Hub＆Spoke環境のネットワークルーティングを分解してみる 津⾕拓郎 

⽬次 2 内容 ○ はじめに ○ ルーティングサービス（VPCルートテーブル‧TGWルートテーブル） ○ Hub&Spoke環境でのネットワークルーティング設定 ■ 閉域接続 ■ インターネット接続 ■ Appendix：東阪Peering接続 

はじめに 3 Organization統制下のマルチアカウント環境でネットワーク設計を⾏ったこと はありますか？ ないです そうですか。試しにシステム構成図を⾒せてみますね。 

はじめに 4 インターネット接続 閉域（オンプレ）接続 東阪Peering接続 

はじめに 5 気分悪くなってきた。 同感です。ただ、複雑なネットワークはルーティングをかみ砕けば、個⼈的に 楽になると思うのです。 ルーティングはSGなどのステートフルなものと違い、戻りも考慮する必要があ ります。なので各アクセスパターンごとに往路復路で分解してみます。 時間がないので、東阪PeeringはAppendixでご容赦ください 

はじめに ⼀般的なHub&Spoke構成で考えてみます。主なアクセス経路は3つです。 【インターネットアクセス】 ①SpokeアカウントのEC2からTransit Gateway経由でHubアカウントに接続 ②HubアカウントのNetwork Firewall（TGW統合）でInspection（検査）実施 ③検査完了後にNat Gateway⇒Internet Gateway経由でインターネットに接続 【オンプレミスアクセス】 ①SpokeアカウントのEC2からTransit Gateway経由でHubアカウントに接続 ②HubアカウントのDirect Connect Gatewayを経由し、オンプレミス環境に接続する 【東阪ピアリングアクセス】 ①東京リージョンのSpokeアカウントEC2からTransit Gateway経由でHubアカウントに接続 ②東阪のTransit Gateway間でPeering接続を実施 ③⼤阪リージョンのTransit Gateway経由で、HubアカウントのEC2に疎通 6 

ルートテーブルは「次の 1歩」を決める表 目的地までの経路が1か所に書いてあるのではない。層ごとに1回だけ「送信先 → ネクストホップ」を引いている。 サブネット 1 Transit Gateway 1 VPC-A / 10.0.0.0/16 VPC ルートテーブル 2 引く主体：サブネット（1サブネット = 1テーブル） 送信先（宛先 CIDR） 10.1.0.0/16 サブネット 2 中継点 VPC-B / 10.1.0.0/16 TGW ルートテーブル 引く主体：アタッチメント（関連付けされた1テーブル） ターゲット＝ネクストホップ tgw-0a1b2c3d TGW アタッチメント 決まるのは「 TGW まで渡す」ところだけ。 この先どう転送されるかは一切書かれていない。 送信先（宛先 CIDR） 10.1.0.0/16 ターゲット＝ネクストホップ tgw-attach-b VPC-B アタッチメント 決まるのは「 VPC-B へ渡す」ところだけ。 その先はまた VPC-B 側のテーブルが決める。 層ごとに 1回ずつ、同じ形の表を引いているだけ。どちらかの層に経路が無ければ、そこで通信は止まる。 

ポイント整理 Hub&Spokeの構成では、以下を実践してみると腑に落ちやすいです。 ①ルーティングの層を分解する 次のスライドでは⾚線がTGWルートテーブル‧⻘線をVPCルートテーブルで分解します。 ②アクセスパターンごとに図を切り出してみる インターネット向け‧オンプレミス向け‧東阪Peering向けで分けて考えます。 ③アクセスパターンごとに往路（⾏き）‧復路（戻り）に分解する 往路‧復路のルーティングを分解します。 8 

インターネットアクセス（往路） 9 

インターネットアクセス（復路） 10 

閉域アクセス（往路） 11 

閉域アクセス（復路） 12 

東阪Peering（往路） 13 

東阪Peering（復路） 14 

No content