AWS環境でソフトウェアVPNを使う場合の基本構成、気をつけたいポイントについて。

1. 2018.5.24
Atsushi Marumo
AWSでソフトウェアVPNを使う
－キホンの「キ」－

2. 2自己紹介
@marumo1981
丸毛 篤史
・クラスメソッド AWS事業部
AWS ソリューションアーキテクト
・SIer で 18年 インフラエンジニア
2018年1月 クラスメソッドに Join
・2018年5月 なんとかAWS認定 5冠

3. 3話すこと・話さないこと
#higobashiaws #akibaaws
・話すこと
・おもにリモートアクセスVPN
・AWS環境でシンプルな構成
・気を付けたいポイント
・話さないこと
・VPNの仕組み・概念とか
・細かい設定手順、VPNソフトの比較とか

4. 4
#higobashiaws #akibaaws
ソフトウェアVPN

5. 5ソフトウェアVPN is 何？
#higobashiaws #akibaaws
・ そもそも VPN is 何？
・ Virtual Private Network
・ インターネット上の拠点間通信をカプセル化し
仮想的な専用線のようにつなぐ
・ VPNの種類
・ IP-VPN
・ インターネットVPN

6. 6ソフトウェアVPN is 何？
#higobashiaws #akibaaws
・ そもそも VPN って？
・ Virtual Private Network
・ インターネット上の拠点間通信をカプセル化し
仮想的な専用線のようにつなぐ
・ VPNの種類
・ IP-VPN →「AWS Direct Connect」
・ インターネットVPN
→「ハードウェアVPN」「ソフトウェアVPN」

7. 7ソフトウェアVPN is 何？
#higobashiaws #akibaaws
・ハードウェアVPN
VPNルータ（IPsec）から接続するための
コンポーネントがサービスとして提供
VPNトンネル
VPNトンネル
VGW CGW

8. 8ソフトウェアVPN is 何？
#higobashiaws #akibaaws
・ハードウェアVPN ＝AWSマネージドVPN
VPNトンネル
VPNトンネル
VPNルータ（IPsec）から接続するための
コンポーネントがサービスとして提供
VGW CGW

9. 9ソフトウェアVPN is 何？
#higobashiaws #akibaaws
・ソフトウェアVPN
VPNトンネル
VPN Server の構築・運用はユーザで行う。
（スケーリング、可用性 なども検討）
VPN Server

10. 10ソフトウェアVPN is 何？
#higobashiaws #akibaaws
・ソフトウェアVPN ＝セルフマネージドVPN
VPNトンネル
VPN Server の構築・運用はユーザで行う。
（スケーリング、可用性 なども検討）
VPN Server

11. 11ソフトウェアVPN
・VPN接続方式
- 拠点接続VPN
ユーザ端末にクライアント
ツールの導入不要
-リモートアクセスVPN
ユーザ端末のクライアント
ツールから接続
(PC,スマホ,タブレットなど)
#higobashiaws #akibaaws

12. 12
#higobashiaws #akibaaws
AWS環境でのソフトウェアVPN構成

13. 13ソフトウェアVPN
・ 導入方法
・ パッケージをDLして、EC2にインストール
・ AWS マーケットプレイスからLaunch
#higobashiaws #akibaaws

14. 14ソフトウェアVPN
・ どれ選んだらええねん・・
・フリーソフト/有償ライセンス
・事例、記事の多さ（Developers.IOとか
・日本語ドキュメント/サポート
・オリジナルの機能
・VPN接続プロトコル
・ SSL-VPN, L2TP/IPsec, MS-SSTP …etc
・「VPN プロトコル 比較」で検索
#higobashiaws #akibaaws

15. 15今回はOpenVPNで検証しました
#higobashiaws #akibaaws
OpenVPN Access Server
- Version:2.5.0
- OpenVPN とは違い、2デ
バイスまで無料だが、3以上
から有償。
AWSマーケットプレイス版
- OS は Ubuntu16

16. 16AWS環境でのソフトウェアVPN構成
#higobashiaws #akibaaws
172.27.224.0/20
10.0.0.0/16
10.0.0.0/24

17. 17AWS環境でのソフトウェアVPN構成
#higobashiaws #akibaaws
10.0.0.0/16
10.0.0.0/24
ここを流れるIPアドレスはどっち？
・172.27.224.0/20？
・10.0.0.0/24?
172.27.224.0/20

18. 18正解は・・・
どっちでも！
#higobashiaws #akibaaws

19. 19AWS環境でのソフトウェアVPN構成
#higobashiaws #akibaaws
10.0.0.0/16
10.0.0.0/24
・172.27.x.x ▶ポートフォワーディング
・10.0.0.x ▶IPマスカレード
172.27.224.0/20
用語の定義があいまいですが、本資料では OpenVPN-AS の
以下のモードを指しているものとします。
・ポートフォワーディング → ルーティングモード
・IPマスカレード → NATモード

20. 20
#higobashiaws #akibaaws
ポートフォワーディング時の考慮

21. 21ポートフォワーディング時の考慮（1/4）
#higobashiaws #akibaaws
10.0.0.0/16
10.0.0.0/24 172.27.224.0/20
172.27.224.x
▶「送信元/送信先チェックを無効化」
フォワーディングは、送信元/送信先が自身の
アドレスではないが、トラフィックを送受信す
る必要がある。

