SlideShare a Scribd company logo

20210331 AWS Black Belt Online Seminar Gateway Load Balancer

•
•
Amazon Web Services Japan
Amazon Web Services Japan

AWS公式オンラインセミナー: https://amzn.to/JPWebinar 過去資料: https://amzn.to/JPArchive

Technology
1 of 68
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS 公式 Webinar https://amzn.to/JPWebinar 過去資料 https://amzn.to/JPArchive Solutions Architect 藤井拓 2021/3/31 AWS Gateway Load Balancer サービスカットシリーズ [AWS Black Belt Online Seminar]
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS Black Belt Online Seminar とは 「サービス別」「ソリューション別」「業種別」のそれぞれのテーマに分かれて、アマゾ ン ウェブ サービス ジャパン株式会社が主催するオンラインセミナーシリーズです。 質問を投げることができます！ • 書き込んだ質問は、主催者にしか見えません • 今後のロードマップに関するご質問は お答えできませんのでご了承下さい ① 吹き出しをクリック ② 質問を入力 ③ Sendをクリック Twitter ハッシュタグは以下をご利用ください #awsblackbelt
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 内容についての注意点 • 本資料では2021年3月31日現在のサービス内容および価格についてご説明しています。最新の 情報はAWS公式ウェブサイト(http://aws.amazon.com)にてご確認ください。 • 資料作成には十分注意しておりますが、資料内の価格とAWS公式ウェブサイト記載の価格に相 違があった場合、AWS公式ウェブサイトの価格を優先とさせていただきます。 • 価格は税抜表記となっています。日本居住者のお客様には別途消費税をご請求させていただきま す。 • AWS does not offer binding price quotes. AWS pricing is publicly available and is subject to change in accordance with the AWS Customer Agreement available at http://aws.amazon.com/agreement/. Any pricing information included in this document is provided only as an estimate of usage charges for AWS services based on certain information that you have provided. Monthly charges will be based on your actual use of AWS services, and may vary from the estimates provided.
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 自己紹介 名前： 藤井 拓 (ふじい たく) 所属： アマゾン ウェブ サービス ジャパン株式会社 レディネスソリューション本部 ソリューションアーキテクト ネットワークスペシャリスト 経歴： 前職は外資系通信機器メーカにてネットワーク機器に関わるプリセールスSE を長年担当しておりました。 好きなAWSサービス： AWS Transit Gateway, AWS Gateway Load Balancer, AWS Marketplace
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 本セミナーで学習できること • AWS Gateway Load Balancer 概要 • AWS Gateway Load Balancerトラフィックフロー • AWS Gateway Load BalancerのAZの考え方を
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 本日のアジェンダ • AWS Gateway Load Balancer 概要 • AWS Gateway Load Balancer使用するには • 参考アーキテクチャ例及びAZの考え方 • Transit Gateway Appliance modeとは • クロスゾーン負荷分散 • まとめ
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer 概要
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer INTRODUCING
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. ネットワークアプライアンス AWSやハイブリッド環境で同じネットワークアプライアンスがご利用可能
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 従来のネットワークアプライアンスの展開モデル Amazon VPC Active firewall Passive firewall Instances Instance route table Firewall route table Internet gateway Destination Target 10.1.0.0/16 Local 0.0.0.0 eni-xxxx Destination Target 10.1.0.0/16 Local 0.0.0.0 igw-xxxx • アプライアンスのインスタンスを監視する仕組みが必要 • Lambdaなど使用しルーティングテーブルをいじる仕組みが必要
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 従来のネットワークアプライアンスの展開モデル Instances BGP advertisement Spoke VPC route table Transit VPC Spoke VPC Instances Spoke VPC VGW VGW Active firewall Passive firewall VPN connections VPN connections Internet gateway Destination Target 0.0.0.0 Active firewall Destination Target 10.2.0.0/16 Local 0.0.0.0 vgw-xxxx • ネットワーク構成の複雑性 • VPNを使用による帯域の制限、及びアプライアンスへの負荷影響
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer 概要 コンポーネント • ルートテーブル内のNext Hopとして指定可能な新規VPCエンドポイント • Gateway Load Balancer (GWLB) – L3ゲートウェイとL4ロードバランサの 機能を兼ね備えた新タイプのロードバランサ • 両コンポーネント共にAWS Hyperplane上で動作 メリット • アプライアンスの水平スケール/可用性を実現 • ネットワークトラフィックに対して透過的な検査 (ソーストラフィックへの変更なし) • セキュリティとユーザー管理ドメインを分離、異なるVPC とAWSアカウント間で共有可能
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap Partner Instances 今後のネットワークアプライアンスの展開モデル  VPCからのInternetトラフィックのインスペクションの一括管理 Security Appliance + GWLB VPC
© 2020, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Transit Gateway VPC To MiddleBox Route Destination 10.1.0.0/16 vpc-att-1xxxx 10.2.0.0/16 vpc-att-2xxxx Route Destination 10.3.0.0/16 vpc-att-3xxxx 10.4.0.0/16 vpc-att-4xxxx Route Destination 0.0.0.0/0 vpc-att-4xxxx インライン監査向けの 経路 それぞれのVPC向け の経路 1 2 3 4 VPC間のトラフィックをインライン監査するRoute Domains おさらい
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2  TGW及びGWLBを使用したVPC間トラフィックのインスペクションの一括管理 Security Appliance + GWLB VPC 今後のネットワークアプライアンスの展開モデル VPC1とVPC2間のトラ フィックをSecurity Applianceでインスペ クションしたい Ingress Route Table Egress Route Table
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW TGW ENI2 GWLB1 IGW TGW-Attach-Internet-VPC AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) TGW  TGW及びGWLBを使用したオンプレミス拠点からのInternetトラフィックのインスペクション の一括管理 Internet Security Appliance + GWLB VPC Internet VPC Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC TGW Route Table Ingress Associations-Spoke, Internet VPC Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Connect TGW Route Table Egress Associations – Appliance VPC Ingress Route Table Egress Route Table オンプレミス拠点 今後のネットワークアプライアンスの展開モデル
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS Gateway Load Balancer パートナー様一覧
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer使用するには
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには ロードバランサーの設定画面で Gateway Load Balancerを選択
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Appliances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap Cross-zone load balancing :Enabled Partner Appliances Step 1 Security Applianceが設置されるVPCにGWLBを作成。GWLB のTarget GroupにSecurity Instanceを登録。 Step3 各Instanceから発信され るInternet向けTrafficは GWLBeに向ける。 Step4 Internetからの戻りの TrafficもGWLBeに向ける。 (Ingress Routingを使用) Routing設定の流れ（Ingress Routing） (Internet向けトラフィックインスペクション例) Step2 インスペクション対象の VPCにGWLBeを各AZごと に作成。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.10.0.0/16 local 0.0.0.0/0 TGW Destination Target 10.0.0.0/16 local 0.0.0.0/0 TGW-Attach-Spoke-VPC1 Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/16) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.10.0.0/16) TGW Attach Subnet1 (10.10.2.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) TGW Attach Subnet2 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 192.168.0.0/16 local 0.0.0.0/0 IGW 10.0.0.0/16 TGW Destination Target 192.168.0.0/16 local 0.0.0.0/0 NATGW (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) Routing設定の流れ（Transit Gatewayと組合せ） (Internet向けトラフィックインスペクション例) Step2 Security Appliance VPCがTGWが アタッチされているSubnet(Route Table)にGWLBe向けの経路を書く。 Step 1 Security Applianceが設置さ れるVPCにGWLB及び GWLBeを作成。 Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe2 Step4 Internet向けのトラフィックは TGWに向ける。 (TGW Ingress Route Table) Step5 InternetからVPCへの戻りのトラ フィックはTGWに向ける。 (Ingress Route Table) Step 3 Security Applianceによりインス ペクションが終わったトラフィッ クを再度TGWに向ける。 (TGW Egress Route Table)
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 参考アーキテクチャ構成例
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local トラフィックフロー例1 Ingress Routing（行き） (AZ1より発信したInternet向けトラフィックインスペクション例) Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap 1 2 3 6 4 5 Partner Instances
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local トラフィックフロー例1 Ingress Routing（戻り） (AZ1より発信したInternet向けトラフィックインスペクション例) Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap 12 7 11 8 9 10 Partner Instances
