AWSサービス ネットワーキングとコンテンツ配信

【AWS認定資格 試験対策】AWS VPN / AWS Direct Connect

AWS VPN / AWS Direct Connectって何?

  • VPNサービスはAWS Site-to-Site VPNとAWS Client VPNの2種類
  • AWS Direct ConnectはAWSの専用線サービス

参考・リンクまとめ

DirectConnectなどの専用線ソリューションは、コスト面もあり、なかなか自身でハンズオンを行うことが難しいですが、AWSでは定期的に『AWS 専用線アクセス体験ラボ ハンズオントレーニング』というイベントをやっており、専用線のハンズオンが行えます。

出題傾向

出題は基本的にAWS サイト間(Site-to-Site)VPNからになる傾向にあります。ただし、AWS Client VPNも基礎的な内容は理解しておく必要があります。

AWS サイト間(Site-to-Site)VPNはシンプルな構成から、複雑な多拠点間の構成、AWS Direct Connectとの共存、AWS Transit GatewayやAWS VPN CloudHubの活用等、様々な出題パターンが想定されます。

出題ポイント

AWS VPN / AWS Direct Connectの種類

  • AWS側のVPCとリモート(オンプレミス)側のネットワーク間の接続
  • 閉域網かインターネット経由かをおさえておく

このあたりが問われます!!

オンプレミス側と、AWSを接続する方法として、DirectConnectとVPNがあります。

どちらもセキュアにオンプレミスとAWSを接続するためのソリューションですが、違いはDirectConnectは閉域網、VPNはンターネット経由での接続であるということです。

このあたりが問われます!!

Direct Connectの接続イメージも確りと頭に入れておきましょう。

まずは、DirectConnectは、「VPC」と「オンプレミス」だけでなく、その間に「DirectConnectロケーション」というものが存在していることを明確に認識しておく必要があります。

VPC側に仮想プライベートゲートウェイ(Virtual Private Gateway。VPG、あるいはVGWと書いてある場合もあり。以下の図では、Private Virtual Gatewayと書いてますが、正しくは、Virtual Private Gatewayです。の作成が必要です。また、AWSの出口と、DirectConnect Loactionをつなぐために『仮想インターフェース(VIF)(下記の図では、Private Virtual Interfaceと示されている箇所)』の設定をDirectConnectのコンソールから行う必要があります。

パブリック接続とプライベート接続

  • オンプレミスから、S3などのAWSサービスに直接接続を行いたい場合はパブリック接続を選択
  • オンプレミスからVPCにアクセスする場合はプライベート接続
  • プライベート接続はオンプレミス側のIPアドレスについてNAT等の必要がなく接続できますが、パブリック接続はNATなどによるアドレス変換を行う必要がある

DirectConnect Gateway

  • VIFとVGWは同一リージョンに1対1で設定する、という制限を緩和できる
  • オンプレミスから、複数のリージョンのVPCに接続できる

このあたりが問われます!!

通常のDirectConnectは、仮想プライベートゲートウェイ(VGW)および仮想インターフェース(VIF)が同じのリージョン同士でないと接続できませんでしたが、DirectConnectGatewayを利用すればその制限はなく、他リージョンへの接続も可能になります。

マルチリージョン構成の場合に問われることがありますので、機能だけおさえておいてください。

Transit Gateway

  • 複数のVPCやDirect Connect間でハブの役割を果たすサービス
  • Direct Connect Gatewayはオンプレ〜VPC間であるのに対して、Transit Gatewayはそれに加えてVPC同士の接続も可能

このあたりが問われます!!

前述のDirect ConnectやDirect Connect Gatewayとは区別できるようにしておきましょう。

ポイントは下記の3点です。

  • Direct Connect Gatewayはオンプレ〜VPC間であるのに対して、Transit Gatewayはそれに加えてVPC同士の接続も可能
  • Direct Connect Gatewayの接続可能なVPCは最大10個であるのに対して、Transit Gatewayは数千個
  • Direct Connect Gatewayは他リージョンのVPCにも接続可能であるのに対して、Transit Gatewayは同リージョン内のみ接続可能

なお、Transit Gateway同士の接続は不可能です。

AWS Site-to-Site VPNって何?

