431-AWS SAP AWS 「理論・実践・一問道場」CIDR重複 VPC接続単方向

type

status

date

slug

summary

理論

複数VPC間での接続方法とその考慮事項

1. VPCピアリング

概要: VPCピアリングは、2つのVPCを直接接続し、リソースが相互に通信できるようにするAWSの機能です。

制限:

CIDRブロックの重複: ピアリング接続するVPCのCIDRが重複している場合、正常にルーティングできません。これが原因で接続が失敗することがあります。
ルーティング制御: ピアリング接続後、各VPCのルーティングテーブルを設定する必要があります。

2. AWS Transit Gateway

概要: Transit Gatewayは、複数のVPCを中央で接続するサービスです。これにより、大規模なVPCの接続管理が簡素化されます。

制限:

CIDR重複: Transit Gatewayでは、接続するVPCのCIDRが重複している場合、問題が発生します。異なるCIDRブロックを持つVPC同士でのみ機能します。

3. VPCエンドポイントサービス

概要: VPCエンドポイントサービスは、NLBを利用して、サービスへのアクセスをVPC間で提供する方法です。クライアントVPCは、エンドポイントサービスに接続するためにVPCエンドポイントを作成します。

利点:

セキュリティ: エンドポイント承認機能を使用すると、アクセスを特定のVPCに制限でき、セキュリティが向上します。
CIDR重複に対応: VPCエンドポイントサービスは、CIDR重複の問題なく利用できます。

運用:

アクセス管理: 承認されたVPCに対してのみ接続を許可することができます。

4. Site-to-Site VPN

概要: Site-to-Site VPNは、オンプレミスとAWS VPC間、またはVPC間でセキュアな接続を提供するための方法です。

制限:

CIDR重複: VPN接続の場合もCIDRブロックの重複が問題となり、正常に動作しない可能性があります。

重要なポイント:

CIDRブロックの重複: CIDRが重複している場合、VPCピアリングやVPN接続、Transit Gatewayの利用には制限があります。

VPCエンドポイントサービス: CIDR重複を避けつつ、セキュアにVPC間でサービスを提供する場合には、VPCエンドポイントサービスが適切です。

実践

略

一問道場

問題 #431

ある会社は、単一の共有VPCにホストされた集中型のAmazon EC2アプリケーションを提供しています。この集中型アプリケーションは、他の事業部門のVPCにあるクライアントアプリケーションからアクセスできる必要があります。集中型アプリケーションのフロントエンドは、スケーラビリティのためにNetwork Load Balancer (NLB)で設定されています。最大10個の事業部門VPCが共有VPCに接続する必要があり、いくつかの事業部門VPCのCIDRブロックは共有VPCと重複しており、またお互いに重複しています。共有VPC内の集中型アプリケーションへのネットワーク接続は、認証された事業部門VPCからのみ許可されるべきです。

この要件に基づき、事業部門VPCのクライアントアプリケーションから共有VPC内の集中型アプリケーションへの接続を提供するためには、どのネットワーク構成を使用すべきですか？

A. AWS Transit Gatewayを作成し、共有VPCと認証された事業部門VPCをTransit Gatewayに接続します。単一のTransit Gatewayルートテーブルを作成し、それをすべての接続されたVPCに関連付けます。接続からのルート自動伝播を許可し、VPCのルーティングテーブルを構成してトラフィックをTransit Gatewayに送信します。

B. 集中型アプリケーションのNLBを使用してVPCエンドポイントサービスを作成し、エンドポイントの承認を必要とするオプションを有効にします。各事業部門VPCにサービス名を使用してVPCエンドポイントを作成し、エンドポイントサービスコンソールで認証されたエンドポイント要求を承認します。

C. 各事業部門VPCから共有VPCへのVPCピアリング接続を作成し、共有VPCコンソールでVPCピアリング接続を承認します。VPCのルーティングテーブルを構成して、トラフィックをVPCピアリング接続に送信します。

D. 共有VPCに仮想プライベートゲートウェイを構成し、各認証された事業部門VPCにカスタマーゲートウェイを作成します。事業部門VPCから共有VPCへのSite-to-Site VPN接続を確立し、VPCのルーティングテーブルを構成して、トラフィックをVPN接続に送信します。