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.10.0.0/16 local 0.0.0.0/0 TGW Destination Target 10.0.0.0/16 local 0.0.0.0/0 TGW-Attach-Spoke-VPC1 Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/16) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.10.0.0/16) TGW Attach Subnet1 (10.10.2.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) TGW Attach Subnet2 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 192.168.0.0/16 local 0.0.0.0/0 IGW 10.0.0.0/16 TGW Destination Target 192.168.0.0/16 local 0.0.0.0/0 NATGW (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) 1 3 4 5 7 6 9 10 11 GENEVE Encap トラフィックフロー例2 Transit Gatewayと組合せ（行き） (AZ1より発信したInternet向けトラフィックインスペクション例) 2 8
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.10.0.0/16 local 0.0.0.0/0 TGW Destination Target 10.0.0.0/16 local 0.0.0.0/0 TGW-Attach-Spoke-VPC1 Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/16) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.10.0.0/16) TGW Attach Subnet1 (10.10.2.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) TGW Attach Subnet2 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 192.168.0.0/16 local 0.0.0.0/0 IGW 10.0.0.0/16 TGW Destination Target 192.168.0.0/16 local 0.0.0.0/0 NATGW (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) GENEVE Encap トラフィックフロー例2 Transit Gatewayと組合せ（戻り） (AZ1より発信したInternet向けトラフィックインスペクション例) 12 13 21 20 14 15 16 17 19 18
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/25 TGW-Attach-Spoke-VPC-1 10.0.0.128/25 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/25) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.0.0.128/25 local Instances Route Table AZ1 AZ2 Spoke VPC2 (10.0.0.128/25) TGW-Attach-Spoke-VPC-2 TGW Attach Subnet1 (10.10.10.0/28) Appliance VPC 10.10.10.0/24 TGW Attach Subnet1 (10.10.10.16/28) Appliance Subnet1 (10.10.10.32/27) Appliance Subnet2 (10.10.10.64/27) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/25 local Destination Target 10.10.10.0/24 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local IGW TGW-Attach-Internet-VPC AZ1 AZ2 Internet VPC (192.168.100.0/25) NATGW NATGW TGW ENI TGW ENI Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 TGW 192.168.100.0/25 local Destination Target 0.0.0.0/0 NATGW 192.168.100.0/25 local トラフィックフロー例3 Transit Gatewayと組合せ (VPC間トラフィックインスペクション例) 1 2 3 4 5 6 7 8 9
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke,VPCs TGW ENI2 GWLB TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/25) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.0.0.128/25 local Instances Route Table AZ1 AZ2 Spoke VPC2 (10.0.0.128/25) TGW-Attach-Spoke-VPC-2 NATGW NATGW IGW Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe2 10.10.10.0/24 local TGW Attach Subnet1 (10.10.10.0/28) Appliance VPC 10.10.10.0/24 TGW Attach Subnet1 (10.10.10.16/28) Appliance Subnet1 (10.10.10.32/27) Appliance Subnet2 (10.10.10.64/27) NATGW Subnet1 (10.10.10.96/28) NATGW Subnet2 (10.10.10.112/28) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/25 local Destination Target 10.10.10.0/24 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe1 10.10.10.0/24 local Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW1 10.10.10.0/24 local TGW-VPN- Attachment1 Corporate Data Center (172.16.0.0/16) Destination Target 10.0.0.0/25 TGW-Attach-Spoke-VPC1 10.0.0.128/25 TGW-Attach-Spoke-VPC-2 172.16.0.0/16 TGW-VPN-Attachment1 Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW2 10.10.10.0/24 local トラフィックフロー例4 Transit Gatewayと組合せ（行き） (オンプレミスより発信されたVPC1 AZ1向けトラフィックインスペクション例) 1 2 3 4 5 6 7 8 9 10
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke,VPCs TGW ENI2 GWLB TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/25) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.0.0.128/25 local Instances Route Table AZ1 AZ2 Spoke VPC2 (10.0.0.128/25) TGW-Attach-Spoke-VPC-2 NATGW NATGW IGW Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe2 10.10.10.0/24 local TGW Attach Subnet1 (10.10.10.0/28) Appliance VPC 10.10.10.0/24 TGW Attach Subnet1 (10.10.10.16/28) Appliance Subnet1 (10.10.10.32/27) Appliance Subnet2 (10.10.10.64/27) NATGW Subnet1 (10.10.10.96/28) NATGW Subnet2 (10.10.10.112/28) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/25 local Destination Target 10.10.10.0/24 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe1 10.10.10.0/24 local Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW1 10.10.10.0/24 local TGW-VPN- Attachment1 Corporate Data Center (172.16.0.0/16) Destination Target 10.0.0.0/25 TGW-Attach-Spoke-VPC1 10.0.0.128/25 TGW-Attach-Spoke-VPC-2 172.16.0.0/16 TGW-VPN-Attachment1 Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW2 10.10.10.0/24 local トラフィックフロー例4 Transit Gatewayと組合せ（戻り） (オンプレミスより発信されたVPC1 AZ1向けトラフィックインスペクション例) 20 12 13 15 16 18 19 11 14 17
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) トラフィックフロー補足 基本AZ1から発信されたトラフィックは、AZ1を通り、 AZ2から発信されたトラフィックはAZ2を通る #Transit Gateway Appliance mode使用していない場合
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Transit Gateway Appliance modeとは
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode disable（無効） AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2 VPC間(AZ1-AZ2)間のト ラフィックをSecurity Applianceでインスペク ションしたい AZ非対称のトラフィックは、各AZから発信されたトラフィック が別々のGWLBeに向かうため、トラフィックが確立できない。 セキュリティアプライアンスでインスペクションされるトラ フィックフローは同じGWLBeを通る必要がある。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode enable（有効） (AZを跨ぐトラフィック) AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2 Appliance modeがenable(有効)の場合、TGW自身がトラフィッ クをハッシュし、同一フローのトラフィックは同じGWLBエンド ポイントを通るようになる。 AZ1-AZ2間のトラ フィックをSecurity Applianceでインスペ クションしたい 1 from AZ1 2 4 5 6 7 8 9 ３ 10 11 1 from AZ2 Security Appliance VPCの attachmentでAppliance modeをenableにする。 ※コマンドのみサポート https://docs.aws.amazon.com/vpc/latest/tgw/transit-gateway-appliance-scenario.html
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode enable（有効） (同一AZ間トラフィック) AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2 AZ2-AZ2間のトラ フィックをSecurity Applianceでインスペ クションしたい Appliance modeがenable(有効)の場合、TGWのハッシュの計算 により同一AZ間トラフィックでも、他のAZのGWLBエンドポイ ントに振り分けられる場合もある。 1 from AZ2 2 4 5 6 7 8 9 ３ 10 11 1 from AZ2 TGWはAZ2間のトラ フィックフローをAZ1の アプライアンスに流す場 合もある。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. クロスゾーン負荷分散について
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. クロスゾーン負荷分散 • GWLB作成後にクロスゾーン負荷分散を有効化できる。 • 動作は従来のNLBと同じです。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances Cross-zone load balancing :Enabled GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance or Security VPC 10.1.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Partner Instances Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local 10.1.1.0/24 10.1.2.0/24 GENEVE Encap 1 2 3 4 5 6 10.0.2.10 10.0.4.10 3‘ 4‘ クロスゾーン負荷分散（Appliance正常時）
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance or Security VPC 10.1.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/ local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local 10.1.1.0/24 10.1.2.0/24 GENEVE Encap Cross-zone load balancing :Enabled 1 2 3 4 5 6 10.0.2.10 10.0.4.10 クロスゾーン負荷分散（AZ1 Appliance全障害）
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance or Security VPC 10.1.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/ local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local 10.1.1.0/24 10.1.2.0/24 GENEVE Encap Cross-zone load balancing :Enabled 1 2 10.0.2.10 10.0.4.10 GWLBはAZ1から発信されたトラフィック の転送を止める。AZ2から発信されたトラ フィックの処理は続ける。 クロスゾーン負荷分散無効の場合（AZ1 Appliance全障害）
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances Cross-zone load balancing :Enabled GWLB Partner Instances Partner Instances AZ1 AZ2 Destination Target 10.10.0.0/16 local 10.1.1.0/24 10.1.2.0/24 クロスゾーン負荷分散 vs TGW Appliance mode Appliance VPC 10.10.0.0/16 クロスゾーン負荷分散 Transit Gateway TGW ENI2 Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Appliance-VPC Egress Route Table TGW ENI1 TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode GWLBe1 GWLBe2 From AZ1 From AZ2
