OutpostsラックのNWを作った話

Transcript

1. OutpostsラックのNWを作った話 野村総合研究所 唐川大輝
2. 自己紹介 唐川 大輝 ◼ ネットワークエンジニア ◼ Direct Connectプロバイダーとしてサービス運用 ◼ 2024 Japan AWS Top Engineer (Networking) ◼ JAWS 初参加 ◼ re:Invent 初参加 好きなAWSサービス ◼ Direct Connect ◼ Transit Gateway ◼ AWS Outposts
3. 本日お話しすること ◼ Outpostsとは ※OutpostsラックとOutpostsサーバがありますが、 Outpostsラックを前提にお話しします。 ◼ OutpostsラックのNWの構築の話 ◼ 導入の流れ ◼ NWに関連する仕様と留意事項
4. Outpostsラックとは ◼ DC内にAWSサービスを稼働させられるラックを配置できるサービス ◼ 英単語Outpostsの意味は「前哨基地」 ◼ ※利用できるサービスには限りがある。サーバレス系は現状不可。 ◼ 主なユースケース ◼ 自社DC内サーバとAWSリソース間を低レイテンシで接続したい ◼ データレジデンシー要件への対応 Corporate data center Outposts rack AWS Cloud customer resources 低レイテンシ データレジデンシー サービスリンク LGW通信 Customer Edge Router
5. Outpostsラックとは ◼ 金融系システムへの適用も！ ◼ Nasdaqでの利用（re:Invent 2022 セッション） ◼ クラスメソッドさんの記事： [セッションレポート]NASDAQ：ミッションクリティカルで低レイテン シーのワークロードをAWSに移行する (FSI312) #reInvent ◼ アーカイブ動画： AWS re:Invent 2022 - Nasdaq: Moving mission-critical, low-latency workloads to AWS (FSI312) ◼ 金融リファレンスアーキテクチャ ◼ 金融リファレンスアーキテクチャ日本版 v1.5 アップデートのお知らせ
6. 余談 ◼ Nasdaqモデルは現行モデルと 異なる仕様が多い ◼ Ultra Low Latency NIC ◼ L2マルチキャスト可能 ◼ etc ...
7. Outpostsラック導入の全体の流れ ①仕様調査 ◼ Outposts特有の機能や仕様が多数 ②発注 ◼ Outpostsを発注してしまったら変更できないorしづらい項目も（NW以外にもさまざま） ③サイトバリデーション ◼ ラック設置に十分な設備が整っているかチェック ◼ 参考：Outposts ラックのサイト要件 ④NWバリデーション ◼ OutpostsラックがAWSリージョンと通信可能な状態にあるかテスト ◼ 実際にAWS担当者がルータを持ってくる ⑤ラック設置 ⑥アクティベーション ⑦利用開始！ 要注意 要注意 要注意
8. サービスリンクとローカルゲートウェイ Corporate data center Outposts rack AWS Cloud customer resources サービスリンク LGW通信 Customer Edge Router
9. ◼ OutpostsとAWSリージョンとの通信 ◼ コントロールプレーン通信 ◼ マネジメントコンソールのOutposts上リソースの操作など ◼ AWSリージョンとの通信 ◼ OutpostsサブネットとリージョンサブネットとのVPC内通信 ◼ 3つの構築方法 ◼ インターネット ◼ DirectConnect パブリックVIF ◼ DirectConnect プライベートVIF←おすすめ Corporate data center Outposts AWS Cloud Outposts Subnet Service link Anchor VPC backbone Region Subnet Service Link (VPN) VPC VPC Traffic ※図はプライベートVIFによる構築 サービスリンク ◼ 高可用性が求められる ◼ 切れたらマネコンからOutpostsのリソース操作できない ◼ リージョン側リソースと通信できない （思いがけずリソースの動作が止まるかも） ◼ ※DC内の通信は継続可能 ◼ 広帯域 ◼ 500Mbps以上推奨 ◼ コントロールプレーンの通信と業務通信が共存するため ◼ Anchor VPCまで接続を構築 ◼ その上でVPNを張っている ◼ MTU制限アリ：1300
10. ◼ OutpostsとDC内の通信 ◼ DC内の顧客リソースとの通信 ◼ 他のOutpostsラックとの通信（場合による） ◼ CoIP mode とDVR mode が存在（後述） ◼ モードを変更するにはLGWの作り直しが必要 NWに通信断が発生 ローカルゲートウェイ (LGW) ◼ 通信の分離ができない ◼ LGWで異なるVPCの通信は区別できない ◼ 異なるVPCからそれぞれ対応するDC内顧客リソー ス群と通信したいということができない。 ⇒DC内のNW側で対応すれば分離可能 ◼ OutpostsのVPCと顧客リソース間でトンネルを張る ◼ ポリシーベースルーティングで振り分ける ◼ etc ... Corporate data center Outposts rack customer resources Local GW Outposts rack 2 Local GW Customer Edge Router Corporate data center Outposts rack VPC-A VPC-B resources A resources B NWをVPCごとに論理分割できない ⇒VPC-Aからresources Bに通信できてしまう Local GW
11. CoIP mode VS DVR mode 引用：How to choose between CoIP and Direct VPC routing modes on AWS Outposts rack CoIP（Customer-owned IP) mode ◼ OutpostsサブネットIPがCoIPプールの アドレスにNATされてDC環境にBGPで広報 ◼ CoIPを割り当てるENIを選択できる ＝LGWに向けて通信できるリソースを制御 ◼ NATに対応できない通信がDCサーバと Outposts間で存在するとNG DVR（Direct VPC Routing）mode ◼ OutpostsサブネットIPがそのまま DC環境にBGPで広報 ◼ DC環境とのIP重複に注意 ◼ 一部サービス利用に制限あり ◼ S3 on OutpostsへDC環境から直接アクセス不可 ◼ RDS on OutpostsのマルチAZ構成が取れない
12. まとめ ◼ Nasdaqの例からも金融系システムでの利用に期待！ ◼ 今後のアップデートにも期待。 ◼ 通常のAWS利用とOutpostsとの違いや特殊な仕様に要注意（NWに限らず） ◼ サービスリンクは高可用・広帯域で構築しよう ◼ Local Gatewayでは通信の分離は不可 ◼ モード選択（CoIP, DVR）は変更しづらいので選定は要注意 ◼ etc. . .
13. Appendix re:Inventで発表されたアップデート
14. 引用：AWS Outposts Rack – Networking Reference Architecture (awsstatic.com) サービスリンク ローカルGW オンプレ環境へ Appendix ネットワーク全体像