[AWSマイスターシリーズ] Amazon VPC

AWSマイスターシリーズ
Reloaded
Amazon VPC(Virtual Private Cloud)

2013.02.20
エコシステムソリューションアーキテクト
松本大樹

© 2012 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified or distributed in whole or in part without the express consent of Amazon.com, Inc.

今日のAgenda

VPCとは？
VPCの構成要素
VPC価格および注意事項
Amazon Direct Connect(DX)とは？
VPC/VPN/Direct Connectの活用例
Q&A

2

今日のAgenda

VPCとは？
VPCの構成要素
Q&A

3

AWSの様々なサービス
お客様のアプリケーション
デプロイと自動化
ライブラリ & SDKs IDEプラグイン Web管理画面モニタリング Development &
認証 AWS Elastic
Java, PHP, .NET, Eclipse Management Amazon
AWS IAM Beanstalk Administration
Python, Ruby Visual Studio Console CloudWatch
AWS CloudFromation

メッセージ
メール配信ワークフロー管理
Amazon SNS
Amazon SES Amazon SWF
Amazon SQS
Application
Service
コンテンツ配信分散処理キャッシング
Amazon CloudFront Elastic MapReduce Amazon Elasticache

ストレージデータベース
コンピュータ処理
Amazon S3 Amazon RDS
Amazon EC2
Amazon EBS Amazon DynamoDB
Auto Scale
AWS StorageGateway Amazon SimpleDB

Infrastructure
ネットワーク & ルーティング Service
Amazon VPC / Amazon Elastic Load Balancer / Amazon Route 53 /AWS Direct Connect

AWS グローバルインフラ
Region AZ
Geographical Regions, Availability Zones, Points of Presence
4
4 © 2012 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified or distributed in whole or in part without the express consent of Amazon.com, Inc.

なぜVPCが必要か？

ネットワークのセキュリティを高める為に、
色々と設定したい！
クラウド環境においても既存の環境のネット
ワークルールを適用したい！
きめ細かいアクセス制御をしたい！
Local IP Addressを固定にしたい！
1つのEC2で複数IPアドレスや複数ネットワーク
インターフェースを使いたい！
別のセキュリティグループに変更したい！
・・・・・などなど！
5

VPCを使えば実現可能です！
VPC CIDR / Subnet
Route Table
Internet Gateway(IGW)
VPC Security Group(and DB Security Group)
Network Access Control List (NACL)
NAT
EC2 Dedicated Instance
Elastic Network Interface
Virtual Private Network (VPN)

6

Amazon VPC
AWS上にプライベートネットワーク空間を構築
• 社内からVPN接続して閉域網でAWS利用
• 仮想ネットワーキング
オンプレミスとのハイブリッドが簡単に実現
• AWSが社内インフラの一部に見える
 社内システム、ソフトウェアの移行がより容易に
 例：業務システム、バッチ処理、ファイルサーバ
より細やかにネットワーク関連の設定が可能
全リージョンで利用可能

7

AWS上にプライベートのアドレス空間を作成し、
お客様のインフラをAWS上に延長する

リージョン VPC内に分離し
VPN接続たサブネットを
EC2
専用線自由に作成

Internet
イントラ VPC ゲート
ウェイ
プライベートパブリック
サブネットサブネット

VPN

DX

8

VPCを利用した3層Webシステム構成例
DC/社内からのみインターネットから
アクセス可能もアクセス可能

Availability Zone - A

Private Subnet 10.0.1.0/24 Public Subnet 10.0.0.0/24
Amazon RDS EC2 Instance
Anyone
DB Web
10.0.0.7
VPN接続
DX専用線

Internet Internet
Gateway
DB Web
10.0.2.7
EC2 Instance
Amazon RDS
Private Subnet 10.0.3.0/24 Public Subnet 10.0.2.0/24

Availability Zone - B
Corporate
data center VPC 10.0.0.0/16

9

VPC作成時にテンプレートを利用可能
一般的な構成テンプレートを準備
VPC作成後も構成は変更可能

パブリックパブリック+プライベートパブリック+プライベートプライベート
サブネット＋ＶＰＮサブネット＋ＶＰＮ

10

VPC with a Single Public Subnet

EIP(Elastic IP)アドレスをパブリッ
クインタフェースにアサイン
適用メリット
 VPCの様々なネットワーク関連機能を利
用して、Webアプリを稼働させる
 プライベートIPを用いて、インスタンス
をまとめられる

