Network FirewallとTransit Gateway統合

【マルチアカウントを上手に接続】 Network Firewallを使用した最新のデプロイモデル須永響伊藤忠テクノソリューションズ株式会社

@gravitas580 須永響 Hibiki Sunaga CTC(伊藤忠テクノソリューションズ株式会社 ) 新卒３年目業務：AWSインフラ基盤の設計・構築コミュニティ活動：NW-JAWS運営
:@gravitas580 About Me

@gravitas580 伝えたいこと本LTでお伝えしたいことは以下の2つです ⚫ Network Firewallのアップデート情報 ⚫ マルチアカウントでのTransit GatewayとNetwork Firewallのデプロイモデル

@gravitas580 アジェンダ 01 02 03 04 アップデート情報のまとめ検証まとめ利用するAWSサービスのおさらい

@gravitas580 利用するAWSサービスのおさらい Network Firewall • 通信をIPアドレス・ポート番号やドメインでフィルタリングするネットワークセキュリティサービス • 専用のエンドポイントを経由した通信を検査 • 送信元のCIDRごとにルールを変えることも可能
Transit Gateway • 複数のVPCやオンプレミスをハブとして接続・制御するサービス • マルチアカウントでの接続も可能 • マルチアカウントの接続時はResource Access Managerで共有今回利用するサービスについて、独断と偏見でご説明します以下のイメージを持っていただけるとこの後の話が少し聞きやすくなるかも

@gravitas580 アップデート情報 ⚫ Network Firewall を Transit Gateway にネイティブ統合可能に ➢
AWS Network Firewall: Native AWS Transit Gateway support in all regions – AWS ⚫ 2025年7月から全リージョンで利用可能

@gravitas580 アップデートによる変化 Network Firewall専用のVPCを用意していた構成で・・・ ※構成はイメージです。

@gravitas580 アップデートによる変化 Network Firewall専用のVPCが不要になりました！ ※構成はイメージです。

@gravitas580 アップデートによる変化(AWSブログ版) システム用VPC Network Firewall用VPC インターネットアウトバウンド用VPC アップデート前：参考：AWS Network Firewallのデプロイモデル
| Amazon Web Services ブログ

@gravitas580 アップデートによる変化(AWSブログ版) システム用VPC Network Firewall用VPC インターネットアウトバウンド用VPC アップデート後：参考：AWS Network Firewallのデプロイモデル
| Amazon Web Services ブログこちらのVPCが不要に！！

@gravitas580 検証 ⚫ WorkloadアカウントとNetworkアカウントを使用するマルチアカウント構成 ⚫ Workloadアカウント ➢ システムが動くようなアカウント ➢ プライベートサブネットにEC2を配置
⚫ Networkアカウント ➢ インターネットへの経路を集約するアカウント ➢ Transit Gateway、Network Firewall、Internet Gatewayを配置この構成で動作することを検証

@gravitas580 検証 ⚫ 検証の流れ 1. Network Firewall作成 2. Transit Gatewayアタッチメント作成
3. Transit Gatewayルートテーブル作成 4. Network Firewall機能の確認 ⚫ 以下は実施済みの想定 ➢ EC2やNATゲートウェイ等リソースの作成 ➢ Transit Gatewayの作成とアカウント間共有 ※ アタッチメントとルートテーブルは未作成 ➢ ファイアウォールポリシー、ルールグループ(フィルタリング条件)の作成 ※ ホワイトリスト形式で「ctc-g.co.jp」宛の通信を許可

@gravitas580 1. Network Firewall作成 ⚫ Network Firewallの作成画面のアタッチメントタイプで Transit Gateway を指定
➢ 今まではVPCを選択することしかできなかったが、Transit Gatewayを選択できるように ⚫ ファイアウォールポリシーは作成済みのものを選択検証の流れ 1. Network Firewall作成 2. Transit Gatewayアタッチメント作成 3. Transit Gatewayルートテーブル作成 4. Network Firewallフィルタリングの確認

@gravitas580 2. Transit Gatewayアタッチメント作成 ⚫ Networkアカウント、WorkloadアカウントのVPCではVPCアタッチメントを作成 ⚫ Network Firewall用のアタッチメントはNetwork Firewall作成時に自動作成
検証の流れ 1. Network Firewall作成 2. Transit Gatewayアタッチメント作成 3. Transit Gatewayルートテーブル作成 4. Network Firewallフィルタリングの確認

@gravitas580 3. Transit Gatewayルートテーブル作成 ⚫ ３つのTransit Gatewayアタッチメントに対して、それぞれルートテーブルを作成 Destination Target 0.0.0.0/0
Network Firewallアタッチメント Destination Target 0.0.0.0/0 Egress VPCアタッチメント Workload VPCの CIDR Workload VPCアタッチメント Destination Target 0.0.0.0/0 Network Firewallアタッチメント Workload VPC Network VPC Network Firewall 検証の流れ 1. Network Firewall作成 2. Transit Gatewayアタッチメント作成 3. Transit Gatewayルートテーブル作成 4. Network Firewallフィルタリングの確認