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS Transit Gateway/Gateway Load Balancer を使用したEgress トラフィック インスペクション ビデオデモをご覧ください。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Cross-zone load balancing :Enabled Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) 1 2 3 4 5 7 6 8 9 10 11 デモ1 GWLBe-GWLB間はどのようなトラフィックが流れているのか？ GWLBとAppliance間(Geneve)はどのようなトラフィックが 流れているのかtcpdumpを使用し確認する。(5, 6の箇所) #TargetはAmazon Linuxを使用 Spoke VPC AZ1のインスタンスよりInternet向け にトラフィックを発信。(ICMP)
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. ★Geneve Src Dst GWLB(10.0.10.164) → Appliance(10.0.10.10) 5 10:52:48.908670 IP 10.0.10.164.60004 > ip-10-0-10-10.ap-northeast-1.compute.internal.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 172.16.3.217 > 183.79.217.124: ICMP echo request, id 1, seq 161, length 40 ★Geneve Src Dst Appliance(10.0.10.10)→GWLB(10.0.10.164) 6 10:52:48.908698 IP ip-10-0-10-10.ap-northeast-1.compute.internal.60004 > 10.0.10.164.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 172.16.3.217 > 183.79.217.124: ICMP echo request, id 1, seq 161, length 40 ★Geneve Src Dst GWLB(10.0.10.164) → Appliance(10.0.10.10) 5 10:52:48.916754 IP 10.0.10.164.60004 > ip-10-0-10-10.ap-northeast-1.compute.internal.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 183.79.217.124 > 172.16.3.217: ICMP echo reply, id 1, seq 161, length 40 ★Geneve Src Dst Appliance(10.0.10.10)→GWLB(10.0.10.164) 6 10:52:48.916766 IP ip-10-0-10-10.ap-northeast-1.compute.internal.60004 > 10.0.10.164.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 183.79.217.124 > 172.16.3.217: ICMP echo reply, id 1, seq 161, length 40 GWLBとAppliance FW間のトラフィック(5, 6)は、GENEVEによりカプセル化 されている。またオリジナルのパケットはそのまま維持されている。(透過的) #Geneveのport番号は6081になります。 デモ1 GWLBe-GWLB間はどのようなトラフィックが流れているのか？（補足）
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) デモ2 TGW上でAppliance Modeを有効にした場合の動作 Spoke VPC AZ1のインスタンスよりInternet向け にトラフィックを発信。(HTTP) checkip.amazonaws.com TGW Appliance Mode有効 Appliance Modeコマンド : “aws ec2 modify-transit-gateway-vpc-attachment --transit-gateway-attachment-id tgw-attach- xxxxxxxxxxxxxxxxx --options ApplianceModeSupport=enable”
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. https://checkip.amazonaws.com/ で下記の何れかのアドレスになっていることを確認。 (Internet VPCから出ていることを確認) デモ2 TGW上でAppliance Modeを有効にした場合の動作（補足）
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) TGW Appliance Mode有効 Appliance Modeコマンド例 : “aws ec2 modify-transit-gateway-vpc-attachment --transit-gateway-attachment-id tgw-attach- xxxxxxxxxxxxxxxxx --options ApplianceModeSupport=enable” デモ2 TGW上でAppliance Modeを有効にした場合の動作（補足）
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 補足
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Linux 2をGWLBのターゲットにする 左記の様なトラフィックフローを実現できます。あくまでもテスト目的 でご使用ください。インスペクションなどのテストは行えません。 https://github.com/aws-samples/aws-gateway-load-balancer-code-samples/blob/main/aws- cli/gwlb/configure_iptables_al2.md • Amazon Linux 2をGWLBのターゲットにする方法が公開されております。 • 実際のセキュリティアプライアンスを使用しなくても、GWLBとインスタ ンス間をヘアピンするトラフィックフローが作れます。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Geneve Protocol GeneveのOuter IPv4 Header。UDP(6081)を使用 GeneveのHeader部分。Vxlanと同様VNIなどがある。GWLB は常にこの値は「0」です。その代わりに、Option TLV内に 追加情報としてGWLBe ID, VPC IDなどが含まれている。 #Option TLVはVxLANでは実装されていないフィールドです。 https://aws.amazon.com/jp/blogs/networking-and- content-delivery/integrate-your-custom-logic-or- appliance-with-aws-gateway-load-balancer/ オリジナルのイーサーネットフレームペイロード
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 他のアカウントにGWLBエンドポイントを作成するには • ホワイトリストに他のアカウントを追加する事により、対象アカウントが このサービス名を使用してGWLBエンドポイントを作成できるようになり ます。 ホワイトリストにプリンシパルを追加する をクリック。 許可されたアカウント名が表示。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerのクォータ 制限 デフォルト リージョンあたりのGateway Load Balancerの数 20 VPCあたりのGateway Load Balancerの数 10 リージョンあたりのGENEVEプロトコルを使用したターゲットグ ループ数 100 Gateway Load Balancer endopointがサポートしているIPプロト コル IPv4のみ 各AZ(サブネット)ごとのGateway Load Balancer endopoint数 1 Gateway Load Balancer endopointごとの最大帯域幅 40 Gbps
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. ①GWLB時間あたりの料金 0.0135 USD/時間 + ②GWLB Capacity Unit料金 ③GWLBエンドポイント料金 各AZのVPCエンドポイ ント1つあたりの料金 0.014 USD/時間 + 処理データ1GBあたり の料金 0.0035USD/GB 0.004 USD/GLCU-時間 を基準とした料金 (以下の3項目から算出したCU) 1. 新規接続/フロー数 2. アクティブな接続/フロー数 3. 処理したバイト数(GB単位) ※1時間内で上記の最大使用量を 基準にGLCU数を判定。 「1 GLCU」は以下に対応 • 600 新規接続・フロー/秒 • 60,000 アクティブ接続/フロー (1分あたりのサンプル数) • ターゲットのEC2、コンテナ IPアドレスで1時間あたり1GB (*) バージニア北部リージョンの料金を記載 NLBと同様に “Capacity Unit” を基準としたご利用料金 + PrivateLink のご利用料金 Gateway Load Balancerのご利用料金 +
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 参考資料 AWSドキュメント https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/gateway/introduction.html https://docs.aws.amazon.com/ja_jp/vpc/latest/privatelink/vpce-gateway-load-balancer.html 技術ブログ一覧 https://aws.amazon.com/blogs/networking-and-content-delivery/category/networking-content-delivery/elastic-load- balancing/gateway-load-balancer/ FAQ https://aws.amazon.com/jp/elasticloadbalancing/faqs/?nc=sn&loc=5#Gateway_Load_Balancer パートナー様一覧 https://aws.amazon.com/jp/elasticloadbalancing/partners/ 料金 https://aws.amazon.com/jp/elasticloadbalancing/pricing/ https://aws.amazon.com/jp/privatelink/pricing/
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLB 設定画面
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには ロードバランサーの設定画面で Gateway Load Balancerを選択 する。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには Gateway Load Balancerがトラ フィックをルーティングする VPC及びサブネットを選択する。 プロトコルがGENEVEになって いる。変更は不可。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには ターゲットのセキュリティアプライア ンスを登録する。 確認画面が表示され、作成を クリックしたら作成終了。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには エンドポイントサービスを作成するGateway Load Balancerを選択し、サービスの作成をク リック。 エンドポイントサービスを作成後サービス名を確 認する。このサービス名を使用して、後ほど Gateway Load Balancerのエンドポイントを作成 します。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには サービス名でエンドポイントサービ スを検索する。 各サブネットに必要分エンドポイントを作成する。 VPCを選択し、エンドポイントを作成するサブ ネットを選択する。 ※1度に複数のサブネットを選択し複数のエンド ポイントは同時に作成する事はできません。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. まとめ
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. まとめ ・GWLBを使用すると、サードパーティのセキュリティアプライアンス製品 などをAWS上で利用する際、可用性の高い構成がとれます。 ・GWLBは新しいコンポーネントとしてGWLBeという新しいタイプのエン ドポイントとGateway Load Balancer (GWLB) 使用します。 ・GWLBを使用する際は、AZを意識したネットワーク設計が必要です。 ・TGWとGWLBを組み合わせることにより、より柔軟なトラフィックフロー が実現可能です。AZを跨るトラフィックをインスペクションしたい場合は TGW Appliance modeを使用する必要があります。 ・各アプライアンスパートナー様のセキュリティアプライアンスはGWLB(GENEVE プロトコルへ)に対応しているものを選択する必要があります。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Q&A お答えできなかったご質問については AWS Japan Blog 「https://aws.amazon.com/jp/blogs/news/」にて 後日掲載します。
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS の日本語資料の場所「AWS 資料」で検索 https://amzn.to/JPArchive
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. で[検索] AWS イベント 毎週”W-A個別技術相談会”を実施中 • AWSのソリューションアーキテクト(SA)に 対策などを相談することも可能 • 申込みはイベント告知サイトから (https://aws.amazon.com/jp/about-aws/events/) AWS Well-Architected 個別技術相談会
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 4月以降のBlack Belt Online Seminarについて ライブ配信によるBlack Belt Online Seminarは3月一杯で終了し、 今後はオンデマンドによる定期配信に変更いたします。 今後もコンテンツを拡充して行きますので、楽しみにお待ちください。 オンデマンドでの配信スケジュールは、AWS Blog, AWSニュースレ ターでお知らせいたします（5月17日週に再開を予定しています）
© 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. © 2020, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS 公式 Webinar https://amzn.to/JPWebinar 過去資料 https://amzn.to/JPArchive ご視聴ありがとうございました