  • AWS側のVPCとリモート(オンプレミス)側のネットワーク間の接続
  • インターネットプロトコルセキュリティ(IPsec)VPN接続をサポート(IPsec:レイヤ3のネットワーク層で動作)
  • リモート(オンプレミス)側にカスタマーゲートウェイ(CGW)をAWS側に仮想プライベートゲートウェイ(VGW)を設置する。

参考・リンクまとめ

このあたりが問われます!!

冗長化や、NWの構成について問われます。

接続の概要図としては以下の通りですので、以下の図を頭に入れておくといいでしょう。

絶対暗記!!

下記の単語は、問題文の中で「AWS Site-to-Site VPN」を暗示するものとして触れられがちですので、覚えておきましょう。(「仮想プライベートゲートウェイ」だけでは判断できませんが、他の単語も複数問題文に出てくる場合は、「AWS Site-to-Site VPN」と考えて良いでしょう。)

  • カスタマーゲートウェイ(CGW)
  • 仮想プライベートゲートウェイ(VGW or VPG)
  • IPsec(レイヤ3:ネットワーク層)

また、VPN接続の単一障害点を回避するために、下記のように、カスタマーゲートウェイを(CGW)を2箇所設置して冗長化する場合があります。なお、1つのVPCが持てる仮想プライベートゲートウェイ(VGW)は1つだけですので、VGW側で冗長化することはできないこともあわせて覚えておきましょう。

Acceleratedサイト間VPN

  • Global Acceleratorを使ったSite to Site VPN
  • 通信がAWSグローバルネットワークを経由して接続され、高可用性・高パフォーマンス。

このあたりが問われます!!

高可用性・高パフォーマンスがある旨を覚えましょう。

オンプレからS3へのデータ移動

  • Snowファミリー、StargeGatewayなどのユースケース、メリットについて抑える。
  • DirectConnectを利用する場合のケースをおさえる。

このあたりが問われます!!

オンプレからクラウド上のS3にデータを移行する場合の問題はSAAでもSAPでも頻出です。パターン化されていますので、確りと覚えましょう。

オンプレからS3に移行するデータの量、インターネットの回線速度、移行の為に使える期間が示されるので、移行のために与えられた時間の中で、移行を終わらせる事が可能であるか否かを計算する必要があります。移行に要する時間は下記の2つの要素に分けて考えることができます。

たとえば、VPNとSnowballで比較した場合、移行準備に要する時間はVPNの方が圧倒的に短いので、VPNの方が、移行を迅速に終える事ができるようにも感じますが、もし、インターネット回線が遅い場合、転送自体に膨大な時間を要してしまう為、総合的に考えるとSnowballの方が、早いということもあります。

  • 移行準備に要する時間
    • 例えば、DirectConnectや、Snowballの場合、データ転送を開始するまでに、数日~数週間程度の時間を要します。この準備期間を考慮に入れる必要があります。
  • 移行自体に要する時間
    • 実際に移行を開始してからは、移行自体にどれほど時間を要するか評価する必要があります。
    • 例えば、10PBのデータを1Gbyte/sの回線でAWSへ移行しようとする場合、120日以上かかります。その場合は、Snowballを利用したほうが高速にデータを移行できます。

絶対暗記!!

  • 名称
    転送準備に要する時間
    容量
    AWS VPN
    Site to Site VPNの場合、ハードウェアは必要ですが、AWS VPNに適応した市販のルーターでOK。(その場合数分で設定完了)
    AWS DirectConnect
    指定のデータセンターまでの物理接続を自社で実施する必要があり、リードタイムを要する。(数日)
    AWS Snowball

    デバイスが届いて、入れて送るのもろもろで数週間
    50TB
    (42TB使用可能)
    80TB
    (72TB使用可能)
    Snowball Edge Storage Optimized (データ転送用)
    デバイスが届いて、入れて送るのもろもろで数週間
    100TB
    (80TB使用可能)
    Snowball Edge Storage Optimized (EC2 コンピューティング機能搭載)100TB
    (80TB使用可能)
    Snowball Edge Compute Optimized42 TB
    (39.5TB使用可能)

    出典:AWS Snowball デバイスの相違点
  • AWS Snowファミリーにはその他、「AWS Snowcone(容量:8テラバイト)」、「AWS Snowmobile(容量:100ペタバイト)」というものもあります。

 

-AWSサービス, ネットワーキングとコンテンツ配信

© 2024 A-COM(エーコム) Powered by AFFINGER5