279-AWS SAP AWS 「理論・実践・一問道場」

type

status

date

slug

summary

理論

トランジットゲートウェイ（TGW）のルートテーブルの実例を示します。この例では、複数のVPCがトランジットゲートウェイを使用して接続され、各VPC間でトラフィックを制御する方法を示します。

シナリオ

VPC1 (10.0.0.0/16)

VPC2 (10.1.0.0/16)

VPC3 (10.2.0.0/16)

トランジットゲートウェイ (TGW)

各VPCはトランジットゲートウェイに接続されていますが、VPC1とVPC2のみ通信でき、VPC3との通信は制限したいとします。

1. トランジットゲートウェイの設定

まず、トランジットゲートウェイに接続されている各VPCのルートテーブルを設定します。

2. トランジットゲートウェイルートテーブル例

VPC1用のトランジットゲートウェイルートテーブル

送信先CIDR	ターゲット
10.0.0.0/16	ローカル（VPC1内）
10.1.0.0/16	VPC2（VPC2への接続）
10.2.0.0/16	なし（通信を拒否）

説明:

VPC1内の通信（10.0.0.0/16）はローカルで処理されます。

VPC1はVPC2（10.1.0.0/16）との通信を許可します。

VPC1からVPC3（10.2.0.0/16）への通信は許可されません。

VPC2用のトランジットゲートウェイルートテーブル

送信先CIDR	ターゲット
10.0.0.0/16	VPC1（VPC1への接続）
10.1.0.0/16	ローカル（VPC2内）
10.2.0.0/16	なし（通信を拒否）

説明:

VPC2内の通信（10.1.0.0/16）はローカルで処理されます。

VPC2はVPC1（10.0.0.0/16）との通信を許可します。

VPC2からVPC3（10.2.0.0/16）への通信は許可されません。

VPC3用のトランジットゲートウェイルートテーブル

送信先CIDR	ターゲット
10.0.0.0/16	なし（通信を拒否）
10.1.0.0/16	なし（通信を拒否）
10.2.0.0/16	ローカル（VPC3内）

説明:

VPC3内の通信（10.2.0.0/16）はローカルで処理されます。

VPC3からVPC1（10.0.0.0/16）やVPC2（10.1.0.0/16）への通信は拒否されます。

3. 結果

VPC1とVPC2はトランジットゲートウェイを通じてお互いに通信できます。

VPC1とVPC3、VPC2とVPC3の間では通信が制限されます（ルートテーブルで拒否されているため）。

4. 実際の設定方法

トランジットゲートウェイ作成

AWSマネジメントコンソールまたはAWS CLIを使用して、トランジットゲートウェイを作成します。

VPC接続の作成

各VPCをトランジットゲートウェイに接続します。これにより、VPC間の通信が可能になります。

ルートテーブル設定

トランジットゲートウェイの設定で、「ルートテーブル」を作成し、各VPCの接続に応じて適切なルートを設定します。

各VPCに対して、他のVPCとの通信を許可または拒否するためのルートを指定します。

セキュリティ設定

必要に応じて、セキュリティグループやネットワークACLを使用して、インスタンス間の通信を制御します。

まとめ

トランジットゲートウェイの専用ルートテーブルを使用することで、VPC間のトラフィックを細かく制御できます。

ルートテーブルで特定のVPCとの通信を許可し、他のVPCとの通信を拒否することが可能です。

実践

略

一問道場

会社は、複数のVPCにアプリケーションを展開するためにAWS CloudFormationを使用しており、すべてのVPCはトランジットゲートウェイに接続されています。インターネットにトラフィックを送信する必要がある各VPCは、トラフィックを共有サービスVPCを経由して送信しなければなりません。各VPC内のサブネットはデフォルトのVPCルートテーブルを使用し、トラフィックはトランジットゲートウェイにルーティングされます。トランジットゲートウェイは、すべてのVPC接続に対してデフォルトのルートテーブルを使用します。

セキュリティ監査により、あるVPC内のAmazon EC2インスタンスが、会社の他のすべてのVPC内のEC2インスタンスと通信できることが判明しました。ソリューションアーキテクトは、VPC間のトラフィックを制限する必要があります。各VPCは、あらかじめ定義された限られたセットの承認されたVPCとのみ通信できるようにする必要があります。

ソリューションアーキテクトは、これらの要件を満たすために何をすべきですか？

A. 各VPC内のサブネットのネットワークACLを更新し、承認されたVPCへのみアウトバウンドトラフィックを許可します。デフォルトの拒否ルールを除くすべての拒否ルールを削除します。

B. 各VPC内で使用されているすべてのセキュリティグループを更新し、承認されていないVPCで使用されているセキュリティグループへのアウトバウンドトラフィックを拒否します。

C. 各VPC接続に専用のトランジットゲートウェイルートテーブルを作成し、トラフィックを承認されたVPCにのみルーティングします。

D. 各VPCのメインルートテーブルを更新し、トランジットゲートウェイを介して承認されたVPCへのみトラフィックをルーティングします。

解説

この問題の解決には、VPC間のトラフィックを制御し、各VPCが許可されたVPCにのみ通信できるようにする方法を選択する必要があります。選択肢を一つずつ見ていきましょう。

A. ネットワークACLを更新する

ネットワークACL (アクセスコントロールリスト) は、VPC内のサブネットに対するトラフィックの許可/拒否を制御しますが、これはVPC間の通信に対してはあまり効果的ではありません。ネットワークACLはサブネット単位で機能し、トラフィックの制限が過度に複雑になる可能性があり、ルーティングやトランジットゲートウェイの管理が必要な場合には、適切な解決策ではありません。

この選択肢は適切ではありません。

B. セキュリティグループを使用してアウトバウンドトラフィックを制限する

セキュリティグループは、VPC内のインスタンスへのトラフィックを制御するためのもので、インスタンス間の通信をフィルタリングするのに便利です。しかし、セキュリティグループのルールで他のVPCのセキュリティグループへの通信を制限することは、VPC間の通信全体を効果的に制御する方法としては不十分です。

また、セキュリティグループでVPC間の全トラフィックを制限するのは非常に難しく、推奨されません。

C. 専用のトランジットゲートウェイルートテーブルを作成

トランジットゲートウェイは複数のVPCを接続するための中継点として機能します。トランジットゲートウェイのルートテーブルをVPCごとに専用で設定することで、VPC間の通信を細かく制御できます。

具体的には、各VPC接続に専用のルートテーブルを作成し、トラフィックを承認されたVPCにのみルーティングすることで、VPC間の通信を確実に制限できます。

このアプローチは、VPC間の通信を正確に管理するための最も効果的な方法です。

D. メインルートテーブルを更新する

メインルートテーブルの更新で、VPC内のサブネットごとのルートを制御することができますが、トランジットゲートウェイのルートテーブルを個別に設定することと比較して、柔軟性に欠ける場合があります。トランジットゲートウェイを使用する場合、専用のルートテーブルを作成する方が、より細かく管理でき、トラフィックの制限が容易になります。