Transit Gatewayを使わなければならない場面を改めて考えてみる #dx_osarai

AWS Direct Connectと愉快なGWたちをおさらいする会
https://minorun365.connpass.com/event/285537/

Transcript

1. Transit Gatewayを使わなければならない場面を
   改めて考えてみる

   

   クラスメソッド株式会社 のんピ

   1
   

   View Slide

2. 2
   自己紹介
   {
   "本名": "山本 涼太 (覚えなくていいです)",
   "部署": "AWS事業本部 コンサルティング部",
   "前職": "インフラエンジニア in データセンター",
   "興味のあること": "面白そうなブログネタ探し",
   "好きなAWSサービス": [
   "AWS Transit Gateway",
   "AWS Step Functions"
   "Amazon FSx for NetApp ONTAP"
   ],
   "称号" : [
   "2023 Japan AWS All Certifications Engineer",
   "2023 Japan AWS Ambassador",
   ]
   }
   

   View Slide

3. 3
   Transit Gatewayっていつ使うんだっけ?
   

   View Slide

4. 4
   そもそも
   Transit Gatewayっていつ使わなければならない
   んだっけ?
   

   View Slide

5. 5
   というか
   Transit Gatewayは使わなくても良い場面ってい
   つ?
   

   View Slide

6. 6
   よくあるTransit Gatewayの紹介のされ方
   Transit Gatewayはリージョナルなルーターのようなリソースで数千ものVPCや
   Site-to-Site VPN、Direct Connectを接続することが可能なすごいサービス！
   

   View Slide

7. 7
   要するに
   各ネットワークリソースを柔軟に接続するサービ
   ス
   

   View Slide

8. 8
   再掲
   Transit Gatewayっていつ使わなければ
   ならないんだっけ?
   

   View Slide

9. 9
   よく言われる理由 その1
   DXGWにアタッチできるVGWが20個までだから
   

   View Slide

10. 10
    正直20個もオンプレミスネットワークと接続したい
    VPCある??
    

    View Slide

11. 11
    ポイントは
    そのVPCは本当にオンプレミスネットワークと接続
    させる意味がありますか?
    

    View Slide

12. 12
    想定されるリアクション 1
    だ、だってよ...
    オンプレからRDP/SSHしたいじゃんかよ！！
    

    View Slide

13. 13
    はい
    SSMセッションマネージャーの使用はできないですか?
    

    View Slide

14. 14
    マネジメントコンソールからもRDP接続できるよ
    　
    

    View Slide

15. 15
    特定のEC2インスタンスのみへの接続許可も可能
    　 　
    

    View Slide

16. 16
    想定されるリアクション 2
    ADがオンプレにあるんだよ！！！
    

    View Slide

17. 17
    はい
    AD DCをAWS上にも建立できないですか?
    

    View Slide

18. 18
    つまりは
    オンプレと大量のVPC間とで直接通信を行う必要
    がありますか?
    

    View Slide

19. 19
    ここで疑問に思われる方が
    こいつはなんでオンプレミスとの接続にTransit
    Gatewayを使おうとしないんだ?
    

    View Slide

20. 20
    ズバリは
    Transit VIFがサポートされておらず、
    Transit Gatewayで接続できないことが多い
    

    View Slide

21. 21
    Direct Connectは使っているWANから接続するこ
    とが多い
    

    View Slide

22. 22
    つまりは
    そのWANのプロバイダーがTransit VIFを
    提供しているかが重要
    Transit VIFをサポートするプロバイダーへの
    接続コストをどう見るかがポイント
    

    View Slide

23. 23
    再々掲
    Transit Gatewayっていつ使わなければ
    ならないんだっけ?
    

    View Slide

24. 24
    よく言われる理由 その2
    複数のVPC間を相互に接続したいため
    

    View Slide

25. 25
    それはとっても
    良いと思う！！！！
    

    View Slide

26. 26
    　
    ※ 条件付き
    

    View Slide

27. 27
    そのVPC間
    相互に通信できる必要ありますか?
    

    View Slide

28. 28
    ここでTransit Gatewayの料金をご覧ください
    　
    https://aws.amazon.com/jp/transit-gateway/pricing/
    

    View Slide

29. 29
    VPC10個全てをTransit Gatewayに接続する場合
    毎月 511.00 USD (通信料金を除く)
    

    View Slide

30. 30
    はい
    良いお値段
    

    View Slide

31. 31
    一方VPC Peering
    ピアリングしているだけなら無料
    &
    同一AZ間なら通信料も無料
    

    View Slide

32. 32
    相互接続するVPCの数が少ないなら
    こんな構成だって良いじゃないか (1つのVPCあたりの最大接続は125なので注意)
    

    View Slide

33. 33
    Transit Gatewayの出番は
    VPC Peeringがメッシュ状になる場合
    = 運用管理コスト > ランニングコスト
    = 構成をスッキリさせたい場合
    

    View Slide

34. 34
    加えて
    VPC間、VPC-オンプレ間の
    通信を捻じ曲げたい時にも使う
    

    View Slide

35. 35
    例 : インターネットに出る時はVPCを経由する
    

    View Slide

36. 36
    例 : VPC間の通信をNetwork Firewallで検査する
    

    View Slide

37. 37
    個人的Transit Gatewayを使わなければならない場面
    1. オンプレと大量のVPCとが直接通信を行う必要(可能性)が
    ある
    2. 相互に接続する必要(可能性)があるVPCの数が多い
    ○ 要するに構成をスッキリさせたい
    3. 通信を捻じ曲げる必要(可能性)がある
    他にもSite-to-Site VPNでECMPを使いたい場合やSD-WAN製
    品と連携したい場面でも使用するぞ
    

    View Slide

38. View Slide