オンプレサーバーをターゲットにしたALBリバースプロキシ環境を構築してみる

2019.11.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Application Load Balancer (ALB), Network Load Balancer (NLB) はターゲットにローカルIPアドレスを指定できます。 VPCピアリング接続先のインスタンスや、Direct Connect・VPN接続先のオンプレのサーバーをターゲットグループに登録することができます。

今回は実際にオンプレのサーバーをターゲットに登録した ALBリバースプロキシ環境を構築してみます。構築した検証環境は以下の通り。

背景

私が上の検証環境を構築するに至った経緯を説明します。 (スキップして次章: 環境構築を見ていただいてOKです)

Direct Connect(DX) 先の外部サービスの通信制限で、接続元VPCの CIDRは指定値にしないとイケないケースを考えます。

この要件を満たすために、前々回のブログや前回のブログで自前でプロキシサーバーを構築していました。

が、通信要件次第では AWSマネージドサービスで構成できることが分かりました。

想定する本番環境

ゴールは既存環境(VPC) のAPPサーバーから外部サービスのローカルIPに対して HTTP(S) 通信を行えることです。

新規VPCを作成し、その上に Application Load Balancer(ALB) を使ったリバースプロキシ環境 を構築します。 ALBのターゲットには 外部サービスのローカルIP を指定します。

環境構築

検証環境を再掲します。

外部サービスは VPN接続先のオンプレ(自宅)のサーバーとします
ALBを配置しターゲットにオンプレサーバーのローカルIP を指定します
APPサーバーが ALB経由でオンプレサーバーに http(s)通信できることを確認します

構築は CloudFormation(CFn)で行いました。こちらに作成した CFnテンプレートを上げています。

00-network.yaml: ネットワークリソース作成用
01-sg.yaml: セキュリティグループ作成用
02-ec2-app.yaml: アプリサーバー (Windows) 作成用
03-alb.yaml: ALB 作成用

VPN接続周りは以前あげたブログどおりです。そちら参照ください。

自宅とAWSをVPN接続してみた (Ciscoルータ編)

ALBのCFnテンプレートについて中身を説明していきます。

ALB

下記 3リソースを作成します。

LoadBalancer (AWS CloudFormation ドキュメント)
TargetGroup (AWS CloudFormation ドキュメント)
Listener (AWS CloudFormation ドキュメント)

▼— LoadBalancer ---

Type: AWS::ElasticLoadBalancingV2::LoadBalancer
Properties: 
  Type: application
  Scheme: internal
  IpAddressType: ipv4
  Subnets: 
    - Fn::ImportValue: !Sub ${Prefix}-subnet2-a
    - Fn::ImportValue: !Sub ${Prefix}-subnet2-c
  SecurityGroups:
    - Fn::ImportValue: !Sub ${Prefix}-sg-alb
  Name: !Sub ${Prefix}-alb

ALBを作成するので Type: application とします
内部向けを想定しているので Scheme: internal とします
2サブネットに設置するための設定を Subnets: に記載します

▼— TargetGroup ---

Type: AWS::ElasticLoadBalancingV2::TargetGroup
Properties: 
  Name: !Sub ${Prefix}-alb-tg
  TargetType: ip
  Protocol: HTTP
  Port: 80
  VpcId:
    Fn::ImportValue: !Sub ${Prefix}-vpc2
  Targets:
    - AvailabilityZone: all
      Id: !Ref TargetIP
      Port: 80
  Tags:
    - Key: Name
      Value: !Sub ${Prefix}-alb-tg

ローカルIPアドレスをターゲットとするので TargetType: ip とします
ターゲットへの通信は Protocol: HTTP 、 Port: 80 とします
Targets: にターゲットを登録していきます
- Id: !Ref TargetIP でオンプレサーバーのIPアドレスを指定します

▼— Listener ---

Type: AWS::ElasticLoadBalancingV2::Listener
Properties: 
  LoadBalancerArn: !Ref ALB
  Port: 80
  Protocol: HTTP
  DefaultActions: 
    - Type: forward
      TargetGroupArn: !Ref ALBTargetGroup

クライアントからのリクエストを Port: 80 、 Protocol: HTTP で受け付けます
DefaultActions: でアクションを設定します
- リクエストを ALBTargetGroup へルーティング ( forward ) します。