[AWSマイスターシリーズ] Amazon VPC VPN & Direct Connect

© 2012 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified or distributed in whole or in part without the express consent of Amazon.com, Inc.
AWSマイスターシリーズ
Amazon VPC
VPN+AWS DirectConnect
2013.09.04
アマゾンデータサービスジャパン株式会社
荒木靖宏

2
今日のAgenda
VPCとは？
Amazon Direct Connect(DX)とは？
VPC/VPN/Direct Connectの活用例
Q&A

3
Amazon VPC
AWS上にプライベートネットワーク空間を構築
• 社内からVPN接続して閉域網でAWS利用
• 仮想ネットワーキング
オンプレミスとのハイブリッドが簡単に実現
• AWSが社内インフラの一部に見える
 社内システム、ソフトウェアの移行がより容易に

4
AWS上にプライベートのアドレス空間を作成し、
お客様のインフラをAWS上に延長する
リージョン
EC2
VPCイントラ
プライベート
サブネット
パブリック
サブネット
Internet
VPC内に分離し
たサブネットを
自由に作成
VPN接続
専用線
ゲート
ウェイ
VPN
DX

5
VPCを利用した3層Webシステム構成例
VPC 10.0.0.0/16
Availability Zone - B
Availability Zone - A
Internet
Anyone
Internet
Gateway
Public Subnet 10.0.0.0/24
Public Subnet 10.0.2.0/24
Private Subnet 10.0.1.0/24
Private Subnet 10.0.3.0/24
Amazon RDS
Amazon RDS
Web
10.0.0.7
EC2 Instance
EC2 Instance
Web
10.0.2.7
Corporate
data center
DB
DB
インターネットから
もアクセス可能
DC/社内からのみ
アクセス可能
VPN接続
DX専用線

6
VPC内のシステム構築の留意点
ネットワーク分割のベストプラクティス
• ログインする必要のないELB，RDS, Elasticache用のサブネッ
ト
• 目的別には分けずに、/22や/24など、わかりやすく大きめのネッ
トワークを指定する。
• ログインする必要のあるEC2は目的別に。
AWSのリソースは原則ホスト名を使ってアクセス

7
VPC内のシステム構築の留意点（２）
AWSのAPI使用にはインターネット接続が必要
利用方法
• EIPを使用
• NATインスタンスまたはアプリケーションプロキシを使用
• オンプレ側インターネット線の使用

8
Public subnet + Private subnet +
VPN GW
Virtual Private Cloud = 10.0.0.0/16
Public Subnet
Internet
Gateway
Security Group
Private Subnet
Security Group
NAT
instance
Destination Target
10.0.0.0/16 local
0.0.0.0/0 Internt Gateway
Destination Target
10.0.0.0/16 local
172.16.0.0/16 VPN Gateway
0.0.0.0/0 NAT Instance
VPN
Gateway
Corporate = 172.16.0.0/16

9
ハードウェアVPN
IPsec VPN
• AES 128 bit の暗号化トンネル
• Pre-shared キーを使用して、IKE セキュリティ接続を確立る
• SHA-1 ハッシュ
• 「グループ2」モードでのDH Perfect Forward Secrecy
暗号化の前にパケットの断片化を実行する
経路
• BGP (Border gateway protocol) または
• Static

10
対応ルータ
http://aws.amazon.com/jp/vpc/faqs/#C9
対応ルータでは設定サンプルを提供
BGP
• Astaro, Cisco, Fortigate, Juniper(J, SRX, SSG, ISG),
PaloAlto, Vyatta, Yamaha RTX1200
Static
• Cisco(ASA5500, ISR), Juniper (J, SRX, SSG, ISG),
Microsoft windows server 2008R2以降、Yamaha RTX1200

11
事前の準備
ハードウェアルータ
Public IPアドレス
• Virtual Gateway (VGW)との通信に
使用
• VPCの数だけ必要。同一リージョン
での重複はできない。
IKE(UDP port 500)とIPsec（IP
Protocol 50)への通信が可能なこ
と
• ISPでの制限、FWの存在に注意
• NAT-T(UDP port 4500への
fallback)は使用できません。

12
VPNの設定
12
「Hardware VPN Access」
があるWizardを選択
VPCダッシュボードから
「Start VPC Wizard」を選択

13
CustomerGatewayとプロトコル選択
13
拠点側のVPNルータのグロ
ーバルIPアドレスを指定
VPN通信プロトコルを
BGPかStaticかを選択
Staticの場合には、拠点側の
Subnetを指定する
※「Add」を忘れずに

