AWS DirectConnect テストラボトレーニング１~∼VPN+DX アマゾンデータサービスジャパンプリンシパルソリューションアーキテクト荒⽊木靖宏 !  VPCのVPNサービス Public subnet + Private subnet + VPN Corporate = 172.16.0.0/16 GW Virtual Private Cloud = 10.0.0.0/16 Internet Gateway Security Group Public Subnet Destination Target 10.0.0.0/16 local 0.0.0.0/0 Internt Gateway VPN Gateway NAT instance Security Group Private Subnet Destination Target 10.0.0.0/16 local 172.16.0.0/16 VPN Gateway 0.0.0.0/0 NAT Instance ハードウェアVPN •  IPsec VPN –  –  –  –  AES 128 bit の暗号化トンネル Pre-‐‑‒shared キーを使⽤用して、IKE セキュリティ接続を確⽴立立 SHA-‐‑‒1 ハッシュ「グループ2」モードでのDH Perfect Forward Secrecy •  暗号化の前にパケットの断⽚片化を実⾏行行する •  経路路 –  BGP (Border gateway protocol) または –  Static 対応ルータ •  http://aws.amazon.com/jp/vpc/faqs/#C9 •  対応ルータでは設定サンプルを提供 •  BGP –  Astaro, Cisco, Fortigate, Juniper(J, SRX, SSG, ISG), PaloAlto, Vyatta, Yamaha RTX1200等 •  Static –  Cisco(ASA5500, ISR), Juniper (J, SRX, SSG, ISG), windows server 2008R2以降降、Yamaha RTX1200等事前の準備 •  ハードウェアルータ •  Public IPアドレス –  Virtual Gateway (VGW)との通信に使⽤用 –  VPCの数だけ必要。同⼀一リージョンでの重複はできない。 •  IKE(UDP port 500)とIPsec（IP Protocol 50)への通信が可能なこと –  ISPでの制限、FWの存在に注意 –  NAT-‐‑‒T(UDP port 4500へのfallback)は使⽤用できません。 VPNの設定 VPCダッシュボードから「Start VPC Wizard」を選択「Hardware VPN Access」があるWizardを選択 CustomerGatewayとプロトコル選択拠点側のVPNルータのグローバルIPアドレスを指定 VPN通信プロトコルを BGPかStaticかを選択 Staticの場合には、拠点側の Subnetを指定する ※「Add」を忘れずに VPCとSubnetのCIDR指定及び確認 VPCとPrivateSegmentの SubnetのCIDRを変更更します内容を確認後、内容「Create VPC」を押下 VPCとPrivate Segment作成処理理中作成完了了後拠点側のVPNルータに設定するConfigを⼊入⼿手 VPNルータ設定⽤用Configダウンロード拠点側のVPNルータの以下の情報を選択します１）ベンダー名２）機種３）OSバージョン「Yes,Download」を選択し、Configをダウンロードします !  AWS DirectConnect AWS Direct Connectの特徴 •  帯域スループット向上 •  インターネットベースの接続よりも⼀一貫性がある •  ネットワークコスト削減 AWS Cloud EC2, S3などの Public サービス専⽤用線サービスお客様相互接続ポイント Amazon VPC AWS Direct Connectの物理理接続 AWS Cloud EC2, S3などの Public サービス専⽤用線お客様相互接続ポイントコロケへの専⽤用線引き込みと違ってサーバ設置場所を限定しない。相互接続ポイントはサーバのあるゾーンではない場所 Zone A Amazon VPC Zone AWS Direct Connectの物理理接続 AWS Cloud EC2, S3などの Public サービス専⽤用線相互接続ポイントお客様東京リージョンにおいてはEquinix TY2 Zone A Amazon VPC Zone AWS Direct Connectの論論理理接続 •  論論理理的にはPublic向けと、VPC向けで異異なる AWS Cloud •  BGPによる接続 EC2, S3などの Public サービス専⽤用線お客様相互接続ポイント Zone A Amazon VPC Zone B AWS Direct Connect 詳細内容（エンドユーザ向け） •  AWS Direct Connectは、1Gbpsおよび10Gbpsの接続を提供 •  リージョン毎に契約 •  多くの容量量が必要な場合、複数の接続のプロビジョニングが可能 –  専⽤用線サービスは、お客様が下記の選択肢から選択 1.  