[AWSマイスターシリーズ] Amazon Virtual Private Cloud (VPC)

© 2012 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified or distributed in whole or in part without the express consent of Amazon.com, Inc.

AWSマイスターシリーズ

Amazon VPC(Virtual Private Cloud)

2013.08.28

アマゾンデータサービスジャパン株式会社

エコシステムソリューションアーキテクト

松本大樹


2

今日のAgenda

VPCとは？

Default VPCについて

VPCの構成要素

VPC価格および注意事項

Amazon Direct Connect(DX)とは？

VPC/VPN/Direct Connectの活用例

Q&A


3

今日のAgenda

VPCとは？


VPCの構成要素




Q&A


4

AWSの様々なサービス

4

お客様のアプリケーション

認証 AWS IAM

モニタリング Amazon

CloudWatch

Web管理画面 Management

Console

デプロイと自動化 AWS Elastic Beanstalk

AWS CloudFromation

IDEプラグイン Eclipse

Visual Studio

ライブラリ & SDKs Java, PHP, .NET,

Python, Ruby

Development &

Administration

コンテンツ配信 Amazon CloudFront

メッセージ Amazon SNS Amazon SQS

分散処理 Elastic MapReduce

メール配信 Amazon SES

キャッシング Amazon Elasticache

ワークフロー管理 Amazon SWF

Application

Service

コンピュータ処理 Amazon EC2

Auto Scale

ストレージ Amazon S3

Amazon EBS AWS StorageGateway

データベース Amazon RDS

Amazon DynamoDB Amazon SimpleDB

AWS グローバルインフラ Geographical Regions, Availability Zones, Points of Presence AZ Region

ネットワーク & ルーティング Amazon VPC / Amazon Elastic Load Balancer / Amazon Route 53 /AWS Direct Connect

Infrastructure

Service


5

なぜVPCが必要か？

ネットワークのセキュリティを高める為に、色々と設定したい！

クラウド環境においても既存の環境のネットワークルールを適用したい！

きめ細かいアクセス制御をしたい！

Local IP Addressを固定にしたい！

1つのEC2で複数IPアドレスや複数ネットワークインターフェースを使いたい！

別のセキュリティグループに変更したい！

・・・・・などなど！


6

VPCを使えば実現可能です！

VPC CIDR / Subnet

Route Table

Internet Gateway(IGW)

VPC Security Group(and DB Security Group)

Network Access Control List (NACL)

NAT

EC2 Dedicated Instance

Elastic Network Interface

Virtual Private Network (VPN)


