VPCピアリングとTransit Gatewayの保護

ワークロードは複数のVPCにまたがり、相互通信が必要になることがよくあります。AWSには、それらを接続する主な方法としてVPC peeringとTransit Gatewayがあります。どちらもネットワーク間に新しい経路を作るため、意図以上のアクセスを開かないよう、慎重に設定する必要があります。

VPC peering connectionは2つのVPCを接続し、同じネットワーク上にあるかのように、リソース同士がプライベートIPを使用して通信できるようにします。Peeringは1対1の関係で、パブリックインターネットではなくAWS backboneを使用します。トラフィックはプライベートに保たれますが、到達性は引き続きrouteとセキュリティルールで制御します。

重要な点として、VPC peeringは推移的ではありません。VPC AがBとpeeringし、BがCとpeeringしていても、AはBを経由してCに到達できません。各ペアに独自のpeering connectionが必要です。この非推移性によって意図しない接続の拡大は抑えられますが、多数のVPCをpeeringだけで接続すると管理が複雑になります。

peering connectionだけではアクセスは許可されません。両側にrouteを追加し、security groupsとNACLでトラフィックを許可する必要があります。VPC全体ではなく、通信が必要な特定のCIDRだけにrouteを追加し、VPC間の接続範囲を可能な限り狭く保ってください。

AWS Transit Gateway (TGW)は、多数のVPCとオンプレミスネットワークを1つのゲートウェイ経由で接続するリージョナルハブです。peering connectionを複雑に張り巡らせる代わりに、各VPCを一度TGWにアタッチし、TGWがそれらの間をルーティングします。大規模な環境では、フルメッシュのpeeringよりはるかに高いスケーラビリティを実現できます。

Transit Gatewayには独自のroute tablesがあり、どのアタッチメントからどのアタッチメントへ到達できるかを制御します。アタッチメントを特定のTGW route tableに関連付け、選択したrouteだけを伝播させることで、ネットワークをセグメント化できます。これにより、一部のVPC間では通信を許可し、他のVPCは分離することを中央で管理できます。

TGW route-table segmentationによって、セキュリティゾーンを構築できます。たとえば、本番VPCと開発VPCを同じTGWにアタッチしながら、別々のroute domainに配置して相互到達できないようにします。この中央制御は、多数の個別peering connectionにわたって分離設定を維持するよりも明確です。

TGWに接続したcentral inspection VPCに、AWS Network Firewallを配置し、VPC間トラフィックとエグレストラフィックをそこへルーティングできます。セグメント間のすべてのトラフィックを検査に通すことで、ネットワーク全体にわたるポリシーを適用・記録する単一のチョークポイントを設けられます。

peeringとTGWのどちらにも共通する主なリスクは、意図しない接続性を作ってしまうことです。広すぎるrouteや不注意なroute-table propagationによって、本来分離すべき環境同士が到達可能になる場合があります。意図した経路だけが存在することを確認するため、TGW route tableとpeering routeを定期的に確認してください。

peeringとTGWはいずれも、接続するVPC間で重複しないCIDR範囲を必要とします。ルーティングは一意のアドレスに依存するためです。これも、アドレス空間を事前に慎重に計画すべき理由の1つです。範囲が重複すると接続が妨げられ、後から複雑な回避策が必要になります。

単純で直接的な低コスト接続を必要とする少数のVPCには、VPC peeringを使用します。多数のVPCがあり、中央でのセグメンテーションや検査が必要な場合、またはVPNまたはAWS Direct Connect経由でオンプレミスネットワークを接続する場合は、Transit Gatewayを使用します。どちらの場合も、狭い範囲のrouteで到達性を制御し、意図しない経路が開いていないことを確認してください。

peeringとTransit Gatewayに関する知識を適用してください。

VPC peeringは2つのVPCをプライベートに接続しますが、推移的ではなく、両側にrouteとセキュリティルールが必要です。Transit Gatewayは多数のVPCとオンプレミスネットワークを接続するリージョナルハブで、独自のroute tablesによってセグメンテーションを実現し、ファイアウォールVPCを介して中央で検査できます。どちらも重複しないCIDRを必要とします。意図しない環境間経路を防ぐため、routeを監査してください。