmware deve essere 10.1 o successiva.

  • È necessario il ruolo di superadmin.

  • Connect al firewall tramite SSH, esegui i seguenti comandi per disabilitare l'impaginazione, impostare il formato di output, accedere alla modalità di configurazione ed esportare la configurazione e gli oggetti predefiniti. Salva gli output:

    set cli pager off
set cli config-output-format set
configure
show              # Save as palo-conf.txt
show predefined   # Save as palo-default.txt

Cisco ACI

  • La versione del firmware deve essere 6.0 o successiva.

  • È necessario il ruolo di amministratore con tutti i privilegi e una destinazione configurata Secure Copy Protocol (SCP), SSH File Transfer Protocol (SFTP) o File Transfer Protocol (FTP).

  • Fasi:

    1. Connect all'Application Policy Infrastructure Controller (APIC) tramite il browser

    2. Apri il menu Admin e scegli Config Rollbacks

    3. Nella finestra di dialogo Scatta un'istantanea, seleziona l'opzione di posizione remota e scegli Crea un'istantanea adesso.

    4. Dopo aver ricevuto il messaggio «Trasferimento riuscito», connettiti al server di localizzazione remota e recupera il file di istantanea più recente (file.gz)