mcpField
T
transitgateway

transitgateway

github.com/aws云与 DevOps3.3k4.2k 次安装今天更新
代码仓库

关于 transitgateway

面向 AWS Transit Gateway 配置任务的领域技能，按任务将操作映射到独立流程，并提供路由、安全与排障约束。可通过 AWS MCP 服务执行命令，也可回退到 AWS CLI。

主要功能

  1. 01创建 Transit Gateway 并连接 VPC
  2. 02使用路由表划分网络
  3. 03集中出口与东西向流量检查
  4. 04配置混合连接和跨区域对等
  5. 05迁移 VPC 对等网并路由组播

适用场景

  1. 01搭建区域网络中枢并连接多个 VPC
  2. 02隔离网络环境并配置共享服务
  3. 03通过集中 VPC 检查出站或 VPC 间流量
  4. 04迁移 VPC 对等网或配置多播路由

MCP 相关

连接 AWS MCP 服务时，可通过沙箱化执行、审计日志和可观测性运行命令；未连接时使用 AWS CLI。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/aws/agent-toolkit-for-aws --skill transitgateway

安装后在 Claude Code 中输入/transitgateway确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
centralizing-egress-and-inspection.md
connecting-on-premises-networks.md
creating-a-transit-gateway-and-attaching-vpcs.md
inspecting-east-west-traffic-with-network-firewall.md
migrating-from-vpc-peering.md
peering-transit-gateways-across-regions.md
routing-multicast-traffic.md
segmenting-traffic-with-route-tables.md

详细介绍

AWS Transit Gateway

概述

关于配置 AWS Transit Gateway 的领域知识。AWS Transit Gateway 是区域性网络枢纽，可通过单个路由器连接多个 VPC 和本地网络，无需使用点对点连接网状结构。内容涵盖构建枢纽并连接 VPC、使用路由表划分流量、集中出口流量和检查、使用 AWS Network Firewall 检查东西向流量、通过 Site-to-Site VPN 和 Direct Connect 实现混合连接、跨区域对等连接、从 VPC 对等连接网状结构迁移，以及 IP 多播。

此技能充当路由器。每项客户任务都对应 references/ 下的一个操作指南文件。执行操作前，请完整阅读匹配的参考文档，然后遵循其中的限制和步骤。参考文件均可独立使用：每份文件都包含自己的决策表、限制、操作步骤和故障排除内容。

连接后，使用 AWS MCP 服务执行命令（沙盒化执行、审计日志记录和可观测性）。否则，改用 AWS CLI。所有 CLI 操作都必须使用符合最小权限原则的临时凭证（通过 AWS STS 或 AWS IAM Identity Center / SSO 承担 IAM 角色），绝不能使用长期有效的 IAM 用户访问密钥。Transit Gateway 是区域性资源：请在承载枢纽的区域中运行每条 aws ec2 Transit Gateway 命令。

你需要执行哪项 Transit Gateway 任务？

目标参考文档
创建区域性枢纽并将 VPC 连接到该枢纽创建 Transit Gateway 并连接 VPC
隔离部分 VPC，同时允许其他 VPC 共享服务使用路由表划分流量
通过一个经过检查的出口 VPC 转发所有分支 VPC 的流量集中处理出口流量和检查
使用 AWS Network Firewall 检查 VPC 之间的流量使用 Network Firewall 检查东西向流量
通过 Site-to-Site VPN 或 Direct Connect 访问本地网络连接本地网络
通过 AWS 网络连接两个区域中的 Transit Gateway跨区域对等连接 Transit Gateway
在不中断流量的情况下从 VPC 对等连接网状结构迁移从 VPC 对等连接迁移
在已连接的 VPC 之间分发 IP 多播流量路由多播流量

路由说明

  • 在构建前决定分段方式。 默认情况下会启用“默认路由表关联”和“默认路由表传播”，这会将每个连接都接入同一个开放网状网络。如果客户计划采用隔离环境，创建参考会预先禁用这些默认设置，并将后续工作交给分段参考。在开放式中转网关上事后补做隔离，相当于重新设计架构。
  • 南北向出口与东西向检查。 集中出口会将辐射 VPC 的流量经由中央 VPC 发送到互联网。东西向检查则会将辐射 VPC 之间的流量保留在内部，并强制其经过防火墙。两者看起来相似，但使用不同的路由表配置。应根据客户实际流量的方向选择对应参考。
  • 用于检查的设备与 Gateway Load Balancer。 裸第三方设备和 Gateway Load Balancer（GWLB）端点是实现同一目标的两种途径。GWLB 是新设计的推荐方案。两者都包含在集中出口参考中；设备模式与 GWLB 端点的路由表条目有所不同，参考中涵盖了这两种情况。
  • 有状态的跨可用区检查需要设备模式，但也有取舍。 设备模式会将每条流保持在同一可用区的设备上，避免请求和响应分流。它还会禁用该连接的跨可用区故障转移，因此检查设计必须配合基于运行状况检查的故障转移。出口和东西向参考都涵盖了这一点。
  • 中转网关侧与 Direct Connect 侧。 连接本地网络参考涵盖中转网关侧：站点到站点 VPN 连接选项、路由传播和等价多路径（ECMP）。Direct Connect 网关和虚拟接口设置属于单独的 directconnect skill。此处不要重复介绍 Direct Connect 侧的内容。

安全注意事项

中转网关是许多 VPC 和本地网络的中央路由点，因此配置错误会波及所有连接的网络。无论具体任务是什么，都应应用以下控制措施；每个任务的参考中都包含详细说明。

  • 您 MUST 启用 Transit Gateway Flow Logs，以便查看、审计和响应中转网关中的流量事件；还 MUST 启用目标位置的静态加密（在 CloudWatch 日志组上使用 KMS 密钥，或在 S3 存储桶上使用 SSE-KMS）。
  • 当 KMS 密钥用于加密流日志目标位置（CloudWatch 日志组或 S3 存储桶）或 CloudTrail 目标位置时，您 MUST 使用条件键（aws:SourceArn、aws:SourceAccount 和 kms:ViaService）限制 KMS 密钥策略，使密钥只能由预期账户和服务中的特定日志组、存储桶或跟踪使用，以防止跨账户或跨服务滥用。
  • 您 SHOULD 为中转网关管理实施最小权限 IAM，避免使用服务通配符和 FullAccess 策略，并限制有权创建连接、修改路由表以及更改关联或传播的人员。
  • 您 SHOULD 确保站点到站点 VPN 隧道使用强加密（例如 AES-256-GCM 和 IKEv2），并启用向 CloudWatch Logs 发送的隧道日志及其加密（使用 KMS 密钥），以防止敏感的连接状态和 IKE 协商详情遭到未授权访问（参见连接本地网络参考）。
  • 您 MUST 将配置错误的中转网关路由表视为安全风险，因为错误的关联或传播可能会暴露原本应保持隔离的不同环境中的工作负载（参见流量分段参考）。
  • 您 MUST 启用 AWS CloudTrail，以检测对中转网关路由表、关联和传播的未授权更改；还 MUST 对 CloudTrail 目标位置启用静态加密（使用 KMS 密钥），并使用 AWS Config 规则检测设计偏差。

其他资源

评论

支持 Markdown