AWS Direct Connect

এই লেসন শেষে তুমি যা পারবে

• AWS Direct Connect physically কী (একটা line, একটা Direct Connect location, একটা cross-connect) আর logically কী (virtual interface, প্রতিটা একটা VLAN, যার নিজের BGP session আছে), আর কোম্পানিগুলো VPN-এর বদলে কেন এর জন্য টাকা দেয়, বুঝিয়ে বলতে পারবে।
• Dedicated আর hosted connection-এর মধ্যে বেছে নিতে পারবে, আর জানবে কোনটায় কী চলে: speed, কয়টা virtual interface, capacity বদলানো, MACsec, LAG।
• ঠিক virtual interface বেছে নিতে পারবে: private, public না transit, আর কোনটা কোথায় গিয়ে শেষ হয়।
• একটা Direct Connect gateway দিয়ে একটা virtual interface থেকে অনেক Region আর account-এর VPC-তে পৌঁছাতে পারবে, আর জানবে এটা কোন কাজ কখনো করবে না।
• Direct Connect-এর ওপর IPsec VPN বা MACsec দিয়ে Direct Connect-এর traffic encrypt করতে পারবে, আর কখন কোনটা মানায় বলতে পারবে।
• তিনটা resiliency model আর একটা VPN backup দিয়ে ব্যর্থতার জন্য নকশা করতে পারবে, আর BGP দিয়ে traffic-এর পথ ঠিক করতে পারবে (longest prefix, local preference, AS path)।
• বিলের হিসাব করতে পারবে (port-ঘণ্টা আর বাইরে যাওয়া data transfer), আর পরীক্ষার Direct Connect scenario-গুলো keyword দেখে ধরতে পারবে।

#Direct Connect কেন দরকার

লেসন ২২.৪-এ আমরা একটা অফিসকে Site-to-Site VPN দিয়ে VPC-র সাথে জুড়েছিলাম: public internet-এর ওপর encrypted tunnel, কয়েক মিনিটে চালু, সস্তা, কিন্তু internet সেদিন যতটা স্থির, ঠিক ততটাই স্থির। অনেক কোম্পানির জন্য এটুকুই যথেষ্ট। কারো কারো জন্য না:

• একটা ব্যাংক, যে প্রতি রাতে নিজের data centre আর AWS-এর মধ্যে কয়েক terabyte ডেটা আনা-নেওয়া করে, আর internet ব্যস্ত বলে transfer ধীর হয়ে যাওয়া তার চলবে না;
• stock exchange-এর feed বা call centre-এর voice platform, যেখানে রাত ৩টায় আর দুপুর ৩টায় latency একই থাকতে হবে;
• এমন regulator, যে চায় জরুরি traffic public internet-এ একদমই না যাক;
• একটা hybrid system, যেখানে database on-premises-এ আর application server AWS-এ, সারা দিন কথা বলে।

এদের সবার উত্তর AWS Direct Connect (DX)। এটা তোমার network থেকে AWS পর্যন্ত একটা নিজস্ব, private network connection। তোমার traffic internet পার হয় না: তোমার router cable দিয়ে (সাধারণত একটা Direct Connect Partner বা একটা colocation building হয়ে) একটা Direct Connect location-এ AWS-এর router-এর সাথে জোড়া, আর সেখান থেকে AWS-এর backbone সেটা Region পর্যন্ত নিয়ে যায়।

এতে তুমি যা পাও:

• স্থির performance: line-টা তোমার (বা তোমার জন্য সংরক্ষিত একটা ভাগ), তাই internet-এর ভিড়ে bandwidth আর latency ওঠানামা করে না।
• বেশি bandwidth: প্রতি connection-এ ৫০ Mbps থেকে ৪০০ Gbps পর্যন্ত, কয়েকটা connection মিলিয়ে আরও বেশি।
• বাইরে যাওয়া ডেটার কম দাম: Direct Connect দিয়ে AWS থেকে বেরোনো ডেটার দাম Direct Connect-এর হারে, যেটা internet-এর হারের চেয়ে কম (খরচের অংশে বিস্তারিত)।
• একই line-এ private আর public দুটোই: VPC-র private IP (EC2, RDS) আর AWS-এর public endpoint (S3, DynamoDB), আলাদা আলাদা virtual interface দিয়ে।
• IPv4 আর IPv6: দুটোই একই connection-এ চলে।

যা পাও না:

• তাড়াতাড়ি চালু হওয়া। Site-to-Site VPN কয়েক মিনিটে চালু হয়। নতুন একটা Direct Connect connection পেতে প্রায়ই এক মাসের বেশি লাগে, কখনো কয়েক মাস, কারণ কাউকে fibre টানতে বা ভাড়া নিতে হয়, building-এ cable লাগাতে হয়।
• Encryption। Direct Connect private, encrypted না। নিচে এ নিয়ে আলাদা অংশ আছে; এই topic-এর সবচেয়ে বিখ্যাত পরীক্ষার ফাঁদ এটাই।

