全通信要件をカバーできる！？ AWS TransferFamilyの ネットワークアーキテクチャ

TransferFamliy のエンドポイントで
全通信要件をカバーできるエンドポイントはないけど
工夫すれば非推奨で制約があるけど一応できるよって話です。

Transcript

1. 全通信要件をカバーできる！？ AWS TransferFamilyの ネットワークアーキテクチャ まちや
2. 自己紹介 まちや (町屋 真隆) • 社会人歴：5年目 • 趣味：バンド(ギター) サウナ(ルーマプラザおすすめ！) • 好きな技術：ネットワーク、クラウド • 好きなAWSサービス：Amazon VPC
3. TransferFamily • フルマネージド型のファイル 転送サービス • 対応プロトコル • SFTP • FTPS • FTP • AS2
4. TranferFamilyの エンドポイントについて
5. ①パブリック エンドポイント ポイント ・インターネット通信のみ ・固定IP付与できない ・SFTPのみ対応 AWS Transfer Family の設計や導入を検討する際に、設定項目や構成例などの把握すべきポイントをまとめてみた | DevelopersIO
6. ②VPC(内部向け)エンドポイント ポイント ・インターネット通信不可 ・プロトコルはすべて対応可能 AWS Transfer Family の設計や導入を検討する際に、設定項目や構成例などの把握すべきポイントをまとめてみた | DevelopersIO
7. ③VPC(インターネット向け)エンドポイント ポイント ・通信方式は すべて対応可能 ・固定IP付与可能 ・プロトコルはFTPがNG AWS Transfer Family の設計や導入を検討する際に、設定項目や構成例などの把握すべきポイントをまとめてみた | DevelopersIO
8. 要件：すべてカバーしたい プロトコル ネットワーク FTP インターネット File Transfer Protocol FTPS FTP over SSL/TLS SFTP SSH File Transfer Protocol Public Internet × VPN Site-to-Site VPN 専用線 Direct Connect
9. TransferFamilyのエンドポイント エンドポイントタイプ SFTP FTPS FTP パブリック 〇 × × VPC(内部向け) 〇 〇 〇 VPC(インターネット向け) 〇 〇 × エンドポイントタイプ インターネット VPN 専用線 パブリック 〇 × × VPC(内部向け) × 〇 〇 VPC(インターネット向け) 〇 〇 〇
10. TransferFamilyのエンドポイント エンドポイントタイプ SFTP FTPS FTP パブリック 〇 × × VPC(内部向け) 〇 〇 〇 VPC(インターネット向け) 〇 〇 × エンドポイントタイプ インターネット VPN 専用線 パブリック 〇 × × VPC(内部向け) × 〇 〇 VPC(インターネット向け) 〇 〇 〇
11. TransferFamilyのエンドポイント エンドポイントタイプ SFTP FTPS FTP パブリック 〇 × × VPC(内部向け) 〇 〇 〇 VPC(インターネット向け) 〇 〇 × エンドポイントタイプ インターネット VPN 専用線 パブリック 〇 × × VPC(内部向け) × 〇 〇 VPC(インターネット向け) 〇 〇 〇
12. 全カバーできる エンドポイントがない・・・
13. FTPを捨てるorインターネット 通信を捨てるしかなくないか？
14. そんなことなかった ※条件付き
15. 当時の設計アプローチから
16. 全プロトコルはカバーしたいから エンドポイントはVPC(内部向け)にする
17. 異なるNWなのに1つのVPCに依存は 良くない！
18. VPCを分ける
19. VPC間をPrivateLinkで接続することで インターネット通信も可能に！！
20. でも実は・・・ NLB を Transfer Family の前段に置くことは 非推奨 その理由 ・コスト増加 ・クライアント IP が正確に見えない ・ FTPS の同時接続数が 10,000 → 300 に激減 https://docs.aws.amazon.com/ja_jp/transfer/latest/userguide/infrastructure-security.html それでもやった理由 全通信要件をカバーするにはこの構成しかなかった
21. まとめ 1. Transfer Family のエンドポイントには制約がある FTP × インターネット通信は単一エンドポイントでは満たせない 2. PrivateLink ＋ VPC 分離構成で全要件を突破できる VPC 内部向けエンドポイント＋ネットワーク別専用 VPC ＋ PrivateLink の組み合わせ 3. 公式非推奨でも、全要件カバーにはこれしかなかった