Recommended

202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)
202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)
202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)Amazon Web Services Japan
 
202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFS
202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFS202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFS
202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFSAmazon Web Services Japan
 
202204 AWS Black Belt Online Seminar AWS IoT Device Defender
202204 AWS Black Belt Online Seminar AWS IoT Device Defender202204 AWS Black Belt Online Seminar AWS IoT Device Defender
202204 AWS Black Belt Online Seminar AWS IoT Device DefenderAmazon Web Services Japan
 
Infrastructure as Code (IaC) 談義 2022
Infrastructure as Code (IaC) 談義 2022Infrastructure as Code (IaC) 談義 2022
Infrastructure as Code (IaC) 談義 2022Amazon Web Services Japan
 
202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現
202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現
202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現Amazon Web Services Japan
 
202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...
202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...
202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...Amazon Web Services Japan
 
Amazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデート
Amazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデートAmazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデート
Amazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデートAmazon Web Services Japan
 
20220409 AWS BLEA 開発にあたって検討したこと
20220409 AWS BLEA 開発にあたって検討したこと20220409 AWS BLEA 開発にあたって検討したこと
20220409 AWS BLEA 開発にあたって検討したことAmazon Web Services Japan
 

Recommended

202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)
202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)
202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)Amazon Web Services Japan
 
202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFS
202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFS202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFS
202205 AWS Black Belt Online Seminar Amazon FSx for OpenZFSAmazon Web Services Japan
 
202204 AWS Black Belt Online Seminar AWS IoT Device Defender
202204 AWS Black Belt Online Seminar AWS IoT Device Defender202204 AWS Black Belt Online Seminar AWS IoT Device Defender
202204 AWS Black Belt Online Seminar AWS IoT Device DefenderAmazon Web Services Japan
 
Infrastructure as Code (IaC) 談義 2022
Infrastructure as Code (IaC) 談義 2022Infrastructure as Code (IaC) 談義 2022
Infrastructure as Code (IaC) 談義 2022Amazon Web Services Japan
 
202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現
202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現
202204 AWS Black Belt Online Seminar Amazon Connect を活用したオンコール対応の実現Amazon Web Services Japan
 
202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...
202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...
202204 AWS Black Belt Online Seminar Amazon Connect Salesforce連携(第1回 CTI Adap...Amazon Web Services Japan
 
Amazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデート
Amazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデートAmazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデート
Amazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデートAmazon Web Services Japan
 
20220409 AWS BLEA 開発にあたって検討したこと
20220409 AWS BLEA 開発にあたって検討したこと20220409 AWS BLEA 開発にあたって検討したこと
20220409 AWS BLEA 開発にあたって検討したことAmazon Web Services Japan
 
202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用
202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用
202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用Amazon Web Services Japan
 
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdfAmazon Web Services Japan
 
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介Amazon Web Services Japan
 
Amazon QuickSight の組み込み方法をちょっぴりDD
Amazon QuickSight の組み込み方法をちょっぴりDDAmazon QuickSight の組み込み方法をちょっぴりDD
Amazon QuickSight の組み込み方法をちょっぴりDDAmazon Web Services Japan
 
マルチテナント化で知っておきたいデータベースのこと
マルチテナント化で知っておきたいデータベースのことマルチテナント化で知っておきたいデータベースのこと
マルチテナント化で知っておきたいデータベースのことAmazon Web Services Japan
 
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチAmazon Web Services Japan
 
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介Amazon Web Services Japan
 
202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles
202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles
202202 AWS Black Belt Online Seminar Amazon Connect Customer ProfilesAmazon Web Services Japan
 
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するために
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するためにAmazon Game Tech Night #24 KPIダッシュボードを最速で用意するために
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するためにAmazon Web Services Japan
 
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨Amazon Web Services Japan
 
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介Amazon Web Services Japan
 
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介Amazon Web Services Japan
 
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...Amazon Web Services Japan
 
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピAmazon Web Services Japan
 
20211209 Ops-JAWS Re invent2021re-cap-cloud operations
20211209 Ops-JAWS Re invent2021re-cap-cloud operations20211209 Ops-JAWS Re invent2021re-cap-cloud operations
20211209 Ops-JAWS Re invent2021re-cap-cloud operationsAmazon Web Services Japan
 
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報Amazon Web Services Japan
 
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをなAmazon Web Services Japan
 
20211109 JAWS-UG SRE keynotes
20211109 JAWS-UG SRE keynotes20211109 JAWS-UG SRE keynotes
20211109 JAWS-UG SRE keynotesAmazon Web Services Japan
 
20211109 bleaの使い方（基本編）
20211109 bleaの使い方（基本編）20211109 bleaの使い方（基本編）
20211109 bleaの使い方（基本編）Amazon Web Services Japan
 
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPNAmazon Web Services Japan
 
新人研修のまとめ 2024/04/12の勉強会で発表されたものです。
新人研修のまとめ 2024/04/12の勉強会で発表されたものです。新人研修のまとめ 2024/04/12の勉強会で発表されたものです。
新人研修のまとめ 2024/04/12の勉強会で発表されたものです。iPride Co., Ltd.
 
プレイマットのパターン生成支援ツールの評価
プレイマットのパターン生成支援ツールの評価プレイマットのパターン生成支援ツールの評価
プレイマットのパターン生成支援ツールの評価sugiuralab
 

More Related Content

More from Amazon Web Services Japan

202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用
202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用
202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用Amazon Web Services Japan
 
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdfAmazon Web Services Japan
 
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介Amazon Web Services Japan
 
Amazon QuickSight の組み込み方法をちょっぴりDD
Amazon QuickSight の組み込み方法をちょっぴりDDAmazon QuickSight の組み込み方法をちょっぴりDD
Amazon QuickSight の組み込み方法をちょっぴりDDAmazon Web Services Japan
 
マルチテナント化で知っておきたいデータベースのこと
マルチテナント化で知っておきたいデータベースのことマルチテナント化で知っておきたいデータベースのこと
マルチテナント化で知っておきたいデータベースのことAmazon Web Services Japan
 
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチAmazon Web Services Japan
 
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介Amazon Web Services Japan
 
202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles
202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles
202202 AWS Black Belt Online Seminar Amazon Connect Customer ProfilesAmazon Web Services Japan
 
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するために
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するためにAmazon Game Tech Night #24 KPIダッシュボードを最速で用意するために
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するためにAmazon Web Services Japan
 
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨Amazon Web Services Japan
 
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介Amazon Web Services Japan
 
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介Amazon Web Services Japan
 
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...Amazon Web Services Japan
 
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピAmazon Web Services Japan
 
20211209 Ops-JAWS Re invent2021re-cap-cloud operations
20211209 Ops-JAWS Re invent2021re-cap-cloud operations20211209 Ops-JAWS Re invent2021re-cap-cloud operations
20211209 Ops-JAWS Re invent2021re-cap-cloud operationsAmazon Web Services Japan
 
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報Amazon Web Services Japan
 
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをなAmazon Web Services Japan
 
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPNAmazon Web Services Japan
 

More from Amazon Web Services Japan (20)

202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用
202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用
202202 AWS Black Belt Online Seminar AWS Managed Rules for AWS WAF の活用
 
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf
202203 AWS Black Belt Online Seminar Amazon Connect Tasks.pdf
 
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
 
Amazon QuickSight の組み込み方法をちょっぴりDD
Amazon QuickSight の組み込み方法をちょっぴりDDAmazon QuickSight の組み込み方法をちょっぴりDD
Amazon QuickSight の組み込み方法をちょっぴりDD
 
マルチテナント化で知っておきたいデータベースのこと
マルチテナント化で知っておきたいデータベースのことマルチテナント化で知っておきたいデータベースのこと
マルチテナント化で知っておきたいデータベースのこと
 
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
機密データとSaaSは共存しうるのか！？セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
 
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介
パッケージソフトウェアを簡単にSaaS化！？既存の資産を使ったSaaS化手法のご紹介
 
202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles
202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles
202202 AWS Black Belt Online Seminar Amazon Connect Customer Profiles
 
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するために
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するためにAmazon Game Tech Night #24 KPIダッシュボードを最速で用意するために
Amazon Game Tech Night #24 KPIダッシュボードを最速で用意するために
 
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨
202202 AWS Black Belt Online Seminar AWS SaaS Boost で始めるSaaS開発⼊⾨
 
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介
[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介
 
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介
202111 AWS Black Belt Online Seminar AWSで構築するSmart Mirrorのご紹介
 
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
 
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ
202112 AWS Black Belt Online Seminar 店内の「今」をお届けする小売業向けリアルタイム配信基盤のレシピ
 
20211209 Ops-JAWS Re invent2021re-cap-cloud operations
20211209 Ops-JAWS Re invent2021re-cap-cloud operations20211209 Ops-JAWS Re invent2021re-cap-cloud operations
20211209 Ops-JAWS Re invent2021re-cap-cloud operations
 
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
 
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
 
20211109 JAWS-UG SRE keynotes
20211109 JAWS-UG SRE keynotes20211109 JAWS-UG SRE keynotes
20211109 JAWS-UG SRE keynotes
 
20211109 bleaの使い方（基本編）
20211109 bleaの使い方（基本編）20211109 bleaの使い方（基本編）
20211109 bleaの使い方（基本編）
 
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
 

Recently uploaded

新人研修のまとめ 2024/04/12の勉強会で発表されたものです。
新人研修のまとめ 2024/04/12の勉強会で発表されたものです。新人研修のまとめ 2024/04/12の勉強会で発表されたものです。
新人研修のまとめ 2024/04/12の勉強会で発表されたものです。iPride Co., Ltd.
 