#একটা connection কীভাবে তৈরি হয়

#Direct Connect location আর cross-connect

Direct Connect location হলো একটা colocation data centre (Equinix, Digital Realty, স্থানীয় carrier-দের building…), যেখানে AWS নিজের তালাবন্ধ AWS cage-এ router রাখে। প্রতিটা location-এর একটা associated Region থাকে (Mumbai-এর location-গুলোর associated Region হলো ap-south-1), তবে Direct Connect gateway দিয়ে সেখান থেকে যেকোনো Region-এ যাওয়া যায়।

Building-এর ভেতরে তোমার দিক থেকে AWS পর্যন্ত link-টা হলো একটা cross-connect: তোমার cage (বা তোমার partner-এর cage) থেকে AWS-এর cage পর্যন্ত একটা fibre cable। সেখানে পৌঁছানোর তিনটা উপায়:

1. তোমার router একই building-এ। তুমি সেখানে জায়গা ভাড়া নিয়ে cross-connect-এর অর্ডার দাও। বড় কোম্পানিতে এটা চলে।
2. একটা Direct Connect Partner তোমাকে সেখানে পৌঁছে দেয়। একটা telecom carrier তোমার অফিস থেকে location-এ তার cage পর্যন্ত একটা circuit টানে (last mile), আর সেখান থেকে cross-connect চলে যায়। বাংলাদেশে এটাই চেনা ছবি: দেশের ভেতরে কোনো Direct Connect location নেই, তাই partner পাশের কোনো দেশের location-এ, যেমন India বা Singapore-এ, circuit পৌঁছে দেয়। এখনকার তালিকা দেখতে aws directconnect describe-locations চালাও।
3. একটা partner-এর কাছ থেকে hosted connection, যার আগে থেকেই সেখানে নিজের port আছে (পরের অংশ দেখো)।

#একটা dedicated connection অর্ডার করা

1. Port চাও

   Direct Connect console-এ (বা aws directconnect create-connection দিয়ে) location আর port-এর speed বেছে নাও: ১, ১০, ১০০ বা ৪০০ Gbps।

2. LOA-CFA download করো

   AWS তার কোনো একটা router-এ একটা port আলাদা করে রাখে আর তোমাকে Letter of Authorization and Connecting Facility Assignment (LOA-CFA) দেয়। এটা building-এর কর্তৃপক্ষকে ঠিক কোন AWS port-এ cable লাগাতে হবে, তা বলে দেয়। ৯০ দিন পর এর মেয়াদ শেষ: এর মধ্যে cross-connect না হলে নতুন একটা download করতে হয়।

3. Cross-connect আর last mile করাও

   তুমি (বা তোমার partner) LOA-CFA building-কে দাও, তারা cross-connect লাগায়; partner তোমার অফিস পর্যন্ত circuit শেষ করে। বেশিরভাগ সপ্তাহ এখানেই যায়।

4. Link চালু করো

   দুই দিকে আলো চলাচল শুরু হলে connection-এর state হয় available। তখনো কিছুই route হয় না।

5. Virtual interface বানাও

   একটা private, public বা transit virtual interface বানাও (পরের অংশগুলো)। প্রতিটা একটা VLAN, যার নিজের BGP session। BGP চালু হলে route আদান-প্রদান হয়, traffic চলে।

#তোমার router-কে যা পারতে হবে

• Single-mode fibre, আর port-এর speed অনুযায়ী ঠিক optics (১, ১০, ১০০ বা ৪০০ Gbps Ethernet)।
• 802.1Q VLAN tagging, কারণ প্রতিটা virtual interface একই cable-এর ওপর একটা VLAN।
• BGP, ইচ্ছা হলে একটা authentication key সহ। Private আর transit VIF-এ AWS-এর দিকের ASN হলো virtual private gateway বা Direct Connect gateway-এর ASN (Amazon-এর default 64512), আর public VIF-এ 7224।
• BFD (Bidirectional Forwarding Detection) বাধ্যতামূলক না, তবে দেওয়া উচিত: AWS তার দিকে এটা চালু রাখে, তুমি নিজের router-এ চালু করো, তাহলে BGP-র ৯০ সেকেন্ডের hold timer-এর বদলে এক সেকেন্ডের কম সময়ে মরা link ধরা পড়ে।
• MTU: default ১৫০০; private VIF-এ ৯০০১ byte-এর jumbo frame চলে, transit VIF-এ ৮৫০০ byte।