14
VPCとSubnetのCIDR指定及び確認
14
VPCとPrivateSegmentの
SubnetのCIDRを
変更します
内容内容を確認後、「Create
VPC」を押下

15
VPCとPrivate Segment作成処理中
15
作成完了後
拠点側のVPNルータに設定す
るConfigをダウンロードするた
め選択します

16
VPNルータ設定用Configダウンロード
16
拠点側のVPNルータの以下の
情報を選択します
１）ベンダー名
２）機種
３）OSバージョン
「Yes,Download」を選択し、Configをダウンロードします

17
AWS Direct Connectの特徴
帯域スループット向上
インターネットベースの接続よりも一貫性がある
ネットワークコスト削減
お客様
AWS Cloud
EC2, S3などの
Public サービス
Amazon VPC
相互接続ポイント
専用線
サービス

18
AWS Direct Connectの物理接続
お客様
AWS Cloud
EC2, S3などの
Public サービス
Amazon VPC
専用線
Zone A
Zoneコロケへの専用線引き込みと違って
サーバ設置場所を限定しない。
相互接続ポイントはサーバのある
ゾーンではない場所

19
AWS Direct Connectの論理接続
論理的にはPublic向けと、VPC向けで異なる
BGPによる接続
お客様
AWS Cloud
EC2, S3などの
Public サービス
Amazon VPC
専用線
Zone A
Zone B
東京リージョンでは、
Equinix TY2
(東京都品川区）

20
AWS Direct Connect 詳細内容
AWS Direct Connectは、1Gbpsおよび10Gbpsの接続を提供
リージョン毎に契約
多くの容量が必要な場合、複数の接続のプロビジョニングが可能
• 専用線サービスは、お客様が下記の2つの選択肢から選択
1. お客様自身がエクイニクス相互接続ポイントに専用線を直
接つなぐ
2. 通信事業者,APNの接続サービスを利用
 Equinix
 ソフトバンクテレコム
 NRI
 NTTコミュニケーションズ,NTTPC
日本でのサービス状況
 KVH
 TOKAI
 cloudpack

21
APNにより拡張された
AWS Direct Connectサービス
相互接続ポイント（東京リージョンではEquinix TY2）
における接続装置等の設置場所
• 専用線とのパッケージ提供する場合も
10Mbps, 100Mbps等1Gbps よりも狭帯域のサービス
お客様指定の場所から相互接続ポイントまでのアクセス
広域WANで複数拠点からAWSへの接続

22
AWS Direct Connect：Publicサービス
お客様
AWS Cloud
EC2, S3などの
Public サービス
Amazon VPC
専用線
Zone A
Zone
Public IPを使ったBGP接続
Private ASの場合はそのIPアドレス
はAWSとの通信専用になる

23
AWS Direct Connect：VPCサービス
お客様
AWS Cloud
EC2, S3などの
Public サービス
Amazon VPC
専用線
Zone A
Zone B
Private ASを使ったBGP接続
Private ASを使用
== VPCをVPNで使う場合と同じ
IPSecトンネルの代わりに専用線上
のVLANがあると考えればok

24
VPC
（ZoneB)
論理接続形態
Equinix TY２
AWSラックラック
10G
1G
キャリア
バック
ボーン
R R
VPC
（ZoneA)
VLANVLANVLAN
Public向け
VLAN
End user
（多数）
AWSの責任範囲
ネットワークプロバイダ
またはEUの責任範囲
コロケーション
プロバイダ
の責任範囲
（構内配線のみ）
EC2,S3な
どのPublic
サービス
ラックはEquinix，もしく
はAPNから調達
回線終
端装置

25
AWS DirectConnect 接続のステップ
自社で手
配する?
検討開始
回線業者選定
回線終端装置
の置き場はあ
る?
接続点
ラックを
契約
Publicサー
ビスを直
接使う?
DXSPに
依頼
物理接続
Public AS
を持って
いる?
Public
ASの取得
Public 接続
VPCを使
う?
VPC 接続
利用開始
DXSP:
Direct Connect Solution Provider
次ページにて
詳細説明

26
詳細
Direct Connect
使用申請
LOAをお客様へ発行
LOAをEquinixへ
申請
物理結線
物理接続
物理接続
完了
Equinix様
作業
お客様作業
AWS作業
(営業)
AWS NWチーム作業

27
DX設定
１

28
物理接続の申請
１

29

30
詳細
お客様ルータ
VLAN/BGP設定
AWSルータ
VLAN/BGP設定
VPC 接続
VLAN ID決定
Private AS番号決定
VPC接続
完了
Public 接続
お客様ルータ
VLAN/BGP設定
AWSルータ
VLAN/BGP設定
VLAN ID決定
Public接続
完了
Equinix様
作業
お客様作業
AWS作業
(営業)
AS番号
/Prefix/VLANID/
LOAをMCで入力
AS番号
/Prefix/VLANID/
LOAをMCで入力