お客様⾃自⾝身がエクイニクス相互接続ポイントに専⽤用線を直接つなぐ 2.  通信事業者,APNの接続サービスを利利⽤用 AWS Direct Connect Sub-‐‑‒1G（APN向け） •  AWSがAPNに対して無償で物理理ポートを提供 •  シェーピングをしたVLANで分離離された論論理理ポート •  エンドユーザが利利⽤用料料をAWSに⽀支払い –  500M, 400M, 300M, 200M, 100M, 50M •  http://aws.amazon.com/directconnect/ pricing/ Direct Connect 課⾦金金体系 •  ⽉月額利利⽤用料料は下記の計算で課⾦金金されます AWS Direct Connectの⽉月額利利⽤用料料＝ ① ポート使⽤用料料＋ ② データ転送料料 APNにより拡張された AWS Direct Connectサービス •  相互接続ポイントにおける接続装置等の設置場所 –  専⽤用線とのパッケージ提供する場合も •  10Mbps, 100Mbps等1Gbps よりも狭帯域のサービス •  お客様指定の場所から相互接続ポイントまでのアクセス •  広域WANで複数拠点からAWSへの接続 AWS Direct Connect：Publicサービス Public IPを使ったBGP接続専⽤用線 AWS Cloud EC2, S3などの Public サービス相互接続ポイントお客様 Private ASの場合はそのIPアドレスはAWSとの通信専⽤用になる Zone A Amazon VPC Zone AWS Allocated Public IP •  AWSの持つIPアドレスを割り当てるサービス –  Public IPを持たない（割り出せない）ユーザ向け AWS Direct Connect：Publicサービス（AWS Allocated IP) Public IPを使ったBGP接続専⽤用線 AWS Cloud EC2, S3などの Public サービス相互接続ポイントお客様 IPアドレスはAWSとの通信専⽤用になる Zone A Amazon VPC Zone AWS Direct Connect：VPCサービス Private ASを使ったBGP接続専⽤用線 AWS Cloud EC2, S3などの Public サービス相互接続ポイントお客様 Private ASを使⽤用 == VPCをVPNで使う場合と同じ IPSecトンネルの代わりに専⽤用線上のVLANがあると考えればok Zone A Amazon VPC Zone B 論論理理接続形態ラックはEquinix，もしくはAPNから調達 VLAN VLAN VLAN ラックキャリアバックボーン回線終端装置 R 10G 1G Equinix TY２ AWSラック EC2,S3などのPublic サービス VPC R End user （多数）ネットワークプロバイダコロケーションまたはEUの責任範囲プロバイダの責任範囲（構内配線のみ） VPC AWSの責任範囲 Public向け VLAN 使⽤用可能なルータの条件 •  •  •  •  BGP TCP MD5 802.1q VLAN マネージメントコンソールで設定提供 –  Cisco –  Juniper AWS DirectConnect 接続のステップ次ページにて詳細説明検討開始 DXSPに依頼⾃自社で⼿手配する? DXSP: Direct Connect Solution Provider 回線業者選定接続点ラックを契約 Publicサービスを直接使う? Public AS を持っている? Public ASの取得 Public 接続回線終端装置の置き場はある? VPCを使う? 物理理接続 VPC 接続利利⽤用開始 AWS DirectConnect 接続のステップ詳細物理理接続 Direct Connect 使⽤用申請 LOAをお客様へ発⾏行行 LOAをEquinixへ申請物理理結線物理理接続完了了お客様作業 Equinix様作業 AWS作業 (営業) AWS NWチーム作業 DX設定１物理理接続の申請１ AWS DirectConnect 接続のステップ詳細 Public 接続 VPC 接続 VLAN ID決定 VLAN ID決定 Private AS番号決定お客様ルータ VLAN/BGP設定お客様ルータ VLAN/BGP設定 AS番号/Prefix/ VLANID/ LOAをMCで⼊入⼒力力 AS番号/Prefix/ VLANID/ LOAをMCで⼊入⼒力力お客様作業 AWSルータ VLAN/BGP設定 AWSルータ VLAN/BGP設定 AWS NWチーム作業 Public接続完了了 VPC接続完了了 Equinix様作業 AWS作業 (営業) DX設定１２ Create Virtual Interface ２ DX設定１２ 3 configの取得 3 Downloadしたconfig抜粋 interface GigabitEthernet0/1 no ip address interface GigabitEthernet0/1.3 description "Direct Connect to your Amazon VPC or AWS Cloud" encapsulation dot1Q 3 ip address 169.254.252.2 255.255.255.252 router bgp 