😺

Transit Gatewayの複数のルートテーブル動作を確認してみる（１）ーstatic/dynamic routingー

2023/01/21に公開

AWS

tgw

transitgateway

tech

はじめに

Transit Gatewayを学習中、各VPCやIPsec-VPNに対して個別のルートテーブル(ingress/egress)を持たせというのがいまいちイメージが湧かず、実際に手を動かして検証してみました。

【目標】
・各VPCに対して、static routingとdynamic routingの設定方法を学ぶ
・複数のルートテーブルの設定、動作を確認する
・IPsec-VPNからのdynamic routingの設定方法を学ぶ

構成概要

構成図

全体構成

【Branch1 VPC】
IPsec-VPN検証用のVPC。
Public SubnetにFortigate Instance、Private Subnetに Windows Server Instanceを設置。
FortigateからTransit GatewayにIPsecを張り、Private Subnet(10.1.10.0/24)のルート情報をTransit Gatewayに伝播する。

【Branch2、App1 VPC】
Transit Gateway Attachmentを各VPCにアタッチし、Transit Gatewayのルートに乗せる。

【Gateway VPC】
1つのVPCに複数のTransit Gateway Attachmentをアタッチ。
今後のGateway Load BalancerとTransit Gatewayを用いたEast-Westネットワーク検証のために分けているが、本ネットワークではBranch2, App1と同じとみなして差支えない。

ルートテーブル

・172.16.1.0/24 : TGW Left subnet on Gateway VPC
・172.16.2.0/24 : TGW Right subnet on Gateway VPC
・10.2.1.0/24 : Branch2 subnet on Branch2 VPC
・10.3.1.0/24 : App1 subnet on App1 VPC
VPCへTGWをアタッチする際、TGW専用のサブネットを作成するのがベストプラクティスです。
これは、TGWが持つルートテーブルとサブネットが持つルートテーブルが混在し意図しないルーティングをさけるためとのことです。

・172.16.10.0/24 : Private App Left subnet on Gateway VPC
・172.16.20.0/24 : Private App Right subnet on Gateway VPC
・10.2.10.0/24 : Branch2 subnet on Branch2 VPC
・10.3.10.0/24 : App1 subnet on App1 VPC
アクセス用デフォルトゲートウェイとしてIGWを設け、Gateway, Branch2, App1の各VPCへのルートはTGWのアタッチメントを宛先にします。

各VPCに設置されたPrivate APP、Windows-SV間の通信がTransit Gatewayのルート設定でどのように変わるか確認していきます。

全体の流れ

Transit Gateway検証環境の準備
TGWのdynamic Routeでの疎通確認
TGWのStatic Routeでの疎通確認
複数ルートテーブルの動作検証 Hub and Spoke

Transit Gateway検証環境の準備

キーペアの準備

まずは、各Private APPにアクセスするためのSSH keyを作成します。

EC2サービスの左ペインより、ネットワーク＆セキュリティ->キーペアをクリックする
キーペアの名前を適当に入力する（tokyoregion2）

検証環境の準備

githubから検証環境をcloudformationで構築していきます。

git clone https://github.com/pero0125/transitgateway0121.git

cloudformationの展開手順
network.yml -> security.yml -> branch_instance.yml -> appliance_security.yml
の順番で展開します。

TGWのdynamic Routeでの疎通確認

各Private Appへアクセス

検証環境が整ったら、各Private Appにアクセスして、検証を進めます。
tokyoregion2を保存しているフォルダに移動し、コマンドプロンプトを表示させます。

※上図のフォルダでcmdと入力し、Enterをたたくとコマンドプロンプトが立ち上がります。
　４画面用意します。

EC2サービスの左ペインより、インスタンス->インスタンスをクリックする。
下図のようにインスタンスが作成されているので、各PrivateAppのチェックし、右上の接続をクリック
・tgw-Syslog-Left-Instance (GatewayVPCに所属)
・tgw-Syslog-Right-Instance (GatewayVPCに所属)
・tgw-Linux-Blanch2-Instance (Branch2VPCに所属)
・tgw-Linux-App2-Instance (App1VPCに所属)

インスタンスに接続から、SSHクライアントのコマンドをコピーする。

ssh -i "tokyoregion2.pem" ec2-user@xx.xx.xx.xx

上図のように各Private APPにアクセスします。

疎通確認

Transit Gatewayでは、デフォルトルートが存在し、各VPCのルート情報がdynamicに伝搬するように設定されています。

VPCサービスの左ペインより、Transit Gateway->Transit Gatewayルートテーブルをクリック
既に一つあるルートテーブルにチェックを付け、『ルート』タブをクリック
下図のようにルート情報のルートタイプが伝達済みとなっています。
これがデフォルトでのAWSのBGPによるdynamic routingが有効となっている状態です。