プレイマットのパターン生成支援ツールの評価
プレイマットのパターン生成支援ツールの評価プレイマットのパターン生成支援ツールの評価
プレイマットのパターン生成支援ツールの評価sugiuralab
 
プレイマットのパターン生成支援ツール
プレイマットのパターン生成支援ツールプレイマットのパターン生成支援ツール
プレイマットのパターン生成支援ツールsugiuralab
 
PHP-Conference-Odawara-2024-04-000000000
PHP-Conference-Odawara-2024-04-000000000PHP-Conference-Odawara-2024-04-000000000
PHP-Conference-Odawara-2024-04-000000000Shota Ito
 
IoT in the era of generative AI, Thanks IoT ALGYAN.pptx
IoT in the era of generative AI, Thanks IoT ALGYAN.pptxIoT in the era of generative AI, Thanks IoT ALGYAN.pptx
IoT in the era of generative AI, Thanks IoT ALGYAN.pptxAtomu Hidaka
 
20240412_HCCJP での Windows Server 2025 Active Directory
20240412_HCCJP での Windows Server 2025 Active Directory20240412_HCCJP での Windows Server 2025 Active Directory
20240412_HCCJP での Windows Server 2025 Active Directoryosamut
 
Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。
Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。
Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。iPride Co., Ltd.
 

Recently uploaded (7)

新人研修のまとめ 2024/04/12の勉強会で発表されたものです。
新人研修のまとめ 2024/04/12の勉強会で発表されたものです。新人研修のまとめ 2024/04/12の勉強会で発表されたものです。
新人研修のまとめ 2024/04/12の勉強会で発表されたものです。
 
プレイマットのパターン生成支援ツールの評価
プレイマットのパターン生成支援ツールの評価プレイマットのパターン生成支援ツールの評価
プレイマットのパターン生成支援ツールの評価
 
プレイマットのパターン生成支援ツール
プレイマットのパターン生成支援ツールプレイマットのパターン生成支援ツール
プレイマットのパターン生成支援ツール
 
PHP-Conference-Odawara-2024-04-000000000
PHP-Conference-Odawara-2024-04-000000000PHP-Conference-Odawara-2024-04-000000000
PHP-Conference-Odawara-2024-04-000000000
 
IoT in the era of generative AI, Thanks IoT ALGYAN.pptx
IoT in the era of generative AI, Thanks IoT ALGYAN.pptxIoT in the era of generative AI, Thanks IoT ALGYAN.pptx
IoT in the era of generative AI, Thanks IoT ALGYAN.pptx
 
20240412_HCCJP での Windows Server 2025 Active Directory
20240412_HCCJP での Windows Server 2025 Active Directory20240412_HCCJP での Windows Server 2025 Active Directory
20240412_HCCJP での Windows Server 2025 Active Directory
 
Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。
Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。
Amazon SES を勉強してみる その１2024/04/12の勉強会で発表されたものです。
 