65534 neighbor 169.254.252.1 remote-‐‑‒as 10124 neighbor 169.254.252.1 password X_̲wlwFyyPWLEToUQIU7CRrA1 network 0.0.0.0 exit AWS DirectConnect 接続のステップ詳細（物理理結線のIDと利利⽤用者が異異なる場合） Public 接続 VPC 接続 VLAN ID決定 VLAN ID決定 Private AS番号決定お客様ルータ VLAN/BGP設定お客様ルータ VLAN/BGP設定 AS番号/Prefix/ VLANID/ LOAをMCで⼊入⼒力力 AS番号/Prefix/ VLANID/ LOAをMCで⼊入⼒力力お客様作業 AWSルータ VLAN/BGP設定 AWSルータ VLAN/BGP設定 AWS NWチーム作業 Public接続完了了 VPC接続完了了 Equinix様作業 AWS作業 (営業) エンドユーザがVGWをつくるエンドユーザがVGWをつくるエンドユーザがつくったVGWを確認パートナーがVirtual Connectionをつくるパートナーが必要な情報を⼊入⼒力力パートナーがつくったVirtual Interfaceを確認エンドユーザがAccept エンドユーザがAcceptするエンドユーザが紐紐付けるVGWを指定パートナーがVirtual Interfaceの追加を確認パートナーが接続に必要なBGP関連情報を確認パートナーがルータ設定を確認 VPC+VPN/Direct Connectの構成例例 AWS構成例例（仮想グループクラウド）貴社プライベートクラウド各種団体等本社グループクラウド網⽣生産関連会社A ⽣生産関連会社B ⽣生産関連会社C ü  グループクラウド網と専⽤用線サービス接続 ü  イントラネットの⼀一部として AWSの利利⽤用が可能（仮想グループクラウド） ü  ハイブリッドクラウドサービスの⼀一つ選択肢としてAWSを提供 Amazon Storage Gateway DirectConnect VPN http://aws.amazon.com/storagegatewa CloudHubのHubとしてのVPC 本社 Virtual Gateway AWS Direct Connect Router VPN Connection Virtual Private Cloud ハイブリッド環境例例⼈人事 1 VPC 専⽤用線既存環境 Direct Connect 接続⼝口監視ソフト管理理者 SSO 利利⽤用者 DNS Router#1 Router#1 Router#2 Router#2 FW AD NTP V G W Router#1 Router#2 WIN Oracle 1 VPC 営業⽀支援 WIN V 1 VPC G W V G W 専⽤用線またはVPN 保守業者 V G W 会計 WIN Oracle 1 VPC BI BI DB ⽂文書管理理 1 VPC V G W WIN Proxy オンプレミスとVPCの接続冗⻑⾧長化 •  DirectConnect＋DirectConnect •  DirectConnect+VPN •  VPN+VPN いずれの⽅方法でも可能。VPNでも BGPによる接続を推奨 Active/Stand-‐‑‒ByのためにはBGP MEDもしくはAS−PREPEND等 Router#1 Router#1 Router#2 Router#2 DXとVPCの上限について •  BGP経路路数はVPCあたり100以下 –  経路路集約をおねがいします。 •  VPNの接続数はVPCあたり50まで •  Sub-‐‑‒1Gは通常DXポートと別アカウントです Appendix キャリア担当連絡先 •  •  •  •  •  Equinix 上⽥田様セールスマネージャー [email protected] 03 6402 6967 •  •  •  •  •  TOKAIコミュニケーションズ草郷拓拓哉様 kusagou_̲tky@tokai-‐‑‒grp.co.jp Tel：03（5404）7315 aws@tokai-‐‑‒grp.co.jp •  •  •  •  •  KVH 桐⽣生様 [email protected] inquiry_̲[email protected] 03-‐‑‒4560-‐‑‒7202 •  •  •  •  •  NTTPC 三澤様、橋本様、 hibiki-‐‑‒[email protected] [email protected] キャリア担当連絡先 •  •  •  •  •  •  •  •  •  ソフトバンクテレコム •  佐久間様、⼤大⻄西様 [email protected] •  p •  [email protected] •  SBTMGRP-‐‑‒AWSDC-‐‑‒ •  [email protected] NTTコミュニケーションズ河原正⼈人様 03-‐‑‒6733-‐‑‒0185（代表） [email protected] •  •  •  •  aws-‐‑‒[email protected] cloudpack 櫻井様 [email protected] external-‐‑‒[email protected] KDDI 岩下様 ya-‐‑‒[email protected] aws-‐‑‒[email protected]