Animation-এর “BGP বন্ধ” scenario-টা প্রথম দিনের একটা সত্যিকারের ভুল। Private বা transit virtual interface default হিসেবে তোমার দিক থেকে প্রতি address family-তে ১০০টা prefix নেয়। এর বেশি advertise করলে AWS BGP session-টা idle করে দেয়: cable ঠিক আছে, কিন্তু কিছুই route হয় না। Route-গুলো summarise করো, বা prefix controls দিয়ে সীমা বাড়াও (১,০০০ পর্যন্ত)। Public VIF-এ AWS তোমাকে তার public prefix জানায়, আর তুমি নিজের ১,০০০টা পর্যন্ত advertise করতে পারো।

#Connection-এর ধরন: dedicated না hosted

#Link aggregation group (LAG)

LAG কয়েকটা dedicated connection-কে বেঁধে একটা logical connection বানায়, তাই virtual interface একবার configure করলেই হয় আর bandwidth বাড়ে। নিয়ম:

• সব connection-এর speed এক, আর সব একটা location-এ AWS-এর একই device-এ শেষ;
• ১০০ Gbps-এর নিচে সর্বোচ্চ চারটা, ১০০ বা ৪০০ Gbps-এ দুটো;
• সব link active/active;
• minimum links setting (default ০) দিলে নির্দিষ্ট সংখ্যার কম সদস্য বাকি থাকলে পুরো LAG বন্ধ হয়ে যায়, যাতে backup পথ তৈরি থাকতে আধমরা LAG তার বাকি সদস্যদের ওপর অতিরিক্ত চাপ না দেয়;
• পুরো LAG-এ একটা key দিয়ে MACsec চালু করা যায়।

LAG bandwidth বাড়ায়, location নষ্ট হওয়া থেকে বাঁচায় না: সবকিছু একটা building-এ, একটা device-এ। ওটার জন্য নিচের resiliency model লাগবে।

#Virtual interface: কোথায় পৌঁছানো যায়

একটা connection শুধু একটা পাইপ। Virtual interface (VIF) ঠিক করে traffic কোথায় যাবে। প্রতিটা VIF একটা 802.1Q VLAN, যার নিজের BGP session, আর একটা dedicated connection পাশাপাশি অনেকগুলো বহন করতে পারে। তিন রকম:

মনে রাখার মতো কথা:

• Private VIF S3-তে পৌঁছাতে পারে না, কারণ S3 তোমার VPC-র ভেতরে নেই। Public VIF ব্যবহার করো, অথবা VPC-তে একটা S3 interface endpoint বসাও আর private VIF দিয়ে সেখানে যাও (লেসন ১০.১০, লেসন ২২.২)। Gateway endpoint on-premises থেকে কখনো কাজ করে না।
• Public VIF মানে internet connection না। AWS তোমাকে সেখান থেকে internet-এ নিয়ে যায় না, আর তোমার prefix অন্য customer-দের কাছে আবার advertise-ও করে না। তবে সে তার সব public prefix, প্রতিটা Region-এর, BGP community-র tag লাগিয়ে জানায়; সব না চাইলে নিজের router-এ filter করো (যেমন শুধু 7224:8100, অর্থাৎ local Region, নাও), নইলে AWS-এর দিকের সব traffic line-এ চলে আসবে।
• প্রতি VPC-তে একটা VGW, কিন্তু একটা connection location-এর Region-এর কয়েকটা VGW-তে কয়েকটা private VIF বহন করতে পারে।
• Hosted VIF: dedicated connection-এর মালিক একটা VIF বানিয়ে অন্য account-কে দিয়ে দিতে পারে (যেমন একটা network account একটা application account-কে সেবা দিচ্ছে)।
• Hybrid DNS একই VIF দিয়ে চলে: on-premises server Route 53 Resolver inbound endpoint দিয়ে AWS-এর private নাম resolve করে, আর VPC outbound endpoint দিয়ে on-premises-এর নাম (লেসন ৮.৫)।

#Direct Connect gateway

#এটা কোন সমস্যার সমাধান

এমনিতে একটা private VIF শেষ হয় একটা VGW-তে, আর সেই VGW-কে Direct Connect location-এর associated Region-এ থাকতে হয়। কোনো কোম্পানির VPC যদি Mumbai, Singapore আর Frankfurt-এ থাকে, তাহলে তিনটা location-এ line লাগত, বা অন্তত তিন সেট VIF সামলাতে হতো।

