[VPC Ingress Routing]IGWとVGWにルートテーブルをアタッチ！全ての通信をEC2経由へ。サードパーティIDS製品などの通信をシンプルに #reinvent

AWS re:Invent 2019

#Amazon VPC

#AWS

千葉淳

2019.12.04

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

コンニチハ、千葉です。

全ての通信をIDS／IPSやfirewallなどのサードパーティ製品を通したい場合、今まではオンプレミスに一度ルーティングし、検査するような構成が必要でした。構成が複雑になり運用管理が大変になる要因でした。今回のアップデートにより、IGWとVGWに対しルートテーブルを割り当てることが可能になります。これにより、IGW（またはVGW）の通信全てをEC2のENIにルーティングすることができるようになります。

やってみた

作業サマリです。VPC、サブネット、IGW、EC2、ルートテーブルは作成している前提で進めます。

IGWに対しルートテーブルをアタッチ（パブリック2サブネットのCIDRをENI0へルーティング）
パブリックサブネット1のルートテーブルを変更（0.0.0.0/0をIGWへルーティング）
パブリックサブネット2のルートテーブルを変更(0.0.0.0/0をENI0へルーティング)
通信を中継するEC2の「送信元/送信先のチェック」を無効化
パブリック2のEC2へSSHし接続できることを確認

早速設定して動作確認してみます。まずはIGWに対しルートテーブルをアタッチします。

IGWにアタッチしたルートテーブルに対し、パブリック2サブネットのCIDRをENI0へルートする設定を入れます。

パブリックサブネット1のルートテーブルに0.0.0.0/0をIGWを追加します。

パブリックサブネット2のルートテーブルに対し、0.0.0.0/0をEC2のENI0へルートする設定を入れます。

通信を中継するEC2の「送信元/送信先のチェック」を無効化します。

パブリック1に配置している（通信を経由させる）EC2に対して、パケットのフォワードを有効化します。今回は何も入っていなEC2を指定しているので設定しました。MarketPlaceから起動したアプライアンスの場合は作業不要です。

$ sudo sysctl -w net.ipv4.ip_forward=1
$ sudo sysctl -w net.ipv6.conf.all.forwarding=1

これで設定は完了です！パブリックサブネット2に起動しているEC2のパブリックIPアドレスにSSHしてみます。

$ ssh -i ~/Downloads/key-ohaio-chiba.pem ec2-user@xx.xx.xx.xx（パブリック2に配置しているEC2のパブリックアドレス）
Last login: Wed Dec  4 03:46:15 2019 from wsip-24-120-53-73.lv.lv.cox.net

       __|  __|_  )
       _|  (     /   Amazon Linux 2 AMI
      ___|\___|___|

https://aws.amazon.com/amazon-linux-2/

SSHできました！！！！