基于DX Gateway的VPC通信方案可行性及VPC连接方式咨询

问题背景与疑问 #

我们的AWS账户托管着VPC A，其可路由子网中运行着数据库。现在需要实现本地客户端发起API调用拉取该数据库的数据。

计划新增的AWS组件（均在现有账户下）：

• 连接至第三方账户DX Gateway（通过私有VIF连接DX站点）的新Virtual Private Gateway
• 包含可路由子网和不可路由子网的新VPC（VPC B）

引入VPC B的目的是尽可能不改动或少改动现有VPC A。VPC B的CIDR会通过BGP对等连接自动通告到本地环境，Virtual Private Gateway已附加到VPC B，用于接收DX Gateway的请求。

VPC B的可路由子网部署NLB，不可路由子网托管需要与VPC A数据库交互的EKS集群。预期流量路径：本地环境 → DX Gateway → VPC B → VPC A

疑问：

1. 由于DX Gateway无法识别VPC A的CIDR（存在客观限制），这套方案是否可行？
2. 如果方案可行，连接VPC A与VPC B的最佳方式是什么？了解到该场景不支持VPC对等连接，是否需要用Transit Gateway或其他方案？

回答 #

问题1：方案可行性 #

方案完全可行。本地环境仅需知晓VPC B的CIDR（已通过BGP完成通告），即可将流量发往VPC B的NLB；而VPC B到VPC A的流量属于AWS内部网络交互，不需要DX Gateway感知VPC A的CIDR。DX Gateway只负责完成本地到VPC B的流量转发，无需识别后端VPC A的网段，只要VPC B与VPC A的内部连接正常，整个链路就能跑通。

问题2：VPC A与VPC B的最佳连接方式 #

首先纠正认知：同AWS账户下的VPC A和VPC B是支持VPC对等连接的，只要两者的CIDR无重叠，就可以直接创建对等连接，配置双方路由表允许流量互通即可。这是成本最低、配置最简洁的方案，优先推荐。

如果存在CIDR重叠等无法使用VPC对等连接的情况，可考虑以下替代方案：

• Transit Gateway（TGW）：将VPC A和VPC B都关联至同一个Transit Gateway，通过TGW的路由表管控流量转发。适合未来有更多VPC需要互联的场景，扩展性更强，但会产生额外的服务成本。
• 代理/NAT实例方案：在VPC B内部部署代理或NAT实例，通过静态路由或代理转发的方式访问VPC A的数据库。这种方式性能和维护成本较高，仅适合小规模流量场景。

内容的提问来源于stack exchange，提问作者Ashish Singh