Direct Connect gateway (DXGW) একটা global জিনিস। তুমি একবার একটা private VIF (বা একটা transit VIF) এর সাথে জোড়ো, তারপর এটাকে China Region বাদে যেকোনো AWS Region-এর VGW (২০টা পর্যন্ত) বা transit gateway (৬টা পর্যন্ত)-এর সাথে associate করো, নিজের account-এ বা অন্য account-এ। একটা VIF, একটা BGP session, আর data centre associate করা প্রতিটা VPC-র prefix শিখে নেয়।

#এটা যা করবে না

• VPC থেকে VPC-তে routing না। Gateway on-premises-কে VPC-র সাথে জোড়ে। একই gateway-র association-রা একে অপরকে traffic পাঠাতে পারে না: VPC A এটা দিয়ে VPC B-তে যেতে পারে না। VPC peering (২২.১) বা transit gateway (২২.৬) ব্যবহার করো। একটা বিশেষ ক্ষেত্র: on-premises থেকে যদি 10.0.0.0/8-এর মতো এমন একটা supernet advertise করো যেটা VPC-গুলোকে ঢেকে ফেলে, তাহলে packet Direct Connect location ঘুরে ফিরে এসে VPC-গুলো একে অপরের কাছে পৌঁছে যেতে পারে; আলাদা রাখতে হলে নির্দিষ্ট prefix advertise করো (আর security group ব্যবহার করো)।
• Prefix overlap না। এর association-গুলোর allowed prefix overlap করতে পারবে না; আগে address-এর পরিকল্পনা করো (লেসন ৩.১)।
• Data পথের কোনো যন্ত্র না। এটা traffic-এর পথের বাইরে বসা BGP route reflector-এর একটা সেট, নকশাতেই highly available: resilience-এর জন্য কখনো দ্বিতীয়টা বসাতে হয় না।

#অন্য account থেকে, আর transit gateway-র সাথে

• অন্য account: VGW বা transit gateway-র মালিক একটা association proposal পাঠায়; gateway-র মালিক সেটা accept করে, আর চাইলে allowed prefix ছোট করে দিতে পারে।
• Transit gateway-র সাথে: gateway-তে একটা transit VIF জোড়ো আর gateway-কে transit gateway-র সাথে associate করো। তাহলে transit gateway-তে attach করা প্রতিটা VPC একটা VIF দিয়েই পৌঁছানো যায়। Transit gateway-টা AWS RAM দিয়ে অন্য account-এর সাথে share করো (লেসন ২০.১), একটা line পুরো প্রতিষ্ঠানকে সেবা দেবে। পুরো নকশাটা আছে লেসন ২২.৬-এ।

#Encryption: private মানে encrypted না

Notes এটাকেই সবচেয়ে বড় ফাঁদ বলেছে। মানুষ “private dedicated line” শুনে ধরে নেয় এটা encrypted। মোটেও না। Direct Connect-এর traffic তোমার fibre, partner-এর circuit আর cross-connect দিয়ে খোলা লেখা হিসেবে যায়। Fibre বা patch panel-এ tap বসাতে পারা যে কেউ সেটা পড়তে পারে। (AWS-এর ভেতরে Direct Connect location আর Region-এর মধ্যের traffic AWS physical layer-এ encrypt করে, কিন্তু AWS-এর বাইরের অংশগুলো এতে ঢাকা পড়ে না।)

Encrypt করার দুটো উপায়:

#Resiliency: কাটা cable-এর কথা মাথায় রেখে নকশা

Direct Connect connection একটা physical জিনিস। ইঁদুর cable কাটে, এয়ারপোর্ট রোডে ড্রেন খুঁড়তে গিয়ে excavator fibre কেটে দেয়, AWS-এর একটা router নষ্ট হয়, colocation building-এর বিদ্যুৎ যায় বা পানি ঢোকে। একটা মাত্র connection মানে একটা single point of failure। AWS তিনটা resiliency model-এর কথা বলে (console-এর Direct Connect Resiliency Toolkit এগুলো তোমার হয়ে অর্ডার করে দেয়):

ক্লিক করে করে নিজে দেখো:

Lab-টা যা দেখায় খেয়াল করো: high resiliency একটা location হারালেও টেকে, কিন্তু তখন অর্ধেক bandwidth-এ, কোনো বাড়তি ছাড়া চলে; maximum resiliency পুরো একটা location হারানোর পরেও আলাদা device-এ দুটো connection ধরে রাখে। এজন্যই প্রশ্নে “mission critical” বা “maximum resiliency” দেখলে উত্তর দুটো location আর চারটা connection।

#Backup হিসেবে Site-to-Site VPN

Maximum resiliency মানে চারটা port, চারটা cross-connect আর দুটো partner। Direct Connect-কে highly available করার সবচেয়ে কম খরচের উপায় হলো backup হিসেবে internet-এর ওপর একটা Site-to-Site VPN: সাধারণত traffic যায় Direct Connect দিয়ে, সেটা নষ্ট হলে VPN দায়িত্ব নেয়। দুটোতেই BGP চলে, তাই failover নিজে থেকেই হয়। উত্তর দিতে হয় শুধু দুটো প্রশ্নের: দুটো চালু থাকলে কোন পথ জেতে, আর কোন দিকে?

