NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がるネットワークアーキテクチャ

NW-JAWS x Tech-on勉強会
AWS Transit Gateway で広がる
ネットワークアーキテクチャ
Kikuchi Shuji

スライドは後で⼊⼿することが出来ますので
発表中の内容をメモする必要はありません。
写真撮影をする場合は
フラッシュ・シャッター⾳が出ないようにご配慮ください
Attention

3⾃⼰紹介
菊池修治
クラスメソッド株式会社
AWS事業本部コンサルティング部
Senior Solutions Architect
AWS認定全11種取得
Japan APN Ambassador 2019
SIer → ⾃動⾞メーカー → クラスメソッド

4
本⽇のテーマ
Transit Gateway

5本⽇のテーマ
• Transit Gateway（TGW）

6本⽇のテーマ
• Transit Gateway（TGW）
従来のゲートウェイのサービス
• Virtual Private Gateway（VGW）
• Internet Gateway（IGW）
• VPC Peering（PCX）
• VPC Endpoint（GW型︓S3, DyanamoDB Gateway）

7従来のGWサービスとの違い
Transit Gatewayの特徴
• ハブ型のトポロジーが組める
• ルーティングが設定可能
• ENIでVPCに接続する

設定可能な宛先は限定的
Inboundは宛先がVPC CIDRの範囲しかルーティングできない
9従来のGWサービスのルーティング
サービス Inboundの宛先 Outboundの宛先
VIrtual Private
Gateway
（VGW）
アタッチしたVPC CIDR
（⼀部編集可能）
スタティックルート（VPN）
BGPで学習したルート
（VPN/DX）
Internet Gateway
（IGW）
アタッチしたVPC CIDR
（⼀部編集可能）
0.0.0.0/0
（デフォルトルート）
VPC Peering
（PCX）
アタッチしたVPC CIDR ピア接続先VPC CIDR
VPC Endpoint
（GW型）
アタッチしたVPC CIDR 対象サービス
（S3/DynamoDB）

re:Invent 2019 でのアップデート
VGW/IGWにルートテーブルをアタッチ可能に
ただし、設定可能な宛先はVPC CIDRの範囲内
あくまで限定的な⽤途
• IPS/IDSなどによるInboundパケットの検査など
• https://dev.classmethod.jp/cloud/aws/reinvent2019-vpc-ingress-routing/
10参考︓VPC Ingress Routing

12Transit Gaterwayなら実現できる
https://dev.classmethod.jp/cloud/aws/full-managed-s3-access-with-transit-gateway/

13よくあるやつ
「S3をクローズドネットワーク経由で使いたい」
前提・制約
• できればマネージドサービスだけで
• DirectConnect パブリック接続は敷居⾼い
• S3のCIDRはわかる
https://ip-ranges.amazonaws.com/ip-ranges.json

16Before Transit Gateway
宛先 Target
S3のCIDR VPN Tunnel
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 VPC
10.10.10.0/16 Customer Router
宛先 Target
10.255.0.0/16 Local
S3のCIDR VPC Endpoint
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先としてS3のCIDR
を知らないので
ルーティング不可能

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先としてS3のCIDR
宛先としてDCのCIDR

19
Inboundルートが編集できないので
マネージドサービスだけでは
実現できない

After Transit Gateway 22
宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 Local
10.10.10.0/16 Transit Gateway
S3のCIDR NAT Gateway
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
VPC内へルーティング可能
NAT GWへルーティング

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
SourceIPをNAT GWの
PrivateIPにNAT

26Transit Gatewayなら
ルーティングが書ける
• VPC以外の任意の宛先をルーティングできる
ENIでVPCに接続する
• VPCに⼊ったトラフィックがENIのあるサブネット
のルートテーブルを参照する

28注意事項
• VPC Endpoint経由でアクセスできるのはVPC
と同⼀リージョンに作成されたS3バケットのみ
（他はIGWにルーティングされる）
• S3のIPレンジは変更される可能性あり

30
https://classmethod.jp/m/reinvent/

NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がるネットワークアーキテクチャ

NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がるネットワークアーキテクチャ

More Related Content

What's hot (20)

Similar to NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がるネットワークアーキテクチャ (20)

More from Shuji Kikuchi (20)