20260804＿NW-JAWS

Network Jaws Speaker Lightning talk presentation.

Transcript

1. Site to Site VPN を繋いだ時に見つけた 意外な落とし穴 2026/08/04 Shirayuki a.k.a Yuki Sunaoka
2. 目次 • • • • • • 注意事項 自己紹介 AWS Site to Site VPNとは 落とし穴1：2重NATはまたげない 落とし穴2：異種ルータ2種でも登 録IPが同一であれば繋がる 学びのまとめ
3. 注意事項 この登壇内容は、登壇者本人が、数年前、特殊な環境下でSite to Siteを繋いだ 際にはまり込んだ事象を元に作成しています。 AWS Well-Archtected FrameworkやAWS様が非推奨としている 事象が多分に含まれています。ご了承ください。
4. 自己紹介 • name ◦ • Company & Job ◦ ◦ • JAWS-UG クラウド女子会運営 JAWS-UG 情シス支部運営 JAWS-UG 配信部見習い AWS Global Community Gatherings 共同運営 AWS Community Bulders as Security Category 2年目 SNS ◦ • 某社でセキュリティマネージャー SREとCloud Architectも兼任 Community ◦ ◦ ◦ ◦ ◦ • 白”雪姫”-Shirayuki- a.k.a Yuki Sunaoka yuri_snowwhite ▪ Qiita・X・SpeakerDeckなど大体これ 好きなサービス ◦ AWS Inspector
5. AWS Site to Site VPNとは？ • • • • • • オンプレミスとVPCをIPSecVPNで繋ぐサービス ◦ NAT-Travasal(以後NAT-T)に対応 ←今回ここの落とし穴を話します 最大速度は1.25Gbps(1トンネルあたり) CloudWatchメトリクスによる監視可能 利用料金は接続時間とデータ転送量 通信トンネルは2個張られ、冗長構成 ←今回ここの落とし穴を話します IPv6に対応しており、IPv4とIPv6では、別々にVPNを組む必要がある 公式文書より要約 https://docs.aws.amazon.com/ja_jp/vpn/latest/s2svpn/VPC_VPN.html
6. 落とし穴1：2重NATはまたげない 次のスライドで2つの簡易構成図をお見 せします。 片方はVPN接続できません。セキュア環 境とかでお役立てください
7. 落とし穴1：2重NATはまたげない 構成1 RT1 構成1 RT1とRT2間は、ローカルIPで の接続、AWSとのVPNはRT1と 繋ぐ。 RT2 このネットワークはローカルIP 構成2 RT1と RT2間は、グローバル IPでの分岐をしている。 AWSとのVPNはRT1と繋ぐ 構成2 RT1 RT2 このネットワークはグローバルIP
8. 落とし穴1：2重NATはまたげない理由 構成1と2では大きな違いがある - グローバルIPを付与しているルータは接続 可能で、ローカルIP接続している方は接続 が出来ない - NAT-T対応ルータでもUDPパケットが転送で きないと配下ルータでの接続が出来ない NAT-T及びRT2でのポート開放状況やプロバ イダ制約状態により変化 構成2では、グローバルIP分配なので、RT1 でもフィルタなどの設定ができることが多 いため簡単に接続できる この理由は、AWSがサンプル配布する時に グローバルIPを指定しているため、RT1で 保有してるグローバルIPにしかパケットを 飛ばさないため
9. • 落とし穴2：異種ルータ2種でも登録IPが同一であれば繋がる 落とし穴1と全く逆のことを説明しま す。頭が混同されないようにお気をつけ 下さい。
10. • 落とし穴2：異種ルータ2種でも登録IPが同一であれば繋がる • • RT2 RT3 RT1 • RT3はステートフルでUDP パケットもNAT Traversal 出来る AWSからのコンフィグサン プルでTunnelが2本出てく る RT2とRT1でそれぞれでVPN を繋ぐことが可能
11. • 落とし穴2：異種ルータ2種でも登録IPが同一であれば繋がる 物理ルータの冗長構成はVRRPやCold-Standby等と言った構成がある - 多くの制限がかかる - 拠点間VPNの対地数が少なくなる IPアドレスの設定帯域の制限（対応アドレス範囲がクラスBまで等） 上位のインターネット接続ルータをVRRP等で構成後に配下でTunnelを分離して接続 して、ルーティングと冗長性を担保できる - この際、VPN接続には他社ルータを利用しても繋がる
12. 学びのまとめ • • • ネットワークはログだけではなくパケット から知りましょう ルータの制約を忘れてはいけない 1台に纏めずに分散することもサービスを止 めない為に大事
13. ご清聴 ありがとうございました