全通信要件をカバーできる！？ AWS TransferFamilyのネットワークアーキテクチャ

全通信要件をカバーできる！？ AWS TransferFamilyのネットワークアーキテクチャまちや

自己紹介まちや (町屋真隆) • 社会人歴：5年目 • 趣味：バンド(ギター) サウナ(ルーマプラザおすすめ！) •
好きな技術：ネットワーク、クラウド • 好きなAWSサービス：Amazon VPC

TransferFamily • フルマネージド型のファイル転送サービス • 対応プロトコル • SFTP • FTPS
• FTP • AS2

TranferFamilyのエンドポイントについて

①パブリックエンドポイントポイント・インターネット通信のみ・固定IP付与できない・SFTPのみ対応 AWS Transfer Family の設計や導入を検討する際に、設定項目や構成例などの把握すべきポイントをまとめてみた
| DevelopersIO

②VPC(内部向け)エンドポイントポイント・インターネット通信不可・プロトコルはすべて対応可能 AWS Transfer Family の設計や導入を検討する際に、設定項目や構成例などの把握すべきポイントをまとめてみた | DevelopersIO

③VPC(インターネット向け)エンドポイントポイント・通信方式はすべて対応可能・固定IP付与可能・プロトコルはFTPがNG AWS Transfer Family の設計や導入を検討する際に、設定項目や構成例などの把握すべきポイントをまとめてみた
| DevelopersIO

要件：すべてカバーしたいプロトコルネットワーク FTP インターネット File Transfer Protocol FTPS FTP
over SSL/TLS SFTP SSH File Transfer Protocol Public Internet × VPN Site-to-Site VPN 専用線 Direct Connect

TransferFamilyのエンドポイントエンドポイントタイプ SFTP FTPS FTP パブリック〇 × × VPC(内部向け)
〇〇〇 VPC(インターネット向け) 〇〇 × エンドポイントタイプインターネット VPN 専用線パブリック〇 × × VPC(内部向け) × 〇〇 VPC(インターネット向け) 〇〇〇

全カバーできるエンドポイントがない・・・

FTPを捨てるorインターネット通信を捨てるしかなくないか？

そんなことなかった ※条件付き

当時の設計アプローチから

全プロトコルはカバーしたいからエンドポイントはVPC(内部向け)にする

異なるNWなのに1つのVPCに依存は良くない！

VPCを分ける

VPC間をPrivateLinkで接続することでインターネット通信も可能に！！

でも実は・・・ NLB を Transfer Family の前段に置くことは非推奨その理由・コスト増加・クライアント
IP が正確に見えない・ FTPS の同時接続数が 10,000 → 300 に激減 https://docs.aws.amazon.com/ja_jp/transfer/latest/userguide/infrastructure-security.html それでもやった理由全通信要件をカバーするにはこの構成しかなかった

まとめ 1. Transfer Family のエンドポイントには制約がある FTP × インターネット通信は単一エンドポイントでは満たせない 2. PrivateLink
＋ VPC 分離構成で全要件を突破できる VPC 内部向けエンドポイント＋ネットワーク別専用 VPC ＋ PrivateLink の組み合わせ 3. 公式非推奨でも、全要件カバーにはこれしかなかった

全通信要件をカバーできる！？AWS TransferFamilyのネットワークアーキテクチャ

全通信要件をカバーできる！？ AWS TransferFamilyのネットワークアーキテクチャ

まちや

More Decks by まちや

Featured

Transcript