第6回 Amazonクラウド（JAWS-UG） 岡山

1. 週末趣味のAWS
AWS Directory Service のSimpleADとroute53の組み合わせで
VPN接続拠点のDNSフルリゾルバとして使う

2. 免責事項
本資料並びにセッションでの発言は私個人の調査や
情報収集および実践に基づいて構成したものです
したがって所属企業やAWS等、私個人以外の如何なる
ものの意見を代表するものではありません
本セッションでの内容に起因して損害が生じた場合に
おいても、発表者はその責任を負うことができません

3. 自己紹介
•氏名：難波 和生 github:kazu0-n
•職業：ネットワークオペレータ
：サーバ・NWのインフラ担当
：レイヤー4までの人です
•趣味：車の運転
：古いPCの復活
：「週末趣味のAWS」「週末趣味のHyper-V」など
週末趣味シリーズを展開中

4. • 開発ツールで簡単に作成されたネットワーク・コンテナ
• 同じネットワークプリフィックス・同じIPアドレスが
混在してもSDNできちんと経路制御される
• インフラとなるデータセンターはテラビット級のSWに収容され
• あたかも1つのコンピュータの如く高速につながりあう
• 物理的には分散、でも論理的かつ透過的に集約される
これからのネットワークって。。

5. • コンテナでSystemdを利用する際に苦労したところ
– RUN した時はコンテナは完成形で起動しなくてはいけない
– CMD で /sbin/init を実行しなくてはいけない
– Docker run 実行時の env 設定は読み込んでくれない
– コンテナイメージにクレデンシャル情報を含めたくない
– create db するunitは初回起動時に1回だけの実行にしたい
最近やってること Systemd環境でコンテナ

6. • こんな方法で解決策を検討
– DBロールやDBアクセスのクレデンシャルは
curlコマンドで取得
●
Unit内 Enviroment で指定したファイルに認証用の環境変数を読込む
– クレデンシャル情報へのアクセスは/32で接続元IPを制限
– create db するUnitのタイプを「Oneshoｔ」に設定
●
初回起動後 「execstartpost」 でUnit自身をdisableにする
– https://github.com/kazu0-n/pgsql94-docker-azf
最近やってること Systemd環境でコンテナ

7. Agenda
•DNSキャッシュサーバ（Recursive）構築のきっかけ
•AWS Directory Service
•環境のご説明
•デモ
•時間があればデモ環境のおはなし
•まとめ

8. Agenda
•DNSキャッシュサーバ（Recursive）構築のきっかけ
•AWS Directory Service
•環境のご説明
•デモ
•時間があればデモ環境のおはなし
•まとめ

9. DNSキャッシュサーバ（Recursive）構築のきっかけ
• AWS へ閉域接続する案件発生
• AWSへ接続する拠点で稼働するクライアントの名前解決方法
• EC2でDNSキャッシュサーバを構築する？
• でも、運用に手間がかからない方がいいよね。。

10. DNSキャッシュサーバ（Recursive）構築のきっかけ
• VPC の provided DNS を名前解決でつかえないの？
• VPC-provided DNS はVPC内からの再帰問合せしか応答しない
• やっぱりEC2で自作するしかないの？
• でも、やっぱり運用に手間がかからない方がいいよね。。

11. DNSキャッシュサーバ（Recursive）構築のきっかけ
•そんな時には
–AWS Directory Services ！！

12. Agenda
•DNSキャッシュサーバ（Recursive）構築のきっかけ
•AWS Directory Service
•環境のご説明
•デモ
•時間があればデモ環境のおはなし
•まとめ

13. AWS Directory Service
• SimpleADとMicrosoftADがある
– アカウント運用とDNSサービスが利用できます
• 今回はSimpleADを使います
– Active Directory 互換のSambaベース
• SimpleADのDNSの特徴
– 非権威ドメインの名前解決をVPC-provided DNSに転送
– Route53のPrivateゾーンに登録したレコードを参照させる

14. Agenda
●
DNSキャッシュサーバ（Recursive）構築のきっかけ
●
AWS Directory Service
●
環境のご説明
●
デモ
●
時間があればデモ環境のおはなし
●
まとめ

15. 環境のご説明
• SimpleADでディレクトリを作成
– Route53に登録するゾーンと異なるディレクトリ名
– SimpleADのセキュリティグループでDNS参照元の
IPプリフィックスを許可
• Route53 に Private zone を設定
– 作成した Private zone にVPCを Associate
• クライアントの参照DNSとしてSimpleADのDNSを設定
– DHCPオプションを使うと便利