#AWS থেকে তোমার network-এ: সিদ্ধান্ত AWS-এর

AWS থেকে তোমার data centre-এর দিকে যাওয়া traffic-এর জন্য VGW (বা transit gateway) তার শেখা route-গুলোর মধ্যে বাছাই করে:

1. আগে longest prefix match: একটা /24 একটা /16-কে হারায়, সেটা যে link দিয়েই আসুক।
2. Prefix একই হলে VGW Direct Connect দিয়ে শেখা route-কে static VPN route-এর চেয়ে, আর সেগুলোকে BGP দিয়ে শেখা VPN route-এর চেয়ে বেশি পছন্দ করে। Transit gateway-ও VPN route-এর আগে Direct Connect gateway-এর route রাখে।
3. কয়েকটা VPN connection-এর মধ্যে জেতে ছোট AS path, তারপর কম MED। কয়েকটা Direct Connect VIF-এর মধ্যে local preference BGP community দিয়ে পথ ঠিক করা যায় (7224:7100 কম, 7224:7200 মাঝারি, 7224:7300 বেশি), যেটা AS path-এর আগে দেখা হয়।

তাই একই prefix-এ AWS এমনিতেই Direct Connect পছন্দ করে, তোমাকে কিছু করতে হয় না। তোমার কাজ শুধু VPN দিয়ে বেশি নির্দিষ্ট prefix advertise না করা, নইলে নিয়ম ১ অনুযায়ী VPN জিতে যাবে।

#তোমার network থেকে AWS-এ: সিদ্ধান্ত তোমার router-এর

তোমার data centre থেকে বেরোনো traffic-এর জন্য তোমার router VPC-র prefix দুবার শিখেছে, Direct Connect দিয়ে আর VPN দিয়ে। সাধারণ BGP সিদ্ধান্ত নেয়, আর নিয়ন্ত্রণ তোমার হাতে:

• Local preference (আগে দেখা হয়): Direct Connect দিয়ে শেখা route-এ বেশি মান দাও, ধরো ২০০। এটাই প্রস্তাবিত উপায়।
• AS path prepending (পরে দেখা হয়): VPN-এর পথকে লম্বা দেখাও, যেমন VPN দিয়ে শেখা route-এ নিজের ASN কয়েকবার prepend করে, যাতে router Direct Connect-কে শর্টকাট মনে করে।

Animation থেকে আরও দুটো কথা:

• দুই দিকের traffic একই পথে রাখো। Request যদি Direct Connect দিয়ে বেরোয় আর reply VPN দিয়ে ফেরে, তোমার data centre-এর stateful firewall reply-গুলো ফেলে দেয়। দুই link-এ একই prefix advertise করো, আর দুই দিকেই preference ঠিক করো।
• ব্যর্থতা দ্রুত ধরো। BFD ছাড়া BGP Direct Connect-কে মৃত ঘোষণা করার আগে তার ৯০ সেকেন্ডের hold timer পর্যন্ত অপেক্ষা করে। BFD (default ৩০০ ms × ৩) দিয়ে failover হয় প্রায় এক সেকেন্ডে।

Backup VPN একটা লাইফবোট: internet-এর ওপর tunnel-প্রতি প্রায় ১.২৫ Gbps, internet-এর latency সহ। VGW একবারে একটা tunnel ব্যবহার করে; transit gateway-তে ECMP দিয়ে কয়েকটা VPN connection যোগ হয় (লেসন ২২.৬)। Outage-এর সময় এতে ব্যবসা না চললে বরং দ্বিতীয় একটা Direct Connect connection কেনো।

#খরচ কত

Direct Connect-এর দুটো প্রধান খরচ, সাথে partner-এর নিজের বিল:

• Port-ঘণ্টা: port যতক্ষণ provision করা থাকে, প্রতি ঘণ্টার জন্য, traffic চলুক বা না চলুক। বেশিরভাগ location-এ দামের উদাহরণ: dedicated ১ Gbps $০.৩০/ঘণ্টা, ১০ Gbps $২.২৫/ঘণ্টা, ১০০ Gbps $২২.৫০/ঘণ্টা, ৪০০ Gbps $৮৫/ঘণ্টা; hosted ৫০ Mbps $০.০৩, ৫০০ Mbps $০.২০, ১ Gbps $০.৩৩, ১০ Gbps $২.৪৮ ঘণ্টাপ্রতি।
• বাইরে যাওয়া data transfer: Direct Connect দিয়ে AWS থেকে বেরোনো ডেটা, GB-প্রতি, উৎস Region আর Direct Connect location অনুযায়ী। উদাহরণ: US Region থেকে US location-এ প্রায় $০.০২/GB, Mumbai (ap-south-1) থেকে India-র একটা location-এ $০.০৪৫/GB। ap-south-1 থেকে internet-এ বাইরে যাওয়া ডেটার দাম শুরু হয় প্রায় $০.১০৯৩/GB থেকে।
• ঢোকা data transfer ফ্রি।
• MACsec-এর জন্য বাড়তি খরচ নেই। SiteLink-এ VIF-প্রতি ঘণ্টার ভাড়া আর নিজের GB-প্রতি হার আছে।

হিসাবের উদাহরণ: ap-south-1-এর একটা analytics platform প্রতি মাসে ৪০ TB ব্যাংকের data centre-এ ফেরত পাঠায়।

প্রতি রাতে AWS-এ ঢোকা ৫ TB-এর জন্য কোনো পথেই খরচ নেই। Direct Connect নিজের খরচ তোলে ভারী বাইরে যাওয়া traffic, স্থির performance আর compliance থেকে, ভেতরে upload থেকে না। দাম Region আর location অনুযায়ী বদলায়: Direct Connect-এর pricing page দেখে নাও (উদাহরণের দাম নভেম্বর ২০২৬-এ যাচাই করা)। পুরো chapter-এর খরচের ছবি আছে লেসন ২২.৮-এ।

#নকশা বেছে নেওয়া

1. Bandwidth আর সময়সীমা

   ১ Gbps-এর নিচে → hosted। ১ Gbps আর তার বেশি → dedicated (বা যোগ্য partner-এর কাছ থেকে hosted ১–২৫ Gbps)। এই সপ্তাহেই লাগবে → এখনই Site-to-Site VPN দিয়ে শুরু করো, Direct Connect অর্ডার দাও, পরে VPN-টাকে backup বানাও।

2. কোথায় পৌঁছাতে হবে

   একটা VPC → তার VGW-তে private VIF। কয়েকটা Region বা account-এ VPC → একটা Direct Connect gateway-তে private VIF। অনেক VPC → transit VIF + Direct Connect gateway + transit gateway, RAM দিয়ে share করা। S3 আর public service → public VIF, বা private VIF দিয়ে একটা interface endpoint।

3. Encryption

   লাগলে → Direct Connect-এর ওপর IPsec VPN (প্রচলিত), বা পুরো গতি দরকার হলে সমর্থিত location-এ dedicated ১০/১০০/৪০০ Gbps-এ MACsec।

4. ব্যর্থতা

   Mission critical → maximum resiliency (২টা location × ২)। জরুরি → high resiliency (২টা location × ১), বা খরচ সবচেয়ে বড় ব্যাপার হলে একটা connection আর একটা VPN backup। Dev আর test → এক location-এ দুটো connection, বা একটা আর VPN।

#কোথায় ভুল হয়

• “আমাদের Direct Connect আছে, তাই এটা encrypted।” না। Audit-এ আটকে যায়। Direct Connect-এর ওপর IPsec বা MACsec যোগ করো।
• Link চালু, কিন্তু কিছুই চলে না। এখনো কোনো virtual interface নেই, VIF-এর VLAN বা BGP ASN router-এর সাথে মেলে না, বা ১০০-র বেশি prefix advertise করায় BGP idle।
• On-premises থেকে privately S3-তে যাওয়া যায় না। কেউ শুধু gateway endpoint বানিয়েছে, বা private VIF দিয়ে S3-তে যেতে চেয়েছে। Interface endpoint বা public VIF ব্যবহার করো।
• Direct Connect ঠিক থাকতেও traffic VPN দিয়ে যায়। VPN দিয়ে বেশি নির্দিষ্ট prefix advertise করা হয়েছে, বা তোমার router-এ local preference নেই আর tie-break-এ সে VPN বেছেছে।
• Failover বা ফিরে আসার পর reply ফেলে দেওয়া হয়। Stateful firewall-এর ভেতর দিয়ে দুই দিকের পথ আলাদা: দুই দিকেই preference দাও আর দুই link-এ একই prefix advertise করো।
• Failover-এ ৯০ সেকেন্ড লাগে। তোমার router-এ BFD চালু নেই।
• পুরো একটা location নষ্ট হলো আর সব বন্ধ। দুটো connection, বা একটা LAG, একই building-এ ছিল। LAG bandwidth বাড়ায়, location-এর resilience না।
• On-premises 10.0.0.0/8 advertise করা শুরু করার পর VPC A “Direct Connect gateway দিয়ে” VPC B-তে পৌঁছে যায়, অথবা কেউ ভেবেছিল gateway এদের মধ্যে route করবে, অথচ একদমই পৌঁছায় না।
• একটা association ব্যর্থ হয়, কারণ একই gateway-র দুটো VPC একই CIDR ব্যবহার করে।
• Public VIF line-এ অনেক বেশি traffic টেনে আনে: AWS তার সব public prefix জানায়, আর filter না করলে AWS-এর দিকের প্রতিটা flow, অন্য Region-এরটাও, private line-কে বেশি পছন্দ করে।
• Building cross-connect লাগানোর আগেই LOA-CFA-র মেয়াদ শেষ: নতুন একটা download করো।
• ব্যস্ত সময়ে hosted connection packet ফেলে দেয়: AWS কেনা হারে এটাকে police করে।

