อัพเดทบริการ AWS Site-to-Site VPN ในปี 2024

สรุปข้อมูลเกี่ยวกับ AWS Site-to-Site VPN ในปี 2024 โปรดใช้บทความนี้เป็นข้อมูลเบื้องต้นเกี่ยวกับ AWS Site-to-Site VPN

#Classmethod Thailand

#Thai Language

#AWS

#AWS-Thai

#AWS Site-to-Site VPN

Patarapong Armuttaporn

2024.06.17

บทความนี้แปลมาจากบทความที่เป็นภาษาญี่ปุ่นที่ชื่อว่า AWS入門ブログリレー2024〜AWS Site-to-Site VPN編〜 โดยเจ้าของบทความนี้คือ คุณ なおにし

AWS Site-to-Site VPN โดยรวม

AWS Site-to-Site VPN เป็นบริการที่ใช้เทคโนโลยี virtual private network (VPN) เพื่อสร้างการเชื่อมต่อที่ปลอดภัยและมีความเป็นส่วนตัวระหว่าง AWS cloud และ เครือข่ายอื่นๆ
ทาง AWS มีบริการที่ใช้ VPN อยู่ 2 แบบคือ 1. AWS Site-to-Site VPN และ 2. AWS Client VPN โดย AWS Site-to-Site VPN จะทำการเชื่อมต่อเครือข่ายไปที่ AWS เพราะฉะนั้น client side ที่เชื่อมต่อไปยัง VPN(AWS) ก็คืออุปกรณ์เครือข่าย(หรือเซิร์ฟเวอร์หรือบริการที่มีฟังก์ชันเกตเวย์)
ในส่วนของ AWS Client VPN ทาง client side จะเป็นอุปกรณ์ใช้งานส่วนตัว เช่น PC ซึ่งจะไม่ได้พูดถึงในบทความนี้

วิธีการเชื่อมต่อ

วิธีการเชื่อมต่อโดยใช้ VPN มีอยู่หลากหลายวิธีอย่างที่แสดงอยู่ด้านล่าง ซึ่งไม่ได้คำนึงถึง network layer
แต่ลองยกตัวอย่างเช่น การเชื่อมต่อ VPN แบบมาตรฐานด้วยระบบปฏิบัติการ Windows ที่ใช้ L2TP/IPsec และมีผู้ให้บริการเครือข่ายขยาย IPsec เพื่อเสนอวิธีการเชื่อมต่อ VPN ที่เป็นกรรมสิทธิ์ของตนเอง

L2TP
OpenVPN
SSL-VPN
IPsec
WireGuard etc...

ดังนั้นเมื่อเชื่อมต่อด้วย VPN เราต้องตั้งค่า client side ให้เหมาะสมกับวิธีการเชื่อมต่อที่เราใช้
จากตัวอย่างด้านบน AWS Site-to-Site VPN ซัพพอร์ตการเชื่อมต่อ IPsec เพราะฉะนั้นการเชื่อมต่อ VPN สามารถถูกสร้างด้วยการตั้งค่า IPsec ต่างๆที่ได้รับจาก AWS Site-to-Site VPN ในส่วนของ client side(customer gateway)ที่เชื่อมต่อ VPN ให้เหมาะสม โดยสามารถดูช่องทางในการเชื่อมต่อได้ที่นี่
นอกจากนี้ วิธีการกำหนดเส้นทางยังรองรับทั้งการกำหนดเส้นทาง dynamic และ static โดยในกรณีของการกำหนดเส้นทางแบบ dynamic จะรองรับโปรโตคอล BGP (Border Gateway Protocol) หากอุปกรณ์ customer gateway รองรับ BGP ก็ควรตั้งค่าให้เป็น BGP ด้วย
และเมื่อทำการตั้งค่า BGP จะต้องออกแบบและตั้งค่าหมายเลข ASN (Autonomous System Number/หมายเลขระบบอิสระ) ด้วยเช่นกัน

ปลายทางการเชื่อมต่อ(ในส่วนของ AWS)

เราสามารถใช้ได้ 3 วิธีในการเชื่อมต่อกับ customer gateway (target gateway)

Virtual Private Gateway(VGW) หากเป็นเครือข่ายขนาดเล็กที่มีการเชื่อมต่อเฉพาะ VPC ที่เจาะจง
Transit Gateway(TGW) ากเป็นเครือข่ายที่ต้องเชื่อมต่อ VPC หลายตัวภายในภูมิภาคเดียวกัน
Cloud WAN หากเป็นเครือข่ายที่ต้องเชื่อมต่อ TGW ในภูมิภาคต่างๆ

โดยหลักการคือ การเลือกใช้ตามขนาดของ network ( VGW < TGW < Cloud WAN )
นอกจากนี้ ตามที่กล่าวถึงในภายหลังเกี่ยวกับค่าใช้จ่ายและโควต้าการใช้ ตัวเลือกที่สามารถเลือกได้เมื่อต้องการเชื่อมต่อ VPN จะแตกต่างกันไปตามประเภทของเกตเวย์ที่ใช้งาน