20210331 AWS Black Belt Online Seminar Gateway Load Balancer

  • 1. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS 公式 Webinar https://amzn.to/JPWebinar 過去資料 https://amzn.to/JPArchive Solutions Architect 藤井拓 2021/3/31 AWS Gateway Load Balancer サービスカットシリーズ [AWS Black Belt Online Seminar]
  • 2. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS Black Belt Online Seminar とは 「サービス別」「ソリューション別」「業種別」のそれぞれのテーマに分かれて、アマゾ ン ウェブ サービス ジャパン株式会社が主催するオンラインセミナーシリーズです。 質問を投げることができます！ • 書き込んだ質問は、主催者にしか見えません • 今後のロードマップに関するご質問は お答えできませんのでご了承下さい ① 吹き出しをクリック ② 質問を入力 ③ Sendをクリック Twitter ハッシュタグは以下をご利用ください #awsblackbelt
  • 3. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 内容についての注意点 • 本資料では2021年3月31日現在のサービス内容および価格についてご説明しています。最新の 情報はAWS公式ウェブサイト(http://aws.amazon.com)にてご確認ください。 • 資料作成には十分注意しておりますが、資料内の価格とAWS公式ウェブサイト記載の価格に相 違があった場合、AWS公式ウェブサイトの価格を優先とさせていただきます。 • 価格は税抜表記となっています。日本居住者のお客様には別途消費税をご請求させていただきま す。 • AWS does not offer binding price quotes. AWS pricing is publicly available and is subject to change in accordance with the AWS Customer Agreement available at http://aws.amazon.com/agreement/. Any pricing information included in this document is provided only as an estimate of usage charges for AWS services based on certain information that you have provided. Monthly charges will be based on your actual use of AWS services, and may vary from the estimates provided.
  • 4. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 自己紹介 名前： 藤井 拓 (ふじい たく) 所属： アマゾン ウェブ サービス ジャパン株式会社 レディネスソリューション本部 ソリューションアーキテクト ネットワークスペシャリスト 経歴： 前職は外資系通信機器メーカにてネットワーク機器に関わるプリセールスSE を長年担当しておりました。 好きなAWSサービス： AWS Transit Gateway, AWS Gateway Load Balancer, AWS Marketplace
  • 5. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 本セミナーで学習できること • AWS Gateway Load Balancer 概要 • AWS Gateway Load Balancerトラフィックフロー • AWS Gateway Load BalancerのAZの考え方を
  • 6. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 本日のアジェンダ • AWS Gateway Load Balancer 概要 • AWS Gateway Load Balancer使用するには • 参考アーキテクチャ例及びAZの考え方 • Transit Gateway Appliance modeとは • クロスゾーン負荷分散 • まとめ
  • 7. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer 概要
  • 8. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer INTRODUCING
  • 9. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. ネットワークアプライアンス AWSやハイブリッド環境で同じネットワークアプライアンスがご利用可能
  • 10. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 従来のネットワークアプライアンスの展開モデル Amazon VPC Active firewall Passive firewall Instances Instance route table Firewall route table Internet gateway Destination Target 10.1.0.0/16 Local 0.0.0.0 eni-xxxx Destination Target 10.1.0.0/16 Local 0.0.0.0 igw-xxxx • アプライアンスのインスタンスを監視する仕組みが必要 • Lambdaなど使用しルーティングテーブルをいじる仕組みが必要
  • 11. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 従来のネットワークアプライアンスの展開モデル Instances BGP advertisement Spoke VPC route table Transit VPC Spoke VPC Instances Spoke VPC VGW VGW Active firewall Passive firewall VPN connections VPN connections Internet gateway Destination Target 0.0.0.0 Active firewall Destination Target 10.2.0.0/16 Local 0.0.0.0 vgw-xxxx • ネットワーク構成の複雑性 • VPNを使用による帯域の制限、及びアプライアンスへの負荷影響
  • 12. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer 概要 コンポーネント • ルートテーブル内のNext Hopとして指定可能な新規VPCエンドポイント • Gateway Load Balancer (GWLB) – L3ゲートウェイとL4ロードバランサの 機能を兼ね備えた新タイプのロードバランサ • 両コンポーネント共にAWS Hyperplane上で動作 メリット • アプライアンスの水平スケール/可用性を実現 • ネットワークトラフィックに対して透過的な検査 (ソーストラフィックへの変更なし) • セキュリティとユーザー管理ドメインを分離、異なるVPC とAWSアカウント間で共有可能
  • 13. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap Partner Instances 今後のネットワークアプライアンスの展開モデル  VPCからのInternetトラフィックのインスペクションの一括管理 Security Appliance + GWLB VPC
  • 14. © 2020, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Transit Gateway VPC To MiddleBox Route Destination 10.1.0.0/16 vpc-att-1xxxx 10.2.0.0/16 vpc-att-2xxxx Route Destination 10.3.0.0/16 vpc-att-3xxxx 10.4.0.0/16 vpc-att-4xxxx Route Destination 0.0.0.0/0 vpc-att-4xxxx インライン監査向けの 経路 それぞれのVPC向け の経路 1 2 3 4 VPC間のトラフィックをインライン監査するRoute Domains おさらい
  • 15. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2  TGW及びGWLBを使用したVPC間トラフィックのインスペクションの一括管理 Security Appliance + GWLB VPC 今後のネットワークアプライアンスの展開モデル VPC1とVPC2間のトラ フィックをSecurity Applianceでインスペ クションしたい Ingress Route Table Egress Route Table
  • 16. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW TGW ENI2 GWLB1 IGW TGW-Attach-Internet-VPC AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) TGW  TGW及びGWLBを使用したオンプレミス拠点からのInternetトラフィックのインスペクション の一括管理 Internet Security Appliance + GWLB VPC Internet VPC Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC TGW Route Table Ingress Associations-Spoke, Internet VPC Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Connect TGW Route Table Egress Associations – Appliance VPC Ingress Route Table Egress Route Table オンプレミス拠点 今後のネットワークアプライアンスの展開モデル
  • 17. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS Gateway Load Balancer パートナー様一覧
  • 18. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancer使用するには
  • 19. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには ロードバランサーの設定画面で Gateway Load Balancerを選択
  • 20. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Appliances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap Cross-zone load balancing :Enabled Partner Appliances Step 1 Security Applianceが設置されるVPCにGWLBを作成。GWLB のTarget GroupにSecurity Instanceを登録。 Step3 各Instanceから発信され るInternet向けTrafficは GWLBeに向ける。 Step4 Internetからの戻りの TrafficもGWLBeに向ける。 (Ingress Routingを使用) Routing設定の流れ（Ingress Routing） (Internet向けトラフィックインスペクション例) Step2 インスペクション対象の VPCにGWLBeを各AZごと に作成。
  • 21. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.10.0.0/16 local 0.0.0.0/0 TGW Destination Target 10.0.0.0/16 local 0.0.0.0/0 TGW-Attach-Spoke-VPC1 Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/16) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.10.0.0/16) TGW Attach Subnet1 (10.10.2.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) TGW Attach Subnet2 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 192.168.0.0/16 local 0.0.0.0/0 IGW 10.0.0.0/16 TGW Destination Target 192.168.0.0/16 local 0.0.0.0/0 NATGW (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) Routing設定の流れ（Transit Gatewayと組合せ） (Internet向けトラフィックインスペクション例) Step2 Security Appliance VPCがTGWが アタッチされているSubnet(Route Table)にGWLBe向けの経路を書く。 Step 1 Security Applianceが設置さ れるVPCにGWLB及び GWLBeを作成。 Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe2 Step4 Internet向けのトラフィックは TGWに向ける。 (TGW Ingress Route Table) Step5 InternetからVPCへの戻りのトラ フィックはTGWに向ける。 (Ingress Route Table) Step 3 Security Applianceによりインス ペクションが終わったトラフィッ クを再度TGWに向ける。 (TGW Egress Route Table)
  • 22. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 参考アーキテクチャ構成例
  • 23. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local トラフィックフロー例1 Ingress Routing（行き） (AZ1より発信したInternet向けトラフィックインスペクション例) Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap 1 2 3 6 4 5 Partner Instances
  • 24. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance VPC 10.10.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local トラフィックフロー例1 Ingress Routing（戻り） (AZ1より発信したInternet向けトラフィックインスペクション例) Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local GENEVE Encap 12 7 11 8 9 10 Partner Instances
  • 25. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.10.0.0/16 local 0.0.0.0/0 TGW Destination Target 10.0.0.0/16 local 0.0.0.0/0 TGW-Attach-Spoke-VPC1 Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/16) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.10.0.0/16) TGW Attach Subnet1 (10.10.2.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) TGW Attach Subnet2 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 192.168.0.0/16 local 0.0.0.0/0 IGW 10.0.0.0/16 TGW Destination Target 192.168.0.0/16 local 0.0.0.0/0 NATGW (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) 1 3 4 5 7 6 9 10 11 GENEVE Encap トラフィックフロー例2 Transit Gatewayと組合せ（行き） (AZ1より発信したInternet向けトラフィックインスペクション例) 2 8
  • 26. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.10.0.0/16 local 0.0.0.0/0 TGW Destination Target 10.0.0.0/16 local 0.0.0.0/0 TGW-Attach-Spoke-VPC1 Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/16) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.10.0.0/16) TGW Attach Subnet1 (10.10.2.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) TGW Attach Subnet2 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 192.168.0.0/16 local 0.0.0.0/0 IGW 10.0.0.0/16 TGW Destination Target 192.168.0.0/16 local 0.0.0.0/0 NATGW (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) GENEVE Encap トラフィックフロー例2 Transit Gatewayと組合せ（戻り） (AZ1より発信したInternet向けトラフィックインスペクション例) 12 13 21 20 14 15 16 17 19 18
