狠狠撸

NW-JAWS x Tech-on勉強会
AWS Transit Gateway で広がる
ネットワークアーキテクチャ
Kikuchi Shuji

スライドは後で??することが出来ますので
発表中の内容をメモする必要はありません。
写真撮影をする場合は
フラッシュ?シャッター?が出ないようにご配慮ください
Attention

3??紹介
菊池修治
クラスメソッド株式会社
AWS事業本部コンサルティング部
Senior Solutions Architect
AWS認定全11種取得
Japan APN Ambassador 2019
SIer → ?動?メーカー → クラスメソッド

4
本?のテーマ
Transit Gateway

5本?のテーマ
? Transit Gateway（TGW）

6本?のテーマ
? Transit Gateway（TGW）
従来のゲートウェイのサービス
? Virtual Private Gateway（VGW）
? Internet Gateway（IGW）
? VPC Peering（PCX）
? VPC Endpoint（GW型?S3, DyanamoDB Gateway）

7従来のGWサービスとの違い
Transit Gatewayの特徴
? ハブ型のトポロジーが組める
? ルーティングが設定可能
? ENIでVPCに接続する

設定可能な宛先は限定的
Inboundは宛先がVPC CIDRの範囲しかルーティングできない
9従来のGWサービスのルーティング
サービス Inboundの宛先 Outboundの宛先
VIrtual Private
Gateway
（VGW）
アタッチしたVPC CIDR
（?部編集可能）
スタティックルート（VPN）
BGPで学習したルート
（VPN/DX）
Internet Gateway
（IGW）
アタッチしたVPC CIDR
（?部編集可能）
0.0.0.0/0
（デフォルトルート）
VPC Peering
（PCX）
アタッチしたVPC CIDR ピア接続先VPC CIDR
VPC Endpoint
（GW型）
アタッチしたVPC CIDR 対象サービス
（S3/DynamoDB）

re:Invent 2019 でのアップデート
VGW/IGWにルートテーブルをアタッチ可能に
ただし、設定可能な宛先はVPC CIDRの範囲内
あくまで限定的な?途
? IPS/IDSなどによるInboundパケットの検査など
? https://dev.classmethod.jp/cloud/aws/reinvent2019-vpc-ingress-routing/
10参考?VPC Ingress Routing

12Transit Gaterwayなら実現できる
https://dev.classmethod.jp/cloud/aws/full-managed-s3-access-with-transit-gateway/

13よくあるやつ
「S3をクローズドネットワーク経由で使いたい」
前提?制約
? できればマネージドサービスだけで
? DirectConnect パブリック接続は敷居?い
? S3のCIDRはわかる
https://ip-ranges.amazonaws.com/ip-ranges.json

16Before Transit Gateway
宛先 Target
S3のCIDR VPN Tunnel
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 VPC
10.10.10.0/16 Customer Router
宛先 Target
10.255.0.0/16 Local
S3のCIDR VPC Endpoint
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先としてS3のCIDR
を知らないので
ルーティング不可能

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先としてS3のCIDR
宛先としてDCのCIDR

19
Inboundルートが編集できないので
マネージドサービスだけでは
実現できない

After Transit Gateway 22
宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 Local
10.10.10.0/16 Transit Gateway
S3のCIDR NAT Gateway
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
VPC内へルーティング可能
NAT GWへルーティング

宛先 Target
10.255.0.0/16 VPN Tunnel
宛先 Target
10.255.0.0/16 Local
宛先 Target
S3のCIDR S3
10.255.0.0/16 VPC
宛先 Target
10.255.0.0/16 Local
SourceIPをNAT GWの
PrivateIPにNAT

26Transit Gatewayなら
ルーティングが書ける
? VPC以外の任意の宛先をルーティングできる
ENIでVPCに接続する
? VPCに?ったトラフィックがENIのあるサブネット
のルートテーブルを参照する

28注意事項
? VPC Endpoint経由でアクセスできるのはVPC
と同?リージョンに作成されたS3バケットのみ
（他はIGWにルーティングされる）
? 厂3の滨笔レンジは変更される可能性あり

30
https://classmethod.jp/m/reinvent/

NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がるネットワークアーキテクチャ

狠狠撸

NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がる ネットワークアーキテクチャ

More Related Content

NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がる ネットワークアーキテクチャ

NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がるネットワークアーキテクチャ

NW-JAWS x Tech-on勉強会：AWS Transit Gateway で広がるネットワークアーキテクチャ