#System design-এ কীভাবে ব্যবহার হয়

• Hybrid core: data centre-এ database, AWS-এ application server, VPN backup আর BFD সহ Direct Connect দিয়ে জোড়া, তাই application একটাই network দেখে।
• Landing zone networking: একটা কেন্দ্রীয় network account Direct Connect connection, একটা Direct Connect gateway আর RAM দিয়ে share করা একটা transit gateway-র মালিক; application account-গুলো শুধু নিজেদের VPC attach করে (লেসন ২২.৬)।
• Data platform: on-premises-এর producer-রা private VIF আর S3 interface endpoint দিয়ে AWS-এ stream করে, বা বড় upload-এর জন্য public VIF ব্যবহার করে; Direct Connect-এর বাইরে যাওয়া ডেটার কম হার ফলাফল ফেরত আনাকে সাধ্যের মধ্যে রাখে।
• নিয়ন্ত্রিত শিল্প: ব্যাংক আর হাসপাতাল maximum resiliency, encryption (IPsec বা MACsec) আর TLS ব্যবহার করে, আর নিয়ম করে failover পরীক্ষা করে।
• Migration: প্রথম দিন VPN, Direct Connect এলে সেটা, আর line তখনো ধীর হলে প্রথম বড় কপির জন্য Snowball (লেসন ২৩.৫)।

#নিজে করে দেখো

Direct Connect port provision হওয়ার মুহূর্ত থেকেই টাকা লাগে, আর সত্যিকারের cross-connect লাগে, তাই বেশিরভাগ পাঠক শুধু read-only command-গুলো চালাবে। Script-এ কখনো আসল authentication key লিখো না।

# 1. Where can I connect? (location codes, names, available port speeds)
aws directconnect describe-locations --region ap-south-1 \
  --query "locations[].[locationCode,locationName,availablePortSpeeds]" --output table

# 2. Request a 10 Gbps dedicated port at a location, with MACsec capability
aws directconnect create-connection --location <location-code> \
  --bandwidth 10Gbps --connection-name dhaka-dx-1 --request-mac-sec

# 3. Download the LOA-CFA for the building operator (base64 PDF in the output)
aws directconnect describe-loa --connection-id dxcon-fg5678gh

# 4. A Direct Connect gateway with the Amazon-side ASN
aws directconnect create-direct-connect-gateway \
  --direct-connect-gateway-name telco-dxgw --amazon-side-asn 64512

# 5. A private VIF on VLAN 101 to that gateway
aws directconnect create-private-virtual-interface --connection-id dxcon-fg5678gh \
  --new-private-virtual-interface '{"virtualInterfaceName":"prod-private","vlan":101,
    "asn":65010,"authKey":"<bgp-auth-key>","addressFamily":"ipv4",
    "directConnectGatewayId":"5f294f92-bafb-4011-916d-9b0bexample","mtu":9001}'

# 6. A transit VIF on VLAN 201 for the transit gateway design
aws directconnect create-transit-virtual-interface --connection-id dxcon-fg5678gh \
  --new-transit-virtual-interface '{"virtualInterfaceName":"tgw-transit","vlan":201,
    "asn":65010,"addressFamily":"ipv4",
    "directConnectGatewayId":"5f294f92-bafb-4011-916d-9b0bexample","mtu":8500}'

# 7. Associate a VGW in another Region with the gateway, limiting what is advertised
aws directconnect create-direct-connect-gateway-association \
  --direct-connect-gateway-id 5f294f92-bafb-4011-916d-9b0bexample \
  --gateway-id vgw-0a1b2c3d4e5f67890 \
  --add-allowed-prefixes-to-direct-connect-gateway cidr=10.2.0.0/16

# 8. Bundle two ports into a LAG (same speed, same location)
aws directconnect create-lag --number-of-connections 2 --location <location-code> \
  --connections-bandwidth 10Gbps --lag-name dhaka-lag