  • 27. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/25 TGW-Attach-Spoke-VPC-1 10.0.0.128/25 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/25) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.0.0.128/25 local Instances Route Table AZ1 AZ2 Spoke VPC2 (10.0.0.128/25) TGW-Attach-Spoke-VPC-2 TGW Attach Subnet1 (10.10.10.0/28) Appliance VPC 10.10.10.0/24 TGW Attach Subnet1 (10.10.10.16/28) Appliance Subnet1 (10.10.10.32/27) Appliance Subnet2 (10.10.10.64/27) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/25 local Destination Target 10.10.10.0/24 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local IGW TGW-Attach-Internet-VPC AZ1 AZ2 Internet VPC (192.168.100.0/25) NATGW NATGW TGW ENI TGW ENI Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 TGW 192.168.100.0/25 local Destination Target 0.0.0.0/0 NATGW 192.168.100.0/25 local トラフィックフロー例3 Transit Gatewayと組合せ (VPC間トラフィックインスペクション例) 1 2 3 4 5 6 7 8 9
  • 28. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke,VPCs TGW ENI2 GWLB TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/25) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.0.0.128/25 local Instances Route Table AZ1 AZ2 Spoke VPC2 (10.0.0.128/25) TGW-Attach-Spoke-VPC-2 NATGW NATGW IGW Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe2 10.10.10.0/24 local TGW Attach Subnet1 (10.10.10.0/28) Appliance VPC 10.10.10.0/24 TGW Attach Subnet1 (10.10.10.16/28) Appliance Subnet1 (10.10.10.32/27) Appliance Subnet2 (10.10.10.64/27) NATGW Subnet1 (10.10.10.96/28) NATGW Subnet2 (10.10.10.112/28) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/25 local Destination Target 10.10.10.0/24 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe1 10.10.10.0/24 local Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW1 10.10.10.0/24 local TGW-VPN- Attachment1 Corporate Data Center (172.16.0.0/16) Destination Target 10.0.0.0/25 TGW-Attach-Spoke-VPC1 10.0.0.128/25 TGW-Attach-Spoke-VPC-2 172.16.0.0/16 TGW-VPN-Attachment1 Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW2 10.10.10.0/24 local トラフィックフロー例4 Transit Gatewayと組合せ（行き） (オンプレミスより発信されたVPC1 AZ1向けトラフィックインスペクション例) 1 2 3 4 5 6 7 8 9 10
  • 29. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 GWLBe2 10.10.10.0/24 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke,VPCs TGW ENI2 GWLB TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/25) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.0.0.128/25 local Instances Route Table AZ1 AZ2 Spoke VPC2 (10.0.0.128/25) TGW-Attach-Spoke-VPC-2 NATGW NATGW IGW Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe2 10.10.10.0/24 local TGW Attach Subnet1 (10.10.10.0/28) Appliance VPC 10.10.10.0/24 TGW Attach Subnet1 (10.10.10.16/28) Appliance Subnet1 (10.10.10.32/27) Appliance Subnet2 (10.10.10.64/27) NATGW Subnet1 (10.10.10.96/28) NATGW Subnet2 (10.10.10.112/28) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/25 local Destination Target 10.10.10.0/24 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/24 GWLBe1 10.10.10.0/24 local Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW1 10.10.10.0/24 local TGW-VPN- Attachment1 Corporate Data Center (172.16.0.0/16) Destination Target 10.0.0.0/25 TGW-Attach-Spoke-VPC1 10.0.0.128/25 TGW-Attach-Spoke-VPC-2 172.16.0.0/16 TGW-VPN-Attachment1 Destination Target 10.0.0.0/24 TGW 172.16.0.0/16 TGW 0.0.0.0/0 NATGW2 10.10.10.0/24 local トラフィックフロー例4 Transit Gatewayと組合せ（戻り） (オンプレミスより発信されたVPC1 AZ1向けトラフィックインスペクション例) 20 12 13 15 16 18 19 11 14 17
  • 30. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) トラフィックフロー補足 基本AZ1から発信されたトラフィックは、AZ1を通り、 AZ2から発信されたトラフィックはAZ2を通る #Transit Gateway Appliance mode使用していない場合
  • 31. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Transit Gateway Appliance modeとは
  • 32. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode disable（無効） AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2 VPC間(AZ1-AZ2)間のト ラフィックをSecurity Applianceでインスペク ションしたい AZ非対称のトラフィックは、各AZから発信されたトラフィック が別々のGWLBeに向かうため、トラフィックが確立できない。 セキュリティアプライアンスでインスペクションされるトラ フィックフローは同じGWLBeを通る必要がある。
  • 33. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode enable（有効） (AZを跨ぐトラフィック) AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2 Appliance modeがenable(有効)の場合、TGW自身がトラフィッ クをハッシュし、同一フローのトラフィックは同じGWLBエンド ポイントを通るようになる。 AZ1-AZ2間のトラ フィックをSecurity Applianceでインスペ クションしたい 1 from AZ1 2 4 5 6 7 8 9 ３ 10 11 1 from AZ2 Security Appliance VPCの attachmentでAppliance modeをenableにする。 ※コマンドのみサポート https://docs.aws.amazon.com/vpc/latest/tgw/transit-gateway-appliance-scenario.html
  • 34. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 0.0.0.0/0 TGW 10.10.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances TGW Route Table Ingress Associations-Spoke VPCs, Internet VPC TGW ENI2 GWLB Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 GWLBe1 Partner Instances Partner Instances GWLB AZ1 AZ2 TGW ENI1 Spoke VPC1 (10.0.0.0/16) GWLBe2 Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-2 10.1.0.0/16 local TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Appliance Subnet1 (10.10.1.0/24) Appliance Subnet2 (10.10.3.0/24) Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC-1 10.0.0.0/16 local Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode enable（有効） (同一AZ間トラフィック) AZ2 Instances AZ1 Spoke VPC2 (10.1.0.0/16) AZ2 TGW-Attach-Spoke-VPC-2 AZ2-AZ2間のトラ フィックをSecurity Applianceでインスペ クションしたい Appliance modeがenable(有効)の場合、TGWのハッシュの計算 により同一AZ間トラフィックでも、他のAZのGWLBエンドポイ ントに振り分けられる場合もある。 1 from AZ2 2 4 5 6 7 8 9 ３ 10 11 1 from AZ2 TGWはAZ2間のトラ フィックフローをAZ1の アプライアンスに流す場 合もある。
  • 35. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. クロスゾーン負荷分散について
  • 36. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. クロスゾーン負荷分散 • GWLB作成後にクロスゾーン負荷分散を有効化できる。 • 動作は従来のNLBと同じです。
  • 37. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances Cross-zone load balancing :Enabled GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance or Security VPC 10.1.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Partner Instances Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/16 local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local 10.1.1.0/24 10.1.2.0/24 GENEVE Encap 1 2 3 4 5 6 10.0.2.10 10.0.4.10 3‘ 4‘ クロスゾーン負荷分散（Appliance正常時）
  • 38. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance or Security VPC 10.1.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/ local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local 10.1.1.0/24 10.1.2.0/24 GENEVE Encap Cross-zone load balancing :Enabled 1 2 3 4 5 6 10.0.2.10 10.0.4.10 クロスゾーン負荷分散（AZ1 Appliance全障害）
  • 39. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances GWLBe subnet1 (10.0.1.0/24) Applicationsubnet (10.0.2.0/24) Appliance or Security VPC 10.1.0.0/16 Customer VPC (Spoke1 10.0.0.0/16) EC2 Instance GWLB Partner Instances GWLBe1 IGW Ingress Routing Table Route Table GWLBe subnet2 (10.0.3.0/24) GWLBe2 Applicationsubnet (10.0.4.0/24) AZ1 AZ2 EC2 Instance Destination Target 10.0.0.0/16 local 10.0.2.0/24 GWLBe1 10.0.4.0/24 GWLBe2 AZ1 AZ2 Destination Target 10.0.4.0/24 local 0.0.0.0 GWLBe2 Destination Target 10.0.2.0/24 local 0.0.0.0 GWLBe1 Destination Target 10.10.0.0/ local Destination Target 0.0.0.0/0 IGW 10.0.0.0/25 local 10.1.1.0/24 10.1.2.0/24 GENEVE Encap Cross-zone load balancing :Enabled 1 2 10.0.2.10 10.0.4.10 GWLBはAZ1から発信されたトラフィック の転送を止める。AZ2から発信されたトラ フィックの処理は続ける。 クロスゾーン負荷分散無効の場合（AZ1 Appliance全障害）
  • 40. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Partner Instances Cross-zone load balancing :Enabled GWLB Partner Instances Partner Instances AZ1 AZ2 Destination Target 10.10.0.0/16 local 10.1.1.0/24 10.1.2.0/24 クロスゾーン負荷分散 vs TGW Appliance mode Appliance VPC 10.10.0.0/16 クロスゾーン負荷分散 Transit Gateway TGW ENI2 Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC-1 10.1.0.0/16 TGW-Attach-Spoke-VPC-2 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Appliance-VPC Egress Route Table TGW ENI1 TGW Attach Subnet1 (10.10.2.0/24) Appliance VPC 10.10.0.0/16 TGW Attach Subnet1 (10.10.4.0/24) Destination Target 10.10.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 0.0.0.0/0 GWLBe2 10.10.0.0/16 local Transit Gateway Appliance mode GWLBe1 GWLBe2 From AZ1 From AZ2
  • 41. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS Transit Gateway/Gateway Load Balancer を使用したEgress トラフィック インスペクション ビデオデモをご覧ください。
  • 42. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Cross-zone load balancing :Enabled Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) 1 2 3 4 5 7 6 8 9 10 11 デモ1 GWLBe-GWLB間はどのようなトラフィックが流れているのか？ GWLBとAppliance間(Geneve)はどのようなトラフィックが 流れているのかtcpdumpを使用し確認する。(5, 6の箇所) #TargetはAmazon Linuxを使用 Spoke VPC AZ1のインスタンスよりInternet向け にトラフィックを発信。(ICMP)
