mcpField
D
directconnect

directconnect

github.com/aws云与 DevOps3.3k4.1k 次安装今天更新
代码仓库

关于 directconnect

面向 AWS Direct Connect 配置任务的领域技能，按任务提供从连接模型、虚拟接口和 BGP 到加密、弹性及迁移的流程。执行命令时可使用 AWS MCP 服务，或回退到 AWS CLI。

主要功能

  1. 01选择连接类型并完成交叉连接
  2. 02创建虚拟接口并配置 BGP
  3. 03通过 Direct Connect 网关连接多个 VPC
  4. 04配置传输加密与连接弹性
  5. 05管理链路聚合组和 SiteLink
  6. 06迁移到 Transit Gateway

适用场景

  1. 01为数据中心或托管机房建立 AWS 私有链路
  2. 02通过虚拟接口配置 BGP 连接
  3. 03经 Direct Connect 网关访问多个 VPC
  4. 04为链路配置加密、故障切换或迁移

MCP 相关

连接 AWS MCP 服务时，可通过沙箱化执行、审计日志和可观测性运行命令；未连接时使用 AWS CLI。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/aws/agent-toolkit-for-aws --skill directconnect

安装后在 Claude Code 中输入/directconnect确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
choosing-a-direct-connect-connection-type.md
connecting-many-vpcs-through-a-direct-connect-gateway.md
creating-a-direct-connect-virtual-interface-and-configuring-bgp.md
encrypting-traffic-over-direct-connect.md
making-a-direct-connect-connection-resilient.md
managing-direct-connect-link-aggregation-groups.md
migrating-direct-connect-from-a-virtual-private-gateway-to-a-transit-gateway.md
setting-up-direct-connect-sitelink.md

详细介绍

AWS Direct Connect

概述

配置 AWS Direct Connect 的领域专业知识。该服务为客户自己的数据中心或托管机房与 AWS 之间提供专用、稳定的网络链路，无需通过公共互联网路由。内容涵盖选择连接模式并完成交叉连接、创建虚拟接口并建立边界网关协议（BGP）、通过 Direct Connect 网关访问多个 VPC、加密传输中的流量、提高连接的弹性、管理链路聚合组、SiteLink，以及从虚拟私有网关迁移到中转网关。

此技能是一个路由器。每项客户任务都对应 references/ 下的一个流程文件。开始操作前，请完整阅读匹配的参考文件，然后遵循其中的约束和步骤。参考文件均可独立使用：每份文件都包含自己的决策表、约束、流程和故障排查内容。

连接后，使用 AWS MCP 服务执行命令（提供沙盒化执行、审计日志和可观测性）。否则，使用 AWS CLI。Direct Connect 控制台按区域划分，因此运行 aws directconnect 命令时，请传入客户正在使用的 --region；Direct Connect 网关是全局资源，但需通过区域控制台视图访问。

你需要完成哪项 Direct Connect 任务？

目标参考资料
选择专用连接、托管连接或链路聚合组，然后完成交叉连接选择 Direct Connect 连接类型
创建私有、公共或中转虚拟接口并建立 BGP创建虚拟接口并配置 BGP
通过 Direct Connect 网关使用一个连接访问多个 VPC通过 Direct Connect 网关连接多个 VPC
使用 MACsec 或私有 IP Site-to-Site VPN 加密传输中的流量加密 Direct Connect 上的流量
让连接在发生故障时仍能维持运行，并调整故障转移速度提高 Direct Connect 连接的弹性
将多个连接捆绑为一个逻辑链路并管理其成员管理链路聚合组
通过 AWS 骨干网连接彼此之间的本地站点设置 SiteLink
从虚拟私有网关迁移到中转网关，同时不丢弃流量从虚拟私有网关迁移到中转网关

