オンプレとAWSをつなぐVPNとルーティング

オンプレとAWSをつなぐVPNとルーティング

• 1.
  Kyusyu Infrastructure eXchangeStudy https://www.facebook.com/groups/228512457541776/ KIXS.Vol.000 オンプレとAWSをつなぐ VPNとルーティング 髙⽥ 知典
• 2.
  Kyusyu Infrastructure eXchangeStudy ⾃⼰紹介 たかだ とものり l @to_takada l 株式会社サーバーワークス 福岡オフィス所属 l 保有資格 l ポケモンGO トレーナーLv.22（⾮課⾦） 1
• 3.
  Kyusyu Infrastructure eXchangeStudy 2 オンプレミスとAWSをつなぎ隊 vpn MODEL firewall MODEL server MODEL DMZ 198.51.100.0/24 Trust 192.168.1.0/24 server MODEL Server-subnet 172.16.0.0/24 Elastic Load Balancing instances Amazon RDS Databese-subnet 172.16.1.0/24 独⽴した論理ネットワークの単位 プライベートIPアドレスで /28 および/16 の範囲でCIDR定義が可能
• 4.
  Kyusyu Infrastructure eXchangeStudy 3 オンプレミスとAWSの接続 l 3つの接続⽅法 l インターネットVPN接続（IPsec） l AWS Direct Connectを使った専⽤線接続 l EC2インスタンス（仮想マシン）上にVPNソ フトウェアを動作させる
• 5.
  Kyusyu Infrastructure eXchangeStudy 4 インターネットVPN接続の構成例（シングル構成） • トンネルモード • AES128bit • ２本のVPNコネクション • ルーティング • BGP or 静的 • 1つのVPCあたり1つ • 単⼀障害点や帯域のボトルネック は存在しない • データセンター側のルータ/FW • 暗号化処理前のフラグメントが必須 • IPsec Dead peer Detectionの利⽤ が推奨 出典： https://d0.awsstatic.com/webinars/jp/pdf/services/20150415_AWS- BlackBelt-VPC_public.pdf 38ページ
• 6.
  Kyusyu Infrastructure eXchangeStudy 5 CGWとして使⽤できるルーター 出典： https://aws.amazon.com/jp/vpc/faqs/#C9
• 7.
  Kyusyu Infrastructure eXchangeStudy 6 ２本のVPNのコネクションの使われ⽅ customer gateway router VPN gateway router • オンプレミス側からAWS側への通信は正常時、⽚⽅のコネクションに寄る • VPN gateway側から、MED値により優先経路が通知されている模様（マニュア ル等に記載はないが。。。） • AWS側からオンプレミス側への通信の制御する場合は、後述の⽅法をとる。 • 同⼀物理回線上のコネクションなので、どちらが使われても問題ない BGP ASN:65000 BGP ASN:10124 VPN connection VPN connection
• 8.
  Kyusyu Infrastructure eXchangeStudy 7 出典： https://d0.awsstatic.com/webinars/jp/pdf/services/20150415_AWS- BlackBelt-VPC_public.pdf 39ページ インターネットVPN接続の構成例（冗⻑構成）
• 9.
  Kyusyu Infrastructure eXchangeStudy 8 Customer gatewayを冗⻑化した場合の経路選択 customer gateway router VPN gateway router BGP ASN:65000BGP ASN:10124 customer gateway VPN connection VPN connection VPN connection VPN connection ⾚と⻘の物理回線速度が異なる場合など、優先的に使⽤ する経路を選択したい 1000Mbps 100Mbps
• 10.
  Kyusyu Infrastructure eXchangeStudy 9 冗⻑化構成の場合の経路選択（オンプレ→AWS） customer gateway router VPN gateway router BGP ASN:65000BGP ASN:10124 customer gateway VPN connection VPN connection VPN connection VRRP Customer gatewayで採⽤している冗⻑化⽅式／ルーティング⽅式次第 （下図はVRRP） Active Passive MED値:100 MED値:200 ①到達ルータ ② MED値に よる経路 選択 1000Mbps 100Mbps
• 11.
  Kyusyu Infrastructure eXchangeStudy 10 冗⻑構成の場合の経路選択(AWS→オンプレ) 1. ロンゲストマッチ 2. スタティックルート 3. AS-PATH 4. PATHのORIGIN 5. ルーターID（最⼩） 6. BGPピアのIPアドレス（最⼩） 参考） http://docs.aws.amazon.com/ja_jp/AmazonVPC/latest/NetworkAdminGuid e/Introduction.html AS-PATH:65000,65000 1000Mbps 100Mbps
• 12.
  Kyusyu Infrastructure eXchangeStudy 11
• 13.
  Kyusyu Infrastructure eXchangeStudy 12 素朴な疑問 Customer Gatewayで設定した ねずっち MED値で制御できないのか？ MED値:200 MED値:100
• 14.
  Kyusyu Infrastructure eXchangeStudy 13 答え できるっぽいが、サポート対象外っぽいです。
• 15.
  Kyusyu Infrastructure eXchangeStudy 14 まとめ • AWSとオンプレミスとは、インターネットVPN を使って⽐較的⼿軽に接続することができます。 • AWS側からオンプレミス側への通信経路選択に は、AS-PATHを使うとよいです。 • オンプレミス側からAWS側への通信経路選択は、 Customer Gatewayの構成内容にもよりますが、 AWS側から渡される経路属性をそのま使うとい です。