7

Amazon VPC

AWS上にプライベートネットワーク空間を構築

• 社内からVPN接続して閉域網でAWS利用

• 仮想ネットワーキング

オンプレミスとのハイブリッドが簡単に実現

• AWSが社内インフラの一部に見える

社内システム、ソフトウェアの移行がより容易に

例：業務システム、バッチ処理、ファイルサーバ

より細やかにネットワーク関連の設定が可能

全リージョンで利用可能


8

AWS上にプライベートのアドレス空間を作成し、お客様のインフラをAWS上に延長する

リージョン

EC2

VPC イントラ

プライベートサブネット

パブリックサブネット

Internet

VPC内に分離したサブネットを

自由に作成 VPN接続専用線

ゲートウェイ

VPN

DX


9

VPCを利用した3層Webシステム構成例

VPC 10.0.0.0/16

Availability Zone - B

Availability Zone - A

Internet

Anyone

Internet

Gateway

Public Subnet 10.0.0.0/24

Public Subnet 10.0.2.0/24

Private Subnet 10.0.1.0/24

Private Subnet 10.0.3.0/24

Amazon RDS

Amazon RDS

Web

10.0.0.7

EC2 Instance

EC2 Instance

Web

10.0.2.7

Corporate

data center

DB

DB

インターネットからもアクセス可能

DC/社内からのみアクセス可能

VPN接続

DX専用線


10

今日のAgenda

VPCとは？


VPCの構成要素




Q&A


11

Default VPCとは？

2013年5月上旬に東京リージョン含め、ローンチされたアップデート。

全ての環境でVPCの機能を利用可能に。

既存ユーザ

• ローンチ前に作成されたAWSユーザに関しては、利用していないRegionのみにDefault VPCが適用されている

新規ユーザ

• ローンチ後に作成されたAWSユーザに関してはDefault VPCが適用されている。


12

自分はdefault VPC ユーザなのか？

EC2ダッシュボードの右上”Account Attributes”で確認可能

Non-Default VPC

Default VPC


13

Classic EC2/Default VPC/VPC の違い

− Elastic IP

− Public DNS

− Private DNS

Classic EC2

EC2

− Elastic IP

− Public IP

− Private IP

Default VPC

EC2

Default Subnet

− Elastic IP

− Private IP

通常のVPC

EC2

Subnet


14

Default VPCの新しい機能/概念

Default VPC • VPCを指定せずにインスタンスを起動した際に利用される

VPC

• AWSアカウント作成時に自動的に生成されるVPC

Default Subnet • Default VPC内の各AZ毎に自動作成されるSubnet

• 動的割当されるPublic IPアドレスが利用できる唯一のSubnet

Public IP • VPC内でランダムに割り当てられるグローバルIPアドレス。

• 割り当てないことも可能。


15

Default VPCでのIPの挙動

Elastic IP

• 明示的にIPを割り当てる

• Stop/Startしてもアサインされたまま

Public IP

• ランダムに割り当てられるPublic IP

• Stop/Startすると別のIPが割当てられる

• 割当ての有無を変更することも可能。

Private IP

• 必ず割り当てられるIPアドレス。

• EC2作成時にIPを指定可能

• Stop/StartしてもIPは変わらず固定

− Elastic IP

− Public IP

− Private IP

Default VPC

EC2

Default Subnet


16

Default VPC / Subnetでの起動

リソースの起動時にDefault VPC/Subnetを指定可能

Default VPCのSubnet

には ” * ” が付いている


17

違いが全くないわけではないので注意

AWSアカウントを越えたPrivate IPアドレスでの通信は出来ない

• Global IPアドレス(Elastic IP or Public IP)を利用する必要有り

• 同一アカウント内の異なるVPC間も同様

アカウントを越えたセキュリティグループの参照はサポートされない


18

VPC作成時にテンプレートを利用可能

一般的な構成テンプレートを準備

VPC作成後も構成は変更可能

パブリックサブネット

パブリック+プライベートサブネット

パブリック+プライベート＋ＶＰＮ

プライベート＋ＶＰＮ


19

今日のAgenda

VPCとは？


VPCの構成要素




Q&A


20

VPCで操作できる構成要素

VPC CIDR / Subnet

Route Table


VPC Security Group(and DB Security Group)