11

VPC with Public
& Private Subnets
パブリックサブネットのイン
スタンスには、Elastic IPをア
サインできる
プライベートサブネットのイ
ンスタンスはインターネット
から直接アクセスできない
適用メリット
 Webサーバーをパブリックサブ
ネットを稼働し、プライベート
サブネット内のデータベースの
読み書きを行う

12

VPC with Public & Private Subnets
& VPN Connection

パブリックサブネットのインス
タンスには、Elastic IPをアサ
インできる
プライベートサブネットのイン
スタンスにVPN経由でアクセ
ス可能
適用メリット
 VPCをインターネットに接続しつ
つ、データセンターをクラウド上
に拡張

13

VPC a Private Subnet
& VPN Connection

VPC登場時はこの形態のみだった
全てのトラフィックは社内データセン
ターのファイヤウォール経由で行われ
る
適用メリット
 データセンターをクラウドに拡張しても
中央集権的管理を維持する

14

今日のAgenda

VPCとは？
VPCの構成要素
Q&A

15

VPCで操作できる構成要素
VPC CIDR / Subnet
Route Table
VPC Security Group(and DB Security Group)
NAT

16

VPC CIDRとSubnetについて

Web Web
Server Server

Subnet: 10.0.1.0/24 Subnet: 10.0.2.0/24
VPC 10.0.0.0/16
作成後は、VPCのサイズやアドレスブロックは変更できないので注意！！

CIDR IP Address数
xxx.xxx.xxx.xxx/16 65,534
xxx.xxx.xxx.xxx/20 4,094
xxx.xxx.xxx.xxx/24 254
xxx.xxx.xxx.xxx/28 14

17

Route Tableについて
各SubnetはRoute Tableを持っている。設定を
変更することでデータの流れを制御可能。
IGW(Internet Gateway)への
Public SubnetのRoute Table ルーティングがあるので、イン
ターネットへのアクセスが可能

Private SubnetのRoute Table

18

Route TableとInternet Gateway
Internet
IGWにRoutingされて
Internet
いないのでインター
Gateway ネットと通信できない。
OK
NG

Web OK Web
Server Server

Public Subnet Private Subnet
VPC 10.0.0.0/16
Destination Target
Destination Target
10.0.0.0/16 Local
10.0.0.0/16 Local
0.0.0.0/0 igw-xxxxx
19

NATについて

Private Subnetから外部のインターネットにア
クセスがしたい！
パッチやソフトウェアなどのダウンロード
S3, Route53, DynamoDB, SES, SQSなどの
VPC外のAWSサービスにアクセス
NAT Instanceを使うことで、Global IP(Elastic
IP)を設定せずに外部へのアクセスが可能
AWSからNAT用のEC2 AMIを提供

20

NATについて
Internet
IGWにRoutingされてい
Internet
ないので直接インター
Gateway ネットと通信できない。

OK NG

Web Web
Server Server
NAT
VPC 10.0.0.0/16
Destination Target
Destination Target
10.0.0.0/16 Local
10.0.0.0/16 Local
0.0.0.0/0 NAT
0.0.0.0/0 igw-xxxxx
21

VPC Security Groupと
NACL(Network Access Control List)
Instanceレベル
でIn/Outのアク
セス制御

Subnetレベル
でIn/Outのアク
セス制御

22

VPC Security Group
VPC環境ではインターネットからのトラフィック(Inbound)
をブロックするだけでなく、EC2からのトラフィック
(Outbound)を制限する事も可能です。

Port 80
(HTTP)

EC2
Instance
Port 22
Security Group (SSH)

23

NACL(Network Access Control)

個々のSubnetごとにアクセス制御が可能
Inbound, Outboundに対して下記の設定が可能
Inbound
Port range(ポート番号)
Source(アクセス元IPアドレス)
Allow/Deny
Outbound
Port range(ポート番号)
Destination(アクセス先IPアドレス)
Allow/Deny

24

通常のEC2
VPC内で専用インスタンス物理サーバー
シングルテナント保証

規制に対応しなければいけ顧客A 顧客B 顧客C
ないお客様のご要望に応え
Dedicated Instance
るサービス
物理サーバー

クラウドのメリット確保
従量課金
柔軟にスケールアップ顧客A 顧客B 顧客C
瞬時に調達

25

Elastic Network Interfaces

VPC上で実現する仮想ネットワークインタ
フェースを複数持てる機能
以下をENIに紐づけて維持可能
Private IP
Elastic IP
MACアドレス
セキュリティグループ
インスタンスによって割り当て可能な数が異な
る。