22. 22ポートフォワーディング時の考慮（2/4）
#higobashiaws #akibaaws
10.0.0.0/16
10.0.0.0/24 172.27.224.0/20
▶「戻りのルートを定義」
172.27.224.0/20 宛ては VPNサーバーの
ENIに返るように、戻りのルートを追加する
172.27.224.x

23. 23ポートフォワーディング時の考慮（2/4）
#higobashiaws #akibaaws

24. 24ポートフォワーディング時の考慮（2/4）
#higobashiaws #akibaaws
172.27.224.x
ルートテーブルの違うサブネットとの通信の
場合、相手側のルートテーブルにも戻りの
ルートを追加する
172.27.224.0/20
10.0.0.0/16
10.0.0.0/2410.0.2.0/24

25. 25ポートフォワーディング時の考慮（3/4）
#higobashiaws #akibaaws
10.0.0.0/16
10.0.0.0/24 172.27.224.0/20
172.27.224.x
▶「通信元のアドレスでSGを設定」
セキュリティグループは、通信元のアドレスで
設定することが可能

26. 26ポートフォワーディング時の考慮（4/4）
#higobashiaws #akibaaws
172.27.224.x
172.27.224.0/20
10.0.0.0/16
10.0.0.0/24
▶「IGWを抜けることは出来ません」
VPCの外に出ることは出来ません
（ドロップされます）
IGWに限らず、DX、VPCピアリングも同じ

27. 27
#higobashiaws #akibaaws
IPマスカレード時の考慮

28. 28IPマスカレード
#higobashiaws #akibaaws
10.0.0.0/16
10.0.0.0/24 172.27.224.0/20
10.0.0.x
▶「IPマスカレード」
送信元のアドレスは、VPNサーバーのプライ
ベートIPに変換される
172.27.224.x

29. 29IPマスカレード時の考慮（1/2）
#higobashiaws #akibaaws
10.0.0.0/16
10.0.0.0/24 172.27.224.0/20
10.0.0.x
▶「送信元フィルタはSGで出来ない」
VPC内のアクセスはVPNサーバのアドレス。
フィルタリングしたい場合は、AWSの機能以
外で頑張るしかない。
172.27.224.x

30. 30IPマスカレード時の考慮（2/2）
#higobashiaws #akibaaws
172.27.224.x
172.27.224.0/20
10.0.0.0/16
10.0.0.0/24
▶「端末のDGW設定に注意！」
誤った設定により、端末のDGWがVPN側を向い
ていないか注意！

31. 31VPN構成のまとめ
・ポートフォワーディング
- VPC内通信に限定
- 送信元によりSGを設定できる
- 送信元/送信先チェック、戻りのルートが必要
・IPマスカレード
- VPC外通信が必要なら一択
- 送信元がVPNサーバに集約されるので管理は楽
（その分、細かい制限は難しい）
#higobashiaws #akibaaws

32. 32
#higobashiaws #akibaaws
VPNサーバの高可用性構成

33. 33VPNサーバの高可用性構成
#higobashiaws #akibaaws
10.0.1.0/24
10.0.0.0/24
172.27.224.0/20
192.27.224.0/20
▶「マルチAZ配置」
AZ障害を想定し、マルチAZに配置

34. 34VPNサーバの高可用性構成
#higobashiaws #akibaaws
10.0.1.0/24
10.0.0.0/24
172.27.224.0/20
192.27.224.0/20
▶「クライアントのIP範囲は分離」
戻り先が指定できなくなるため重複は避ける
（port-forward）

35. 35VPNサーバの高可用性構成
#higobashiaws #akibaaws
10.0.1.0/24
10.0.0.0/24
172.27.224.0/20
192.27.224.0/20
▶「DNSラウンドロビン」
Route53のマルチバリュー応答を利用
し、ラウンドロビンにアクセス先を割
り振る。異常時は health-check によ
り、自動的に応答を返さなくなる。

36. 36DNSラウンドロビン
#higobashiaws #akibaaws
ヘルスチェックを作成

37. 37DNSラウンドロビン
#higobashiaws #akibaaws
$ aws route53 get-checker-ip-ranges
{
"CheckerIpRanges": [
"54.183.255.128/26",
"54.228.16.0/26",
"54.232.40.64/26",
"54.241.32.64/26",
"54.243.31.192/26",
"54.244.52.192/26",
"54.245.168.0/26",
"54.248.220.0/26",
"54.250.253.192/26",
"54.251.31.128/26",
"54.252.79.128/26",
"54.252.254.192/26",
"54.255.254.192/26",
"107.23.255.0/26",
"176.34.159.192/26",
"177.71.207.128/26"
]
}
Route53のヘルスチェック送信元から
対象ポートへのアクセス許可が必要
（もしくはパブリック許可）

38. 38DNSラウンドロビン
#higobashiaws #akibaaws

39. 39VPNサーバの高可用性構成
#higobashiaws #akibaaws
10.0.1.0/24
10.0.0.0/24
172.27.224.0/20
192.27.224.0/20
[ec2-user@ip-10-0-2-133 ~]$ who
ec2-user pts/0 2018-05-23 10:47 (192.27.232.2)
[ec2-user@ip-10-0-2-133 ~]$ who
ec2-user pts/0 2018-05-23 10:47 (172.27.232.2)

40. 40VPNサーバの高可用性構成
#higobashiaws #akibaaws
10.0.1.0/24
10.0.0.0/24
172.27.224.0/20
192.27.224.0/20
▶「ユーザ認証を外部に」
ラウンドロビンのため、各サーバで認証
情報を同期するのは面倒。
LDAPなど外部に持たせたほうが良い
認証サーバ

41. 41