# 9. Check the VIFs and their BGP state
aws directconnect describe-virtual-interfaces \
  --query "virtualInterfaces[].[virtualInterfaceName,virtualInterfaceType,vlan,virtualInterfaceState,bgpPeers[0].bgpStatus]" \
  --output table

# 10. Failover test: take one VIF's BGP down for 10 minutes
aws directconnect start-bgp-failover-test \
  --virtual-interface-id dxvif-ffabc123 --test-duration-in-minutes 10

সব ঠিক থাকলে ৯ নম্বর ধাপের output:

-----------------------------------------------------------------
|                  DescribeVirtualInterfaces                    |
+---------------+----------+------+------------+---------------+
|  prod-private |  private |  101 |  available |  up           |
|  s3-public    |  public  |  102 |  available |  up           |
|  tgw-transit  |  transit |  201 |  available |  up           |
+---------------+----------+------+------------+---------------+

Router-এ দেখে নাও BGP দুটো পথই দেখছে কি না, আর কোনটা জিতছে (Cisco-ধাঁচের syntax):

router# show ip bgp 10.20.0.0/16
  Paths: (2 available, best #1)
  64512 via 169.254.10.1 (Direct Connect)  localpref 200  best
  64512 via 169.254.44.5 (VPN tunnel 1)     localpref 100
router# show bfd neighbors
  169.254.10.1   Up   300 ms x 3

একটা instance থেকে mtr -rwc 20 172.16.5.20 চালালে virtual private gateway হয়ে একটা ছোট, স্থির পথ দেখা উচিত, প্রতিবার একই latency সহ; failover test-এর সময় আবার চালাও, দেখবে পথ আর latency VPN-এর দিকে বদলে গেছে।

#সারসংক্ষেপ

মূল কথা

• Direct Connect: তোমার network থেকে একটা Direct Connect location হয়ে AWS পর্যন্ত একটা নিজস্ব private connection (তোমার বা partner-এর cage থেকে AWS-এর cage পর্যন্ত cross-connect)। স্থির bandwidth আর latency, বাইরে যাওয়া ডেটার কম দাম, IPv4 আর IPv6, internet দিয়ে না, কিন্তু চালু হতে প্রায়ই এক মাসের বেশি।
• Dedicated: ১, ১০, ১০০, ৪০০ Gbps port, AWS-এর কাছ থেকে নেওয়া (LOA-CFA, ৯০ দিন), ৫০টা পর্যন্ত private/public VIF + ৪টা transit VIF, speed কখনো বদলায় না, MACsec আর LAG চলে। Hosted: partner-এর কাছ থেকে ৫০ Mbps–২৫ Gbps, একটাই VIF, speed শুধু partner বদলাতে পারে, MACsec নেই। ১ Gbps-এর নিচে → hosted।
• LAG: এক location-এ একই speed-এর ৪টা পর্যন্ত dedicated connection (১০০/৪০০ Gbps-এ ২টা), active/active, minimum links: bandwidth বাড়ায়, location-এর resilience না।
• VIF মানে BGP সহ VLAN: private → VPC-র private IP (VGW বা DXGW), public → S3-এর মতো AWS public endpoint, সব Region-এ (internet না), transit → DXGW হয়ে transit gateway। Private/transit VIF-এ ১০০-র বেশি prefix দিলে BGP idle।
• Direct Connect gateway: global, একটা VIF দিয়ে অনেক Region (China না) আর account-এর VPC-তে, ২০টা পর্যন্ত VGW বা ৬টা transit gateway, VPC থেকে VPC-তে routing নেই, prefix overlap চলবে না, নকশাতেই highly available।
• Default হিসেবে encrypted না। প্রচলিত সমাধান: Direct Connect-এর ওপর IPsec VPN (tunnel-প্রতি ~১.২৫ Gbps)। পুরো গতির সমাধান: সমর্থিত location-এ dedicated ১০/১০০/৪০০ Gbps-এ MACsec।
• Resiliency: dev/test (১টা location, ২টা connection), high (২টা location × ১), maximum (২টা location × ২ = ৪, mission critical)।
• সবচেয়ে সস্তা backup: Site-to-Site VPN। AWS → তুমি: longest prefix, তারপর একই prefix-এ VPN-এর আগে Direct Connect। তুমি → AWS: local preference (বা VPN-এ AS path prepending)। দুই link-এ একই prefix, দ্রুত failover-এর জন্য BFD।
• খরচ: port-ঘণ্টা + Direct Connect-এর হারে বাইরে যাওয়া data transfer; ঢোকা ডেটা ফ্রি।

নিজেকে যাচাই করো: AWS Direct Connect৩০টি প্রশ্ন