解决方案架构图

架构说明：

1.产品服务区域部署在AWS- ap-northeast-1区域，分布在不同的私有子网/公有子网中；使用不同的EC2机型如如r5.2xlarge作为SDWAN client和测试EC2使用，部署Workspace作为跳板机使用；

2.标准三层式架构，分为公有子网和私有子网，workspace放到私有子网中，SDWAN client访问公共子网中，中间通过安全组做EC2的安全控制；

3.Ap-northeast-1作为海外的中心节点，cn-west-1和 ap-northeast-1通过 SDWAN进行互联，静态路由通过EC2的网络接口进行转发，Ap-northeast-1和us-west-1,af-south-1通过TGW peering 进行互联；

4.af-south-1通过site-to-site vpn 和线下办公室的飞塔防火墙（forti 200E）进行互联，通过 TGW peering走AWS骨干访问Ap-northeast-1；

5.us-west-1配置Client VPN供其他移动办公人员使用，us-west-1通过site-to-site vpn 和线下办公室的飞塔防火墙（forti 200D）进行互联，通过 TGW peering走AWS骨干访问Ap-northeast-1；

6.安全设计：通过角色管理IAM用户权限，可以安全地管理对AWS的服务和资源的访问，会为每个IAM用户开启MFA和相关的CloudTrail监控服务；通过跳板机来管理EC2等服务。