เริ่มการใช้งาน

ในบทความต้นฉบับ คุณ なおにし ได้ใช้ FortiGate ในการจำลองเป็นเซิฟเวอร์ on-premises
ดังนั้นในบทความนี้ผมขออนุญาตแนะนำการใช้งาน Site-to-site VPN จากบทความนี้แทน

การคิดค่าบริการของ Site-to-Site VPN

AWS Site-to-Site VPN จะมีค่าใช้จ่าย 2 ประเภท ดังนี้

ค่าบริการการเชื่อมต่อ AWS Site-to-Site VPN

สำหรับการเชื่อมต่อ Site-to-Site VPN แต่ละการเชื่อมต่อจะมีค่าใช้จ่าย USD 0.05 ต่อชั่วโมง (ในกรณีของ Singapore Region)

ค่าบริการสำหรับการถ่ายโอนข้อมูล

USD 0.09/GB
ค่าบริการการรับส่งข้อมูลจะใช้โครงสร้างค่าใช้จ่ายเดียวกับการรับส่งข้อมูลออกจาก Amazon EC2

ฟรี 100 GB แรก
ข้อมูลที่ส่งเข้ามาจะไม่คิดค่าบริการ

ถ้ารู้สึกว่ายังมีค่าใช้จ่ายสูงเกินไป อาจพิจารณาการใช้งานแบบเปิดเฉพาะเวลาที่ต้องการใช้ เช่นเดียวกับ EC2
สามารถตรวจสอบค่าใช้จ่ายเพิ่มเติมเกี่ยวกับ Site-to-Site VPN ได้ที่นี่
ดังนั้น หากต้องการลดค่าใช้จ่ายจากการเชื่อมต่อ AWS Site-to-Site VPN การตัดการเชื่อมต่อกับ Customer Gateway เพียงอย่างเดียวนั้นไม่เพียงพอ จำเป็นต้องลบการตั้งค่าการเชื่อมต่อ Site-to-Site VPN ออกด้วย
เมื่อทำการลบการตั้งค่าแล้ว ที่อยู่ external IP และคีย์ที่แชร์ไว้ล่วงหน้าก็จะเปลี่ยนด้วย ดังนั้นหากต้องการสร้างการเชื่อมต่อ AWS Site-to-Site VPN ขึ้นใหม่ จำเป็นต้องทำการตั้งค่าใหม่อีกครั้งทางฝั่ง Customer Gateway ด้วย
นอกจากนี้ สำหรับการเชื่อมต่อ VPN ความเร็วสูงที่เปิดใช้งานการเร่งความเร็ว (acceleration) จะมีค่าใช้จ่ายเพิ่มเติมในส่วนของ AWS Global Accelerator แต่ในบทความนี้จะไม่พูดถึง
ซึ่งการเชื่อมต่อ VPN ความเร็วสูงสามารถเปิดใช้งานได้เมื่อเราใช้ Target Gateway เป็น Transit Gateway หรือ AWS Cloud WAN และไม่สามารถใช้ร่วมกับ Virtual Private Gateway (VGW) ได้

โควต้าของ AWS Site-to-Site VPN

อ้างอิงตามเอกสารนี้
มีข้อจำกัดบางอย่างที่ระบุไว้ในเอกสาร ดังนี้

ไม่สามารถเพิ่มโควต้าสำหรับ dynamic route หรือ static route ได้
Jumbo frame ไม่ได้รับการซัพพอร์ตจาก Maximum Transmission Unit (MTU)
การกำหนดค่า MTU อัตโนมัติผ่าน Path MTU Discovery ไม่ได้รับการซัพพอร์ต

นอกจากนี้ยังมีข้อจำกัดทั่วไปต่อไปนี้

ไม่ซัพพอร์ต IPv6 หาก target gateway เป็น Virtual Private Gateway (VGW) สำหรับการเชื่อมต่อ VPN
CIDR blocks ของเครือข่าย VPC และ on-premises ไม่ควรทับซ้อนกัน

สรุป

มีผู้ที่สนใจอยากจะเปลี่ยนมาใช้ระบบ cloud อีกมาก แต่ก็ยังคงใช้เซิฟเวอร์ที่เป็น on-premises อยู่ ในขณะที่อุปกรณ์ต่างๆมีอายุการใช้งานที่มากขึ้นจึงจำเป็นต้องบำรุงรักษา อาจต้องพิจารณาว่าจะเปลี่ยนมาใช้ cloud หรือระบบ on-premises แบบใหม่ดี
และเพื่อเชื่อมต่อระหว่าง cloud และ on-premises ก็ยังมีทางเลือกอีกหนึ่งอย่างก็คือ AWS Direct Connect แต่ก็ต้องเตรียมการหลายขั้นตอนสำหรับการทดสอบระบบ
ในขณะที่ AWS Site-to-Site VPN สามารถทดสอบระบบได้เลย หวังว่าบทความนี้จะมีประโยชน์สำหรับผู้อ่านในการเลือกวิธีการในการเชื่อมต่อระหว่างเครือข่ายครับ