16. 環境のご説明
• AWSに接続する拠点の役はピアを張った別のVPCで代用
– メインVPC：Oreg-VPC178(172.22.178.0/24)
●
Oreg-VPC178-vpn-2c(172.22.178.0/26)
●
Oreg-VPC178-ap1-2c(172.22.178.64/26)
●
Oreg-VPC178-ap2-2b(172.22.178.128/26)
– 接続拠点役VPC：Oreg-VPC218(172.22.218.0/24)
●
Oreg-VPC218-vpn-2c(172.22.218.0/26)
●
Oreg-VPC218-ap1-2c(172.22.218.64/26)
●
Oreg-VPC218-ap2-2b(172.22.218.128/26)

17. 環境のご説明

18. Agenda
●
DNSキャッシュサーバ（Recursive）構築のきっかけ
●
AWS Directory Service
●
環境のご説明
●
デモ
●
時間があればデモ環境のおはなし
●
まとめ

19. Agenda
●
DNSキャッシュサーバ（Recursive）構築のきっかけ
●
AWS Directory Service
●
環境のご説明
●
デモ
●
時間があればデモ環境のおはなし
●
まとめ

20. 今回のデモ環境
• AWS Directory Service
– Simple AD
●
name：jawsug.okayama.local
●
DNS Address:172.22.178.145, 172.22.178.84
●
Directory size:Small
●
Availability zones:us-west-2c, us-west-2b

21. 今回のデモ環境
• Elastic Beanstalk
– Web Server Environment
●
Platform：Docker
●
Environment type：Load balancing,auto scaling
●
Deployment policy:Rolling
●
Create this environment inside a VPC
●
ELB visibility:Internal
●
Elastic Beanstalk URL → Route53 Private Zone
Alias Record

22. 今回のデモ環境
• VPN環境
– AWS RRAS → Azure VPN Gateway
• 逆方向にVPN張ってもOKです
– Azure RRAS → AWS VPN Gateway
• RRASでなくてもOKです
– VyOS、OpenSwan、pfSense とか
• 各拠点でIPプレフィックスが重複しないように採番
• 各拠点内での経路制御を設定
– 例:Azure宛先 → Next Hopとなるインスタンス(ENI)を指定

23. 今回のデモ環境
• VPN Connection
– AWS Side
●
RRAS(Windows2012r2)
– Azure Side
●
Resouce Groups:JAWSUG-Okayama
●
Location:West US
●
VNET: ARM(Azure Resouce Manager)
●
Gateway type:VPN
●
VPN type:Route-based

24. 今回のデモ環境
• VPN Connection
– AWS Side: RRAS(Windows2012r2)

25. 今回のデモ環境
• VPN Connection
– AWS Side
RRAS(Windows2012r2)

26. 今回のデモ環境
• VPN Connection
– AWS Side: RRAS(Windows2012r2)

27. 今回のデモ環境
• VPN Connection
– Azure Side
●
Resouce Groups:JAWSUG-Okayama
●
Location:West US
●
VNET: ARM(Azure Resouce Manager)
●
Gateway type:VPN
●
VPN type:Route-based

28. 今回のデモ環境
●
VPN Connection
– Azure Side

29. 今回のデモ環境
●
VPN Connection
– Azure Side

30. 今回のデモ環境
●
VPN Connection
– Azure Side

31. 今回のデモ環境
10.172.66.0/24

32. Agenda
●
DNSキャッシュサーバ（Recursive）構築のきっかけ
●
AWS Directory Service
●
環境のご説明
●
デモ
●
時間があればデモ環境のおはなし
●
まとめ

33. まとめ
•AWS Directory Service
– キャッシュDNSはMulti-AZ構成
– 自動作成されるセキュリティグループがある
– 接続する拠点からの再起問合せを許可する
設定を忘れずに

34. 参考文献
•How to Set Up DNS Resolution Between On-Premis
es Networks and AWS Using AWS Directory Service
and Amazon Route 53
– https://blogs.aws.amazon.com/security/post/Tx
3SU68M25RX2PS/How-to-Set-Up-DNS-Resolutio
n-Between-On-Premises-Networks-and-AWS-Us
ing-AWS-Dire

35. 参考文献
•オンプレミスネットワークとAWS間のDNS名前解決
をAWS Directory ServiceとAmazon Route 53を使用
してセットアップする方法
– http://aws.typepad.com/sajp/2016/02/how-to-
set-up-dns-resolution-between-on-premises-net
works-and-aws-using-aws-directory-service-and
-am.html

36. ご清聴ありがとうございました