26

Elastic Network Interfaces
インスタンスタイプによる設定数の制限
http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instance-types.html#AvailableIpPerENI


VPN (Virtual Private Network)

オンプレミスの環境もしくはオフィスとAWSのVPC環境
を繋げる手段
BGPに対応していないVPN Routerも静的ルーティング
することで利用可能に！
IPsec VPNを利用するために必要な機能の抜粋
• トンネルモードで、IPsec セキュリティ接続を確立
• AES 128 bit の暗号化トンネル
• BGP (Border gateway protocol) ピア

参考URL
<http://aws.amazon.com/jp/vpc/faqs/#C8>

28

VPN (Virtual Private Network)
VPN Connectionの設定

VPN Gatewayを Global IPやAS番号を
作成してVPCに指定してCustomer
紐づける。 Gatewayを作成。

VPN Connection VPN Router

IGW Customer
VPC Subnet VPN
Gateway Gateway
Corporate Data center

VPN Connectionを作成後、
Configurationファイルをダ
ウンロードし、VPN Router
29 の設定を実施する。

Public subnet + Private subnet +
VPN GW Corporate = 172.16.0.0/16

Internet VPN
Gateway Gateway

NAT
Instance

Virtual Private Cloud = 10.0.0.0/16

Destination Target
Destination Target
10.0.0.0/16 local
10.0.0.0/16 local
0.0.0.0/0 Internt Gateway
172.16.0.0/16 VPN Gateway
30 0.0.0.0/0 NAT Instance

ハードウェアVPN – 静的ルーティングを使用

サポート対象
• Cisco ASA 5500 シリーズバージョン 8.2 以降のソフトウェア
• IOS 12.4（またはそれ以降の）ソフトウェアを実行する Cisco ISR
• JunOS 9.5（またはそれ以降の）のソフトウェアを実行する Juniper J-Series サー
ビスルーター
• Juniper SRX シリーズサービスゲートウェイ（JunOS 9.5 以降のソフトウェアを実
行）
• ScreenOS 6.1 もしくは 6.2（またはそれ以降）を実行する Juniper SSG
• ScreenOS 6.1 もしくは 6.2（またはそれ以降）を実行する Juniper ISG
• Microsoft Windows Server 2008 R2 以降のソフトウェア
• ヤマハ RTX1200 ルーター
参考URL

31

ハードウェアVPN – 動的ルーティングを使用

サポート対象
• Astaro Security Gateway バージョン8.3以降
• Astaro Security Gateway Essential Firewall Edition バージョン8.3以降
• Cisco ISR（IOS 12.4 以降のソフトウェアを実行）
• Fortinet Fortigate 40+ シリーズ（FortiOS 4.0 以降のソフトウェアを実行）
• Juniper J シリーズサービスルーター（JunOS 9.5 以降のソフトウェアを実行）
• Juniper SRX シリーズサービスゲートウェイ（JunOS 9.5 以降のソフトウェアを実
行）
• ScreenOS 6.1 もしくは 6.2（またはそれ以降）を実行する Juniper SSG
• ScreenOS 6.1 もしくは 6.2（またはそれ以降）を実行する Juniper ISG
• Palo Alto Networks PA シリーズ（PANOS 4.1.2 以降のソフトウェアを実行）
• Vyatta Network OS 6.5 以降のソフトウェア
• ヤマハ RTX1200 ルーター
参考URL

32

[復習] VPCで操作できる構成要素
VPC CIDR / Subnet
Route Table
VPC Security Group
NAT

33

今日のAgenda

VPCとは？
VPCの構成要素
VPCの価格および注意事項
Q&A

34

VPCの価格について

VPCの利用は無料！！

VPN Connectionを利用する場合
は1時間で $0.05/VPN接続。
(1ヶ月で3200円程度)

35

VPC環境での通信コストについて
(東京リージョン)
S3,
Glacier,
Dynamo,
Internet ELB etc…
In: $0.00
Out: $0.00
ELB
In: $0.00
Out: $0.201

Private IP Public IP
In: $0.00 In: $0.01
Out: $0.00 Out: $0.01

In: $0.00
Out: $0.045
In: $0.00 In: $0.01
Out: $0.01 Direct
Out: $0.09
Connect
Other Availability Zone Availability Zone VPN Connection
Region
Cloudfront In: $0.00
Out: $0.201