  • 43. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
  • 44. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. ★Geneve Src Dst GWLB(10.0.10.164) → Appliance(10.0.10.10) 5 10:52:48.908670 IP 10.0.10.164.60004 > ip-10-0-10-10.ap-northeast-1.compute.internal.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 172.16.3.217 > 183.79.217.124: ICMP echo request, id 1, seq 161, length 40 ★Geneve Src Dst Appliance(10.0.10.10)→GWLB(10.0.10.164) 6 10:52:48.908698 IP ip-10-0-10-10.ap-northeast-1.compute.internal.60004 > 10.0.10.164.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 172.16.3.217 > 183.79.217.124: ICMP echo request, id 1, seq 161, length 40 ★Geneve Src Dst GWLB(10.0.10.164) → Appliance(10.0.10.10) 5 10:52:48.916754 IP 10.0.10.164.60004 > ip-10-0-10-10.ap-northeast-1.compute.internal.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 183.79.217.124 > 172.16.3.217: ICMP echo reply, id 1, seq 161, length 40 ★Geneve Src Dst Appliance(10.0.10.10)→GWLB(10.0.10.164) 6 10:52:48.916766 IP ip-10-0-10-10.ap-northeast-1.compute.internal.60004 > 10.0.10.164.6081: Geneve, Flags [none], vni 0x0, options [32 bytes]: IP 183.79.217.124 > 172.16.3.217: ICMP echo reply, id 1, seq 161, length 40 GWLBとAppliance FW間のトラフィック(5, 6)は、GENEVEによりカプセル化 されている。またオリジナルのパケットはそのまま維持されている。(透過的) #Geneveのport番号は6081になります。 デモ1 GWLBe-GWLB間はどのようなトラフィックが流れているのか？（補足）
  • 45. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.2.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) デモ2 TGW上でAppliance Modeを有効にした場合の動作 Spoke VPC AZ1のインスタンスよりInternet向け にトラフィックを発信。(HTTP) checkip.amazonaws.com TGW Appliance Mode有効 Appliance Modeコマンド : “aws ec2 modify-transit-gateway-vpc-attachment --transit-gateway-attachment-id tgw-attach- xxxxxxxxxxxxxxxxx --options ApplianceModeSupport=enable”
  • 46. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
  • 47. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. https://checkip.amazonaws.com/ で下記の何れかのアドレスになっていることを確認。 (Internet VPCから出ていることを確認) デモ2 TGW上でAppliance Modeを有効にした場合の動作（補足）
  • 48. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Destination Target 10.1.0.0/16 local 0.0.0.0/0 TGW Destination Target 0.0.0.0/0 TGW-Attach-Spoke-VPC1 10.0.0.0/16 local Destination Target 0.0.0.0/0 TGW-Attach-Appliance-VPC Transit Gateway Instances Route Table TGW Route Table Ingress Associations-Spoke, Internet VPC TGW ENI2 GWLB1 IGW Destination Target 0.0.0.0/0 TGW-Attach-Internet-VPC 10.0.0.0/16 TGW-Attach-Spoke-VPC1 TGW Route Table Egress Associations – Appliance VPC TGW-Attach-Spoke-VPC-1 TGW-Attach-Internet-VPC TGW-Attach-Appliance-VPC Ingress Route Table Egress Route Table AZ1 AZ2 AZ1 AZ2 GWLBe1 Partner Appliances GWLB2 AZ1 AZ2 TGW ENI1 Spoke VPC (10.0.0.0/16) Internet VPC (192.168.0.0/24) NATGW NATGW TGW ENI TGW ENI GWLBe2 Partner Appliances Appliance VPC (10.1.0.0/16) TGW Attach Subnet1 (10.1.2.0/24) Appliance Subnet1 (10.1.1.0/24) Appliance Subnet2 (10.1.3.0/24) TGW Attach Subnet2 (10.1.4.0/24) Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe1 Destination Target 10.1.0.0/16 local 0.0.0.0/0 GWLBe2 Destination Target 0.0.0.0/0 IGW 10.0.0.0/16 TGW 192.168.0.0/16 local Destination Target 0.0.0.0/0 NATGW 192.168.0.0/16 local (192.168.1.0/24) (192.168.3.0/24) (192.168.4.0/24) (10.0.1.0/24) (10.0.2.0/24) TGW Appliance Mode有効 Appliance Modeコマンド例 : “aws ec2 modify-transit-gateway-vpc-attachment --transit-gateway-attachment-id tgw-attach- xxxxxxxxxxxxxxxxx --options ApplianceModeSupport=enable” デモ2 TGW上でAppliance Modeを有効にした場合の動作（補足）
  • 49. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 補足
  • 50. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Linux 2をGWLBのターゲットにする 左記の様なトラフィックフローを実現できます。あくまでもテスト目的 でご使用ください。インスペクションなどのテストは行えません。 https://github.com/aws-samples/aws-gateway-load-balancer-code-samples/blob/main/aws- cli/gwlb/configure_iptables_al2.md • Amazon Linux 2をGWLBのターゲットにする方法が公開されております。 • 実際のセキュリティアプライアンスを使用しなくても、GWLBとインスタ ンス間をヘアピンするトラフィックフローが作れます。
  • 51. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Geneve Protocol GeneveのOuter IPv4 Header。UDP(6081)を使用 GeneveのHeader部分。Vxlanと同様VNIなどがある。GWLB は常にこの値は「0」です。その代わりに、Option TLV内に 追加情報としてGWLBe ID, VPC IDなどが含まれている。 #Option TLVはVxLANでは実装されていないフィールドです。 https://aws.amazon.com/jp/blogs/networking-and- content-delivery/integrate-your-custom-logic-or- appliance-with-aws-gateway-load-balancer/ オリジナルのイーサーネットフレームペイロード
  • 52. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 他のアカウントにGWLBエンドポイントを作成するには • ホワイトリストに他のアカウントを追加する事により、対象アカウントが このサービス名を使用してGWLBエンドポイントを作成できるようになり ます。 ホワイトリストにプリンシパルを追加する をクリック。 許可されたアカウント名が表示。
  • 53. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerのクォータ 制限 デフォルト リージョンあたりのGateway Load Balancerの数 20 VPCあたりのGateway Load Balancerの数 10 リージョンあたりのGENEVEプロトコルを使用したターゲットグ ループ数 100 Gateway Load Balancer endopointがサポートしているIPプロト コル IPv4のみ 各AZ(サブネット)ごとのGateway Load Balancer endopoint数 1 Gateway Load Balancer endopointごとの最大帯域幅 40 Gbps
  • 54. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. ①GWLB時間あたりの料金 0.0135 USD/時間 + ②GWLB Capacity Unit料金 ③GWLBエンドポイント料金 各AZのVPCエンドポイ ント1つあたりの料金 0.014 USD/時間 + 処理データ1GBあたり の料金 0.0035USD/GB 0.004 USD/GLCU-時間 を基準とした料金 (以下の3項目から算出したCU) 1. 新規接続/フロー数 2. アクティブな接続/フロー数 3. 処理したバイト数(GB単位) ※1時間内で上記の最大使用量を 基準にGLCU数を判定。 「1 GLCU」は以下に対応 • 600 新規接続・フロー/秒 • 60,000 アクティブ接続/フロー (1分あたりのサンプル数) • ターゲットのEC2、コンテナ IPアドレスで1時間あたり1GB (*) バージニア北部リージョンの料金を記載 NLBと同様に “Capacity Unit” を基準としたご利用料金 + PrivateLink のご利用料金 Gateway Load Balancerのご利用料金 +
  • 55. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 参考資料 AWSドキュメント https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/gateway/introduction.html https://docs.aws.amazon.com/ja_jp/vpc/latest/privatelink/vpce-gateway-load-balancer.html 技術ブログ一覧 https://aws.amazon.com/blogs/networking-and-content-delivery/category/networking-content-delivery/elastic-load- balancing/gateway-load-balancer/ FAQ https://aws.amazon.com/jp/elasticloadbalancing/faqs/?nc=sn&loc=5#Gateway_Load_Balancer パートナー様一覧 https://aws.amazon.com/jp/elasticloadbalancing/partners/ 料金 https://aws.amazon.com/jp/elasticloadbalancing/pricing/ https://aws.amazon.com/jp/privatelink/pricing/
  • 56. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. GWLB 設定画面
  • 57. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには ロードバランサーの設定画面で Gateway Load Balancerを選択 する。
  • 58. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには Gateway Load Balancerがトラ フィックをルーティングする VPC及びサブネットを選択する。 プロトコルがGENEVEになって いる。変更は不可。
  • 59. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには ターゲットのセキュリティアプライア ンスを登録する。 確認画面が表示され、作成を クリックしたら作成終了。
  • 60. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには エンドポイントサービスを作成するGateway Load Balancerを選択し、サービスの作成をク リック。 エンドポイントサービスを作成後サービス名を確 認する。このサービス名を使用して、後ほど Gateway Load Balancerのエンドポイントを作成 します。
  • 61. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Gateway Load Balancerを使用するには サービス名でエンドポイントサービ スを検索する。 各サブネットに必要分エンドポイントを作成する。 VPCを選択し、エンドポイントを作成するサブ ネットを選択する。 ※1度に複数のサブネットを選択し複数のエンド ポイントは同時に作成する事はできません。
  • 62. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. まとめ
  • 63. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. まとめ ・GWLBを使用すると、サードパーティのセキュリティアプライアンス製品 などをAWS上で利用する際、可用性の高い構成がとれます。 ・GWLBは新しいコンポーネントとしてGWLBeという新しいタイプのエン ドポイントとGateway Load Balancer (GWLB) 使用します。 ・GWLBを使用する際は、AZを意識したネットワーク設計が必要です。 ・TGWとGWLBを組み合わせることにより、より柔軟なトラフィックフロー が実現可能です。AZを跨るトラフィックをインスペクションしたい場合は TGW Appliance modeを使用する必要があります。 ・各アプライアンスパートナー様のセキュリティアプライアンスはGWLB(GENEVE プロトコルへ)に対応しているものを選択する必要があります。
  • 64. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Q&A お答えできなかったご質問については AWS Japan Blog 「https://aws.amazon.com/jp/blogs/news/」にて 後日掲載します。
  • 65. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS の日本語資料の場所「AWS 資料」で検索 https://amzn.to/JPArchive
  • 66. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. で[検索] AWS イベント 毎週”W-A個別技術相談会”を実施中 • AWSのソリューションアーキテクト(SA)に 対策などを相談することも可能 • 申込みはイベント告知サイトから (https://aws.amazon.com/jp/about-aws/events/) AWS Well-Architected 個別技術相談会
  • 67. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 4月以降のBlack Belt Online Seminarについて ライブ配信によるBlack Belt Online Seminarは3月一杯で終了し、 今後はオンデマンドによる定期配信に変更いたします。 今後もコンテンツを拡充して行きますので、楽しみにお待ちください。 オンデマンドでの配信スケジュールは、AWS Blog, AWSニュースレ ターでお知らせいたします（5月17日週に再開を予定しています）
  • 68. © 2021, Amazon Web Services, Inc. or its Affiliates. All rights reserved. © 2020, Amazon Web Services, Inc. or its Affiliates. All rights reserved. AWS 公式 Webinar https://amzn.to/JPWebinar 過去資料 https://amzn.to/JPArchive ご視聴ありがとうございました