Hub & Spoke 環境のネットワークルーティングを分解してみる

Transcript

1. Hub＆Spoke環境のネットワークルーティングを分解してみる 津⾕拓郎
2. ⽬次 2 内容 ◦ はじめに ◦ ルーティングサービス（VPCルートテーブル‧TGWルートテーブル） ◦ Hub&Spoke環境でのネットワークルーティング設定 ▪ 閉域接続 ▪ インターネット接続 ▪ Appendix：東阪Peering接続
3. はじめに 3 Organization統制下のマルチアカウント環境でネットワーク設計を⾏ったこと はありますか？ ないです そうですか。試しにシステム構成図を⾒せてみますね。
4. はじめに 4 インターネット接続 閉域（オンプレ）接続 東阪Peering接続
5. はじめに 5 気分悪くなってきた。 同感です。ただ、複雑なネットワークはルーティングをかみ砕けば、個⼈的に 楽になると思うのです。 ルーティングはSGなどのステートフルなものと違い、戻りも考慮する必要があ ります。なので各アクセスパターンごとに往路復路で分解してみます。 時間がないので、東阪PeeringはAppendixでご容赦ください
6. はじめに ⼀般的なHub&Spoke構成で考えてみます。主なアクセス経路は3つです。 【インターネットアクセス】 ①SpokeアカウントのEC2からTransit Gateway経由でHubアカウントに接続 ②HubアカウントのNetwork Firewall（TGW統合）でInspection（検査）実施 ③検査完了後にNat Gateway⇒Internet Gateway経由でインターネットに接続 【オンプレミスアクセス】 ①SpokeアカウントのEC2からTransit Gateway経由でHubアカウントに接続 ②HubアカウントのDirect Connect Gatewayを経由し、オンプレミス環境に接続する 【東阪ピアリングアクセス】 ①東京リージョンのSpokeアカウントEC2からTransit Gateway経由でHubアカウントに接続 ②東阪のTransit Gateway間でPeering接続を実施 ③⼤阪リージョンのTransit Gateway経由で、HubアカウントのEC2に疎通 6
7. ルートテーブルは「次の 1歩」を決める表 目的地までの経路が1か所に書いてあるのではない。層ごとに1回だけ「送信先 → ネクストホップ」を引いている。 サブネット 1 Transit Gateway 1 VPC-A / 10.0.0.0/16 VPC ルートテーブル 2 引く主体：サブネット（1サブネット = 1テーブル） 送信先（宛先 CIDR） 10.1.0.0/16 サブネット 2 中継点 VPC-B / 10.1.0.0/16 TGW ルートテーブル 引く主体：アタッチメント（関連付けされた1テーブル） ターゲット＝ネクストホップ tgw-0a1b2c3d TGW アタッチメント 決まるのは「 TGW まで渡す」ところだけ。 この先どう転送されるかは一切書かれていない。 送信先（宛先 CIDR） 10.1.0.0/16 ターゲット＝ネクストホップ tgw-attach-b VPC-B アタッチメント 決まるのは「 VPC-B へ渡す」ところだけ。 その先はまた VPC-B 側のテーブルが決める。 層ごとに 1回ずつ、同じ形の表を引いているだけ。どちらかの層に経路が無ければ、そこで通信は止まる。
8. ポイント整理 Hub&Spokeの構成では、以下を実践してみると腑に落ちやすいです。 ①ルーティングの層を分解する 次のスライドでは⾚線がTGWルートテーブル‧⻘線をVPCルートテーブルで分解します。 ②アクセスパターンごとに図を切り出してみる インターネット向け‧オンプレミス向け‧東阪Peering向けで分けて考えます。 ③アクセスパターンごとに往路（⾏き）‧復路（戻り）に分解する 往路‧復路のルーティングを分解します。 8
9. インターネットアクセス（往路） 9
10. インターネットアクセス（復路） 10
11. 閉域アクセス（往路） 11
12. 閉域アクセス（復路） 12
13. 東阪Peering（往路） 13
14. 東阪Peering（復路） 14