詳しくは下記URLをチェック！
36 http://aws.amazon.com/jp/ec2/pricing/

VPC Limitsの確認
デフォルトの上限値が増
加したものがいくつかあ
ります。
必要に応じて弊社Webサ
イトから制限解除申請を
実施ください。
• http://aws.amazon.co
m/jp/contact-us/vpc-
request/
不明点は担当営業までお
問い合わせください。

37

VPC対応製品

ElastiCache, Elastic Beanstalk, RDSもVPCに
対応しました！
S3, Dynamo DB, SQS, SES等のサービスは
VPCの外でサービスを提供しているため、VPC
外へアクセスする必要がある。

S3

EC2

Dynamo
DB
38

Amazon RDS

マネージドリレーショナルデータベース
• 数クリックで、DBサーバ立ち上げ可能
• サーバのスケールアップ/ダウン、クラスター化、自動バックアップな
どが容易に構成できるフルマネージドRDMSサービス
Product サポート MultiAZ VPC IOPS Read 自動
バージョンサポートサポート Replica バックアップ

5.5 1,000 ～10,000
5.1 IOPS
(Master昇格)

SE1/SE/EE 1,000 ～10,000
11.2 IOPS

Web/SE/EE
1,000 ～7,000
2008R2
IOPS
2012

39

DB Subnet Group

2 SubnetでもOKになった。1 Subnetだとダメ。
おすすめはPIOPSが使える2つのAZ。

40

PIOPS(Provisioned IOPS)利用可能AZ
の確認方法
PIOPSボリュームが作成できるか否かで判断
• AZ-A or AZ-B, and AZ-C
どうしても分からない場合は弊社営業までお問い合わせを！

作れないAZの
場合はエラーが
出て作成失敗

41

DB Security Groupの移行

VPC環境で利用していたRDSのDB Security
GroupがVPC Security Groupへ移行完了！
今後は以下の様に設定を実施する
• VPC環境
• VPCページの”Security Group”で設定
• Non-VPC環境
• RDSページの”DB Security Group”で設定
VPC左ペイン RDS左ペイン

42

ELB on VPC

ELB on VPCの機能
 パブリッククラウドのELBと機能面は同等
 ELBのトラフィックをサブネットをまたいで分散
 ELBセキュリティグループで、より細かくコントロー
ル可能
Internal ELB
• Public IPを持たないVPC内部で使用するためのELB
ELB on VPCの制約
• IPv6サポートは現状なし
• /27 CIDRブロック以上のIPアドレスが必要

43

今日のAgenda

VPCとは？
VPCの構成要素
Q&A

44

AWS Direct Connectとは
AWS Direct Connect：AWSとデータセンター、オフィス、
コロケーション環境間にプライベート接続を確立するサービス
特徴:
• ネットワークのコスト削減
• 帯域幅のスループット向上
• インターネットベースの接続よりも一貫性がある

AWS Cloud
EC2, S3などの
通信会社様の Public サービス
専用線
エクイニクス
相互接続ポイント

Amazon VPC
お客様

45

AWS Direct Connect 詳細内容
AWS Direct Connectは、1Gbpsおよび10Gbpsの接続を提供
リージョン毎に契約が必要
多くの容量が必要な場合、複数の接続のプロビジョニングが可能
• 専用線サービスは、お客様が下記の2つの選択肢から選択
1. お客様自身がエクイニクス相互接続ポイントに専用線を直
接つなぐ
2. 複数の通信事業者の専用線接続サービスを利用
日本でのサービス状況
 ソフトバンクテレコム  KVH
 NRI (野村総合研究所)  TOKAI
 NTTコミュニケーションズ

46

Direct Connect 課金体系
月額利用料は下記の計算で課金されます

AWS Direct Connectの月額利用料＝

① 回線使用料

＋
② データ転送料

47

AWS Direct Connect 料金
（回線利用料＋データ転送料）
① 回線利用料（本数分）
ロケーション 1 Gbps ポート 10 Gbps ポート

CoreSite One Wilshire, Los Angeles, CA $0.30/時間 $2.25/時間

Equinix DC1 – DC6, Ashburn, VA $0.30/時間 $2.25/時間
Equinix SV1 & SV5, San Jose, CA $0.30/時間 $2.25/時間
Equinix SG2、シンガポール $0.30/時間 $2.25/時間
Equinix TY2、東京 $0.30/時間 $2.25/時間
TelecityGroup Docklands、ロンドン $0.30/時間 $2.25/時間

