431-AWS SAP AWS 「理論・実践・一問道場」CIDR重複 VPC接続単方向

type

status

date

slug

summary

理論

複数VPC間での接続方法とその考慮事項

1. VPCピアリング

概要: VPCピアリングは、2つのVPCを直接接続し、リソースが相互に通信できるようにするAWSの機能です。

制限:

CIDRブロックの重複: ピアリング接続するVPCのCIDRが重複している場合、正常にルーティングできません。これが原因で接続が失敗することがあります。
ルーティング制御: ピアリング接続後、各VPCのルーティングテーブルを設定する必要があります。

2. AWS Transit Gateway

概要: Transit Gatewayは、複数のVPCを中央で接続するサービスです。これにより、大規模なVPCの接続管理が簡素化されます。

制限:

CIDR重複: Transit Gatewayでは、接続するVPCのCIDRが重複している場合、問題が発生します。異なるCIDRブロックを持つVPC同士でのみ機能します。

3. VPCエンドポイントサービス

概要: VPCエンドポイントサービスは、NLBを利用して、サービスへのアクセスをVPC間で提供する方法です。クライアントVPCは、エンドポイントサービスに接続するためにVPCエンドポイントを作成します。

利点:

セキュリティ: エンドポイント承認機能を使用すると、アクセスを特定のVPCに制限でき、セキュリティが向上します。
CIDR重複に対応: VPCエンドポイントサービスは、CIDR重複の問題なく利用できます。

運用:

アクセス管理: 承認されたVPCに対してのみ接続を許可することができます。

4. Site-to-Site VPN

概要: Site-to-Site VPNは、オンプレミスとAWS VPC間、またはVPC間でセキュアな接続を提供するための方法です。

制限:

CIDR重複: VPN接続の場合もCIDRブロックの重複が問題となり、正常に動作しない可能性があります。

重要なポイント:

CIDRブロックの重複: CIDRが重複している場合、VPCピアリングやVPN接続、Transit Gatewayの利用には制限があります。

VPCエンドポイントサービス: CIDR重複を避けつつ、セキュアにVPC間でサービスを提供する場合には、VPCエンドポイントサービスが適切です。

実践

略

一問道場

問題 #431

ある会社は、単一の共有VPCにホストされた集中型のAmazon EC2アプリケーションを提供しています。この集中型アプリケーションは、他の事業部門のVPCにあるクライアントアプリケーションからアクセスできる必要があります。集中型アプリケーションのフロントエンドは、スケーラビリティのためにNetwork Load Balancer (NLB)で設定されています。最大10個の事業部門VPCが共有VPCに接続する必要があり、いくつかの事業部門VPCのCIDRブロックは共有VPCと重複しており、またお互いに重複しています。共有VPC内の集中型アプリケーションへのネットワーク接続は、認証された事業部門VPCからのみ許可されるべきです。

この要件に基づき、事業部門VPCのクライアントアプリケーションから共有VPC内の集中型アプリケーションへの接続を提供するためには、どのネットワーク構成を使用すべきですか？

A. AWS Transit Gatewayを作成し、共有VPCと認証された事業部門VPCをTransit Gatewayに接続します。単一のTransit Gatewayルートテーブルを作成し、それをすべての接続されたVPCに関連付けます。接続からのルート自動伝播を許可し、VPCのルーティングテーブルを構成してトラフィックをTransit Gatewayに送信します。

B. 集中型アプリケーションのNLBを使用してVPCエンドポイントサービスを作成し、エンドポイントの承認を必要とするオプションを有効にします。各事業部門VPCにサービス名を使用してVPCエンドポイントを作成し、エンドポイントサービスコンソールで認証されたエンドポイント要求を承認します。

C. 各事業部門VPCから共有VPCへのVPCピアリング接続を作成し、共有VPCコンソールでVPCピアリング接続を承認します。VPCのルーティングテーブルを構成して、トラフィックをVPCピアリング接続に送信します。

D. 共有VPCに仮想プライベートゲートウェイを構成し、各認証された事業部門VPCにカスタマーゲートウェイを作成します。事業部門VPCから共有VPCへのSite-to-Site VPN接続を確立し、VPCのルーティングテーブルを構成して、トラフィックをVPN接続に送信します。

解説

要件の整理:

CIDR重複: 事業部門VPCのCIDRが共有VPCと重複しているため、通常のVPCピアリングやVPN接続は使えません。

認証されたVPCからの接続のみ許可: アクセスを認証されたVPCに制限する必要があります。

NLBを利用したスケーラビリティ: 共有VPC内の集中型アプリケーションはNLB（Network Load Balancer）でフロントエンドが構成されています。

この要件を基に、選択肢を再評価します。

各選択肢の検討:

A. AWS Transit Gatewayを作成し、共有VPCと認証された事業部門VPCをTransit Gatewayに接続する方法

利点: Transit Gatewayは複数のVPCを接続するために使用でき、スケーラビリティや中央集約的な管理が可能ですが、CIDR重複の問題により、この方法は利用できません。CIDRブロックが重複していると、Transit Gateway経由でのルーティングが機能しません。

結論: CIDR重複があるため、この方法は適用できません。

B. 集中型アプリケーションのNLBを使用してVPCエンドポイントサービスを作成し、エンドポイントの承認を必要とするオプションを有効にする方法

利点: VPCエンドポイントサービスは、NLBを使って集中型アプリケーションへのアクセスを提供します。この方法では、エンドポイント承認機能を利用することで、アクセスを認証されたVPCのみに制限できます。また、VPCエンドポイントサービスはCIDR重複にも対応可能です。

欠点: 特にありません。CIDR重複を考慮しても問題なく動作します。

結論: 最適な選択肢です。この方法は要件に完全に合致しています。

C. 各事業部門VPCから共有VPCへのVPCピアリング接続を作成する方法

利点: VPCピアリングはシンプルにVPC間の接続を提供しますが、CIDR重複がある場合、ルーティングが機能しないため、VPCピアリングは利用できません。

結論: CIDR重複により、この方法は適用できません。

D. 共有VPCに仮想プライベートゲートウェイを構成し、各認証された事業部門VPCにカスタマーゲートウェイを作成し、VPN接続を確立する方法

利点: VPN接続を利用することで、セキュアな接続が提供できますが、CIDR重複の問題が依然として解決できません。また、複数のVPN接続の管理が煩雑になります。

結論: CIDR重複が問題となるため、この方法は適用できません。

結論:

最適解: B

NLBを使用したVPCエンドポイントサービスが最適な方法です。これにより、アクセスが認証されたVPCのみに制限され、CIDR重複の問題にも対応できます。