路由说明

  • 首先确定连接模型。 选择连接类型的参考文档是尚未建立连接的客户的入门指南。它会说明专用连接、托管连接和链路聚合组之间的区别，检查所选速率是否受所在位置支持，并区分托管连接与托管虚拟接口——客户经常会混淆这两者。应在订购任何交叉连接之前查看该文档，因为连接创建后就无法更改端口速率。
  • 虚拟接口创建之前，连接不会承载流量。 交叉连接启用后，下一步必须参考创建虚拟接口的文档。虚拟接口类型（私有、公有或传输）决定连接可以访问哪些目标，并且在创建时即固定。应在创建时设置巨型帧最大传输单元（MTU）；不过，对于私有或传输虚拟接口，之后仍可更改，但会短暂中断连接。
  • 一个 VPC 还是多个 VPC。 可通过连接到虚拟私有网关的私有虚拟接口访问同一 Region 中的单个 VPC。若要访问多个 VPC、跨账户或跨 Region，请参考 Direct Connect 网关文档；该文档也涵盖跨账户传输网关提议与接受的握手流程。
  • 加密是一个独立且有意为之的步骤。 默认情况下，Direct Connect 的传输流量未经加密。加密流量的参考文档会比较 MACsec（第 2 层，通过交叉连接）与通过传输虚拟接口建立的私有 IP Site-to-Site VPN（推荐的 IPsec 路径）。客户提及受监管数据或加密时，请引导其查看该文档。
  • 弹性模型与故障转移速度是两个不同的问题。 弹性参考文档涵盖两者：Resiliency Toolkit 用于确定拓扑和服务级别目标，而 BGP 保持计时器调优和双向转发检测（BFD）则决定实际故障转移的收敛速度。
  • 链路聚合组作为模型与持续管理的区别。 连接类型参考文档会介绍链路聚合组，作为订购时的模型选项。管理链路聚合组的参考文档则涵盖持续的成员添加和移除以及最少链路数行为；移除成员可能导致整个组中断。
  • 迁移步骤有先后顺序。 虚拟私有网关到传输网关的迁移参考文档之所以存在，是因为切换步骤顺序错误会导致生产流量中断。对于任何“单 VPC 模型已无法满足需求”的请求，请引导至此文档，而不是普通的 Direct Connect 网关参考文档。

安全注意事项

Direct Connect 提供通往 VPC 资源的专用链路，因此其安全态势不同于通过公共互联网连接的路径。每项任务都应考虑以下事项：

  • 默认情况下不加密。 Direct Connect 不会对传输中的流量进行加密。在受监管或敏感数据通过链路传输之前，MUST 将加密视为一个独立且有意采取的步骤（使用 MACsec 或私有 IP Site-to-Site VPN）。请参阅流量加密参考资料。
  • 物理安全和托管设施安全。 链路终止于 Direct Connect 站点或合作伙伴托管设施中的客户设备。SHOULD 提醒客户，该设施的物理访问控制和对合作伙伴的信任都属于连接安全边界的一部分。
  • 监控和告警。 SHOULD 建议为连接状态和虚拟接口 BGP 状态配置 CloudWatch 告警，以便在连接状态发生变化或出现故障时触发告警，而不是依赖人工检测。
  • 审计日志记录。 SHOULD 确认已启用 CloudTrail，并记录 directconnect API 调用（连接、虚拟接口和网关关联的变更），以便捕获所有配置更改，用于审计和合规。
  • CloudWatch Logs 加密。 SHOULD 使用 KMS 密钥加密接收 Direct Connect 相关日志或告警状态数据的 CloudWatch Logs 日志组，以保护静态存储的敏感连接元数据。
  • 最小权限 IAM。 MUST 将 directconnect API 操作的 IAM 权限限定为各主体所需的特定操作和资源，并优先使用临时 IAM 凭证，而非长期有效的 IAM 用户访问密钥。MUST NOT 授予资源为 * 的 directconnect:* 权限，也不得附加任何 *FullAccess 托管策略；应将操作限定到特定资源 ARN，例如，连接对应的 arn:aws:directconnect:*:*:dxcon/{connection_id}，以免遭到入侵的主体访问账户中的所有 Direct Connect 资源。
  • VPC 之间的路由泄漏。 SHOULD 提醒：通告与 VPC CIDR 重叠的超网，可能导致流量通过共享的 Direct Connect 网关在 VPC 之间意外传输；可通过使用特定前缀、独立网关或 Transit Gateway 黑洞路由来缓解此问题。

其他资源

评论

支持 Markdown