Transit Gateway：连接、选项与费用
Transit Gateway（TGW）是 Region 级网络中转中心。 同 Region 的 VPC 通过 VPC attachment 接入；跨 Region 可让两地 TGW 建立 Peering。接入不等于互通，还要配置 subnet 路由、TGW 路由和访问规则。
推荐用法#
- 少量 VPC、连接关系简单：优先评估 VPC Peering；多 VPC、跨账号、集中路由管理：评估 TGW。
- 先规划不重叠 CIDR 和通信范围；TGW 不自动做 NAT，也不会自动隔离生产与测试。
- 按业务使用的 AZ 配置 attachment subnet；TGW 的 route propagation 不会替你修改 VPC subnet route table。
- 先测试私有 IP 的实际服务端口，再测 DNS；只测 ping 不能证明应用服务正常。
Subnet、路由与 ping 排障 · 重叠 CIDR、Private NAT 与 TGW Connect · Policy Table 与选路
Attachment 和 Peering 怎么选#
| 连接 | 作用 |
|---|---|
| VPC attachment | VPC 接到同 Region 的 TGW，可跨账号共享 |
| TGW Peering attachment | 连接两个 TGW；支持同 Region 或跨 Region |
| Site-to-Site VPN attachment | 将 VPN 接入 TGW；普通 VPC 互通不需要 VPN tunnel |
| Connect attachment | 将第三方网络设备通过 GRE / BGP 接入 TGW，详见子页 |
同 Region：VPC A ── attachment ── TGW ── attachment ── VPC B
跨 Region：VPC A ── TGW 东京 ── TGW Peering ── TGW 新加坡 ── VPC C普通 TGW Peering 要接受连接请求，并在双方 TGW route table 添加指向 Peering 的远端路由；两边 VPC subnet 也要有对应路由。无需再为每对 VPC 建立直接 Peering。Peering 配置
例如两地各 5 个 VPC，要求每个 A 地 VPC 都访问每个 B 地 VPC：直接跨区 Peering 需 25 条；TGW 方案为 10 个 VPC attachment 加 1 条 TGW Peering 连接，代价是额外资源与处理费用。
Route Table 与 Policy Table#
普通互通：attachment 直接关联 Route Table，按目的 IP 选下一跳。需要同一目标的 TCP 443 经防火墙、TCP 22 直达时，attachment 改关联 Policy Table：先按流量特征选 Route Table，再查下一跳。示例与默认丢包规则见 Policy Table。
创建页面的关键选项#
Console：VPC → Transit Gateways → Create transit gateway。
| 字段 | 实际作用 | 怎么选 |
|---|---|---|
| Amazon side ASN | AWS 侧参与 BGP 路由交换的编号；BGP 用于网络间交换可达网段 | 无既定规划时可用默认 64512；多个 TGW 建议用不同 ASN |
| Default route table association | 新 attachment 默认用哪张 TGW table 查询进入流量的下一跳 | 简单互通可用默认表；需要分段时显式选择关联表 |
| Default route table propagation | 将 attachment 的路由传播到默认 TGW table | 同一互通范围可开启；隔离环境分别控制传播目标 |
| VPN ECMP support | 等价 BGP VPN 路径同时分担流量 | 只作用于符合条件的 VPN；静态 VPN 不支持，不影响 VPC attachment / TGW Peering |
| Auto accept shared attachments | 自动接受已获 RAM 共享权限账号发来的 VPC attachment | 需要逐次审核时关闭；仅同账号使用不必开启 |
| Transit gateway CIDR blocks | 为 Connect 等特定功能分配 TGW 侧 endpoint 地址 | 普通 VPC attachment / TGW Peering 留空即可；不用于解决 VPC CIDR 重叠 |
Association 是“从这里进入 TGW，用哪张表查路”；Propagation 是“把这里的可达网段写到哪些 TGW 表”。 普通路由模式下 attachment 关联一张 Route Table，可以向多张 Route Table 传播路由；启用 PBR 时则改关联 Policy Table。TGW routing
ASN 支持私有范围 64512–65534、4200000000–4294967294，无需申请公网 ASN。VPN ECMP 要求相同前缀及等价的 ASN、AS-path 等 BGP 属性。创建参数
跨账号共享先由 TGW owner 用 AWS RAM（Resource Access Manager） 授权，再由另一账号建立 VPC attachment；Auto accept 不会把 TGW 公开给任意账号，也不代替路由或安全规则。共享规则
配置顺序#
- 检查两端全部 CIDR、业务 subnet/AZ 和允许访问的协议。
- 创建 TGW 与 VPC attachments，每个要启用的 AZ 选一个 subnet，等待
available。 - 核对 TGW route table 的 association、propagation 和最终
activeroutes。 - 给两边业务 subnet 实际使用的 route table添加对端网段 → TGW。
- 放行所需 SG / NACL 规则，从源主机验证目标私有 IP 与业务端口。
跨区方案在第 3 步加入 TGW Peering 与双方远端静态路由。具体路由矩阵及只读命令见 路由与排障。
费用与收尾#
| 费用 | 计算对象 |
|---|---|
| Attachment 小时费 | VPC、VPN 等 attachment；Peering 两端各计 attachment 小时费，无流量也计费 |
| Data processing | VPC 等来源送入 TGW 的 GB；普通 Peering 送入对端 TGW 不重复收这一段处理费 |
| 其他费用 | 跨 Region data transfer，以及 VPN、NAT、LB 等独立服务费用 |
单 Region 两个 VPC 的基本估算：2 × attachment 小时单价 × 使用小时 + 双向送入 TGW 的 GB × 处理单价。单价按 Region 查 AWS pricing，不要把某个 Region 的例价当全局价格。
停止 EC2 不会停止 attachment 小时费。退役时先核对依赖和替代路径，再清理两端路由及 attachment，避免留下 blackhole；最后删除不再使用的 TGW。