31
DX設定
１
２

32
Create Virtual Interface
２

33

34

35
DX設定
１
２
3

36
configの取得
3

37
DownloadしたConfig抜粋
interface GigabitEthernet0/1
no ip address
interface GigabitEthernet0/1.3
description "Direct Connect to your Amazon VPC or AWS Cloud"
encapsulation dot1Q 3
ip address 169.254.252.2 255.255.255.252
router bgp 65534
neighbor 169.254.252.1 remote-as 10124
neighbor 169.254.252.1 password X_wlwFyyPWLEToUQIU7CRrA1
network 0.0.0.0
exit パスワードはConfigをダウ
ンロードしないとわからない

38
詳細（物理結線のIDと利用者が異なる場合）
お客様ルータ
VLAN/BGP設定
AWSルータ
VLAN/BGP設定
VPC 接続
VLAN ID決定
Private AS番号決定
VPC接続
完了
Public 接続
お客様ルータ
VLAN/BGP設定
AWSルータ
VLAN/BGP設定
VLAN ID決定
Public接続
完了
Equinix様
作業
お客様作業
AWS作業
(営業)
NWチームへ
作業依頼
NWチームへ
作業依頼
AS番号
/Prefix/VLANID/
LOAをAWSへ連絡
AS番号
/Prefix/VLANID/
LOAをAWSへ連絡
論理接続はWebでは
できない

39
CloudHubのHubとしてのVPC
Virtual Private Cloud
本社
Virtual
Gateway
VPN
Connection
AWS Direct Connect
Router

40
ハイブリッド環境例
営業支援
会計
BI
文書管理
利用者
保守業者
管理者
AD
監視ソフト
DNS
Direct
Connect
接続口
1 VPC
1 VPC
1 VPC
1 VPC
1 VPC
I
G
W
V
G
W
V
G
W
V
G
W
I
G
W
V
G
W
V
G
W
Router#1
Router#2
Router#1
Router#2
Router#1 Router#2
FW
SSO
NTP
既存環境
OracleWIN
人事
WIN
WIN Oracle
BI DB
WIN Proxy
専用線
専用線
または
VPN

41
オンプレミスとVPCの接続冗長化
DirectConnect＋
DirectConnect
DirectConnect+VPN
VPN+VPN
いずれの方法でも可能。VPNでも
BGPによる接続を推奨
Active/Stand-ByのためにはBGP
MEDもしくはAS−PREPEND等
Router#1
Router#2
Router#1
Router#2

42
Direct Connect 課金体系
月額利用料は下記の計算で課金されます
AWS Direct Connectの月額利用料＝
① ポート使用料
＋
② データ転送料

43
ポート使用料とデータ転送料
ポート使用料
• １Gbps: 0.30 USD/時、10Gbps: 2.25 USD/時
データ転送料はリージョン毎で異なる
• 東京リージョン
• データイン：無料
• データアウト：0.045 USD/GB

44
AWS Direct Connect使用時
請求の注意点
AWS Direct Connect を介するデータ転送には、使用が
発生した同じ月に請求書が送られます。
他の AWS サービスの使用によって発生する標準のイン
ターネットデータ転送使用量は、翌月の請求となります。
例：
• 6月に AWS Direct Connect 経由で 500 GB、インターネット
経由で 1500 GB を転送した場合
• AWS Direct Connect のレートで 500 GB のデータ転送料金が
6月の請求書で請求され、標準インターネットのレートで
1,500 GB のデータ転送料金が7月の請求書で請求されます。

45
本日のまとめ
VPN接続やDirect Connect(DX)を利用すること
で、オンプレミス環境とのハイブリッドなど、
自由なネットワーク設計が可能です！

46
Appendix
参考資料
• Amazon VPC Documents
http://aws.amazon.com/jp/documentation/vpc/
• Amazon VPC
http://aws.amazon.com/jp/vpc/
• Amazon VPC FAQ
http://aws.amazon.com/jp/vpc/faqs/

[AWSマイスターシリーズ] Amazon VPC VPN & Direct Connect

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

En vedette

En vedette (6)

Similaire à [AWSマイスターシリーズ] Amazon VPC VPN & Direct Connect

Similaire à [AWSマイスターシリーズ] Amazon VPC VPN & Direct Connect (20)

Plus de Amazon Web Services Japan

Plus de Amazon Web Services Japan (20)

Dernier

Dernier (9)

[AWSマイスターシリーズ] Amazon VPC VPN & Direct Connect