@gravitas580 4. Networkフィルタリングの確認 ⚫ ホワイトリストの「ctc-g.co.jp」へcurl、フィルタリングがpassされることを確認 ⚫ ホワイトリスト外の「google.com」へcurl、フィルタリングでdropされることを確認検証の流れ 1. Network
Firewall作成 2. Transit Gatewayアタッチメント作成 3. Transit Gatewayルートテーブル作成 4. Network Firewallフィルタリングの確認

@gravitas580 検証無事新しい構成でも動作することを確認できました

@gravitas580 まとめ ⚫ Network FirewallをTransit Gatewayアタッチメントに直接紐づけられるようになった ⚫ 統合機能により、専用VPCを作らなくてもいいようになった ➢ VPC設計・構築の負荷が減った
➢ サブネット、ルートテーブルの作成やCIDRの管理の手間が減るように ⚫ (感想)今回の構成はベストプラクティスの一つになるかなと思ってます

Network FirewallとTransit Gateway統合

Network FirewallとTransit Gateway統合

Hibiki

More Decks by Hibiki

Featured

Transcript

【マルチアカウントを上手に接続】 Network Firewallを使用した最新のデプロイモデル須永響伊藤忠テクノソリューションズ株式会社

@gravitas580 須永響 Hibiki Sunaga CTC(伊藤忠テクノソリューションズ株式会社 ) 新卒３年目業務：AWSインフラ基盤の設計・構築コミュニティ活動：NW-JAWS運営

@gravitas580 伝えたいこと本LTでお伝えしたいことは以下の2つです ⚫ Network Firewallのアップデート情報 ⚫ マルチアカウントでのTransit GatewayとNetwork Firewallのデプロイモデル

@gravitas580 アジェンダ 01 02 03 04 アップデート情報のまとめ検証まとめ利用するAWSサービスのおさらい

@gravitas580 アジェンダ 01 02 03 04 アップデート情報のまとめ検証まとめ利用するAWSサービスのおさらい

@gravitas580 アジェンダ 01 02 03 04 アップデート情報のまとめ検証まとめ利用するAWSサービスのおさらい

@gravitas580 アップデート情報 ⚫ Network Firewall を Transit Gateway にネイティブ統合可能に ➢

@gravitas580 アップデートによる変化 Network Firewall専用のVPCを用意していた構成で・・・ ※構成はイメージです。

@gravitas580 アップデートによる変化 Network Firewall専用のVPCが不要になりました！ ※構成はイメージです。

@gravitas580 アップデートによる変化(AWSブログ版) システム用VPC Network Firewall用VPC インターネットアウトバウンド用VPC アップデート前：参考：AWS Network Firewallのデプロイモデル

@gravitas580 アップデートによる変化(AWSブログ版) システム用VPC Network Firewall用VPC インターネットアウトバウンド用VPC アップデート後：参考：AWS Network Firewallのデプロイモデル

@gravitas580 アジェンダ 01 02 03 04 アップデート情報のまとめ検証まとめ利用するAWSサービスのおさらい

@gravitas580 検証 ⚫ WorkloadアカウントとNetworkアカウントを使用するマルチアカウント構成 ⚫ Workloadアカウント ➢ システムが動くようなアカウント ➢ プライベートサブネットにEC2を配置

@gravitas580 検証 ⚫ 検証の流れ 1. Network Firewall作成 2. Transit Gatewayアタッチメント作成

@gravitas580 1. Network Firewall作成 ⚫ Network Firewallの作成画面のアタッチメントタイプで Transit Gateway を指定

@gravitas580 2. Transit Gatewayアタッチメント作成 ⚫ Networkアカウント、WorkloadアカウントのVPCではVPCアタッチメントを作成 ⚫ Network Firewall用のアタッチメントはNetwork Firewall作成時に自動作成

@gravitas580 3. Transit Gatewayルートテーブル作成 ⚫ ３つのTransit Gatewayアタッチメントに対して、それぞれルートテーブルを作成 Destination Target 0.0.0.0/0

@gravitas580 4. Networkフィルタリングの確認 ⚫ ホワイトリストの「ctc-g.co.jp」へcurl、フィルタリングがpassされることを確認 ⚫ ホワイトリスト外の「google.com」へcurl、フィルタリングでdropされることを確認検証の流れ 1. Network

@gravitas580 検証無事新しい構成でも動作することを確認できました

@gravitas580 アジェンダ 01 02 03 04 アップデート情報のまとめ検証まとめ利用するAWSサービスのおさらい

@gravitas580 まとめ ⚫ Network FirewallをTransit Gatewayアタッチメントに直接紐づけられるようになった ⚫ 統合機能により、専用VPCを作らなくてもいいようになった ➢ VPC設計・構築の負荷が減った