48

AWS Direct Connect 料金
（回線利用料＋データ転送料）
② データ転送料 (割引されたデータ転送料金を適用)
データ転送送信（アウ
ロケーションデータ転送受信（イン）
ト）
CoreSite, One Wilshire と米国西部（北カリフォ
無料 $0.030/GB
ルニア）リージョン間
バージニア州アッシュバーンの Equinix（エクイニ
無料 $0.020/GB
クス）と米国東部（バージニア北部）リージョン間
Equinix SV1 and SV5 と米国西部（北カリフォル
無料 $0.020/GB
ニア）リージョン間
Equinix, SG2 とアジアパシフィック（シンガポー
無料 $0.045/GB
ル）リージョン間
Equinix, TY2 とアジアパシフィック（東京）リー
無料 $0.045/GB
ジョン間
TelecityGroup, ロンドン Docklands' と欧州（ア
無料 $0.030/GB
イルランド）リージョン間

49

今日のAgenda

VPCとは？
VPCの構成要素
Q&A

50

AWS構成例（仮想グループクラウド）
貴社プライベートクラウド

本社
各種団体等

 グループクラウド網と専用線
サービス接続
 イントラネットの一部として
グループ
クラウド網 AWSの利用が可能
（仮想グループクラウド）
 ハイブリッドクラウドサービス
の一つ選択肢としてAWSを提
供

生産関連会社A 生産関連会社B 生産関連会社C

51

Cloud Hubで複数の拠点を結ぶ

52

VPC/VPN/DXの活用例（バックアップ）
既存データセンター
隔地保管複数世代管理
統合バックアップ

Xxシステム
Direct Connect（専用線）･･･
Amazon Simple Storage
Service (S3)
直接バックアップ

S3：データ耐久性99.999999999%
AWS Storage Gateway：透過的にS3にバックアップを行う

利用例
テープ隔地保管の代替として
バックアップシステムを直接S3へ


VPC/VPN/DXの活用例（開発管理環境）

本番環境
開発環境

Direct Connect（専用線）

Amazon Elastic Compute
Cloud (EC2)

本番環境はこれまで同様既存DCにて構築
開発、維持管理環境はAWS構築
専用線接続、またはVPN接続
• 旧来の環境とシームレスに接続可能
利用例
本番開発環境差異：ハードウェアに依存しないシステム開発

54

VPC/VPN/DXの活用例（連動性）
監視
OVO

Xxシステム

Cloud (EC2)
データ連動

UID AD 認証

既存システムとの連動
利用例
監視、認証
データ連動、受け渡し

55

VPC/VPN/DXの活用例(ハイブリッド)
スケールアップ/ア
ウト、休止自在

CPU処理

･･･

Oracle Database Servers Cloud (EC2)

データベースは既存データセンター内で構築
CPUパワー不足時、またはCPU処理のみAWS EC2, HPC, EMRを利用
（使用時のみ課金）

利用例
データベースは外に出したくない業務
バッチジョブ、HPC、季節連動性の業務

56

オンプレミスとのハイブリッド環境
DATAPIPE社のサービス例
• Oracle DBをオンプレミスのデータセンタに設置
• 変化するリソースはAWS上

57

VPC/VPN/DXの活用例（DR環境）

本番環境
DR環境


Cloud (EC2)

本番環境は既存DCにて構築
DR環境はAWS内で構築

利用例
これからDR環境を整備するシステム
コスト面でDRを整備出来なかったシステム（F/S等）
通常は休止または必要最小規模で稼働

58

本日のまとめ

本日学んだVPCの各種機能を利用することで様々な
設定が可能となる為、AWS上にセキュリティの高い
ネットワーク環境を構築することが可能です！

固定のLocal IPや複数Elastic IPなど、Classic EC2
では出来なかった様々な機能を利用することで、
より柔軟な構成を構築できます！

VPN接続やDirect Connect(DX)を利用することで、
オンプレミス環境とのハイブリッドなど、
より自由なネットワーク設計が可能です！

59

Appendix

参考資料
• Amazon VPC Documents
http://aws.amazon.com/jp/documentation/vpc /

• Amazon VPC
http://aws.amazon.com/jp/vpc /

• Amazon VPC FAQ
http://aws.amazon.com/jp/vpc/faqs/

60

[AWSマイスターシリーズ] Amazon VPC

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (18)

Semelhante a [AWSマイスターシリーズ] Amazon VPC

Semelhante a [AWSマイスターシリーズ] Amazon VPC (20)

Mais de Amazon Web Services Japan

Mais de Amazon Web Services Japan (20)

[AWSマイスターシリーズ] Amazon VPC