オンプレミスからのインターネット行きのトラフィックをAWSに集約する際の注意点

はじめに

企業のネットワーク環境において、インターネットへのアウトバウンドトラフィックを一元管理することは、セキュリティ強化やコスト最適化の観点から重要な戦略です。特に、オンプレミス環境とAWS環境が混在する場合、インターネット行きのトラフィックをAWSに集約することで、統一されたセキュリティポリシーの適用や、出口ポイントの管理簡素化などのメリットが得られます。

しかし、このようなトラフィック集約を実現するためには、適切なネットワークアーキテクチャの設計が必要です。本記事では、オンプレミスからのインターネット行きトラフィックをAWSに集約する際の注意点、特にTransit GatewayとTransit VIFの必要性について解説します。

オンプレミスからの全トラフィックをAWSに向ける場合の注意点

オンプレミス環境からの全てのインターネット行きトラフィックをAWSに集約する場合、Transit VIFとTransit Gatewayの組み合わせが必要になります。これは、Virtual Private GatewayがVPCのCIDR外であるIPパケットをVPC内へルーティングすることができない為です。

Transit Gatewayはそう言ったことがなく、オンプレミスからきたグローバルIPアドレスなどのVPCのCIDR外宛のパケットをルーティングできません。また、Transit Gatewayに接続する場合は、Transit VIFが必要となります。よって、Transit VIFとTransit Gatewayの組み合わせが必要となるのです。

ただし、プロキシーサーバーを使用する場合は、Transit VIFを使用せずにPrivate VIFでもインターネットへの出口を集約が可能です。これは、プロキシーを経由する場合は、一旦、IPの宛先がProxyサーバー(VPCのCIDR内のアドレス)になる為です。すべてのインターネット宛のトラフィックをProxy経由させることが可能であれば、Transit Gatewayを用いる必要は必ずしもありません。

TransitGatewayを使用した構成

Transit Gatewayを使用してオンプレミスからのインターネット行きトラフィックをAWSに集約する基本的な構成は以下の通りです。

オンプレミス環境からDirect Connectを介してAWS環境に接続
Direct Connect GatewayからTransit Gatewayに接続
Transit Gatewayから各VPCに接続
インターネット行きのトラフィックは全て出口のNAT Gatewayを経由
NAT GatewayからInternet Gatewayを通じてインターネットにアクセス

Transit GatewayをDirect Connect Gatewayに関連付ける際に設定する「許可されたプレフィックス」をデフォルトルート（0.0.0.0/0）とすることで、この経路がオンプレミス側に広報され、それに従ってオンプレミス機器からのインターネット向けの通信がDirect Connectにルーティングされます。併せて、Transit Gatewayのルートテーブル、VPCのルートテーブルも図のように設定します。