NAT





21

VPC CIDRとSubnetについて

Subnet: 10.0.1.0/24

VPC 10.0.0.0/16

Web Server

Web Server

Subnet: 10.0.2.0/24

CIDR IP Address数

xxx.xxx.xxx.xxx/16 65,534

xxx.xxx.xxx.xxx/20 4,094

xxx.xxx.xxx.xxx/24 254

xxx.xxx.xxx.xxx/28 14

作成後は、VPCのサイズやアドレスブロックは変更できないので注意！！


22

Route Tableについて

各SubnetはRoute Tableを持っている。設定を変更することでデータの流れを制御可能。

Public SubnetのRoute Table

Private SubnetのRoute Table

IGW(Internet Gateway)への

ルーティングがあるので、インターネットへのアクセスが可能


23

Route TableとInternet Gateway

Public Subnet

VPC 10.0.0.0/16

Web Server

Private Subnet

Web Server

Destination Target

10.0.0.0/16 Local

0.0.0.0/0 igw-xxxxx

Destination Target

10.0.0.0/16 Local

IGWにRoutingされて

いないのでインターネットと通信できない。

Internet Gateway

Internet

OK

OK

NG


24

NATについて

Private Subnetから外部のインターネットにアクセスがしたい！

パッチやソフトウェアなどのダウンロード

S3, Route53, DynamoDB, SES, SQSなどのVPC外のAWSサービスにアクセス

NAT Instanceを使うことで、Global IP(Elastic IP)を設定せずに外部へのアクセスが可能

AWSからNAT用のEC2 AMIを提供


25

NATについて

Public Subnet

VPC 10.0.0.0/16

Web Server

Private Subnet

Web Server

Destination Target

10.0.0.0/16 Local

0.0.0.0/0 igw-xxxxx

Destination Target

10.0.0.0/16 Local

0.0.0.0/0 NAT

IGWにRoutingされてい

ないので直接インターネットと通信できない。

Internet Gateway

Internet

NAT

OK NG


26

VPC Security Groupと NACL(Network Access Control List)

InstanceレベルでIn/Outのアクセス制御

SubnetレベルでIn/Outのアクセス制御


27

VPC Security Group

Security Group

EC2 Instance Port 22

(SSH)

Port 80

(HTTP)

VPC環境ではインターネットからのトラフィック(Inbound)をブロックするだけでなく、EC2からのトラフィック(Outbound)を制限する事も可能です。


28

NACL(Network Access Control)

個々のSubnetごとにアクセス制御が可能

Inbound, Outboundに対して下記の設定が可能

Inbound

Port range(ポート番号)

Source(アクセス元IPアドレス)

Allow/Deny

Outbound

Port range(ポート番号)

Destination(アクセス先IPアドレス)

Allow/Deny


29


顧客A

物理サーバー

通常のEC2

顧客B 顧客C

顧客A

物理サーバー

顧客B 顧客C

Dedicated Instance

VPC内で専用インスタンスシングルテナント保証

規制に対応しなければいけないお客様のご要望に応えるサービスクラウドのメリット確保

従量課金柔軟にスケールアップ瞬時に調達


30

Elastic Network Interfaces

VPC上で実現する仮想ネットワークインタフェースを複数持てる機能

以下をENIに紐づけて維持可能

Private IP

Elastic IP

MACアドレス

セキュリティグループ

インスタンスによって割り当て可能な数が異なる。


Elastic Network Interfaces インスタンスタイプによる設定数の制限

http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instance-types.html#AvailableIpPerENI


32

VPN (Virtual Private Network)

オンプレミスの環境もしくはオフィスとAWSのVPC環境を繋げる手段

BGPに対応していないVPN Routerも静的ルーティングすることで利用可能に！

IPsec VPNを利用するために必要な機能の抜粋

• トンネルモードで、IPsec セキュリティ接続を確立

• AES 128 bit の暗号化トンネル

• BGP (Border gateway protocol) ピア

参考URL <http://aws.amazon.com/jp/vpc/faqs/#C8>


33

VPN (Virtual Private Network)

VPN Connectionの設定

IGW

Corporate Data center

VPC Subnet VPN

Gateway

VPN Gatewayを作成してVPCに紐づける。

Customer

Gateway

Global IPやAS番号を指定してCustomer

Gatewayを作成。

VPN Connection

VPN Connectionを作成後、Configurationファイルをダウンロードし、VPN Router

の設定を実施する。

VPN Router


34

Public subnet + Private subnet + VPN GW

Virtual Private Cloud = 10.0.0.0/16

Public Subnet

Internet

Gateway

Private Subnet

NAT

Instance

Destination Target

10.0.0.0/16 local

0.0.0.0/0 Internt Gateway

VPN

Gateway

Corporate = 172.16.0.0/16

Destination Target

10.0.0.0/16 local

172.16.0.0/16 VPN Gateway

0.0.0.0/0 NAT Instance


35

[復習] VPCで操作できる構成要素

VPC CIDR / Subnet

Route Table


VPC Security Group


NAT





36

今日のAgenda

VPCとは？


VPCの構成要素

VPCの価格および注意事項



Q&A


37

DNS Settings

VPC内のDNS関連の設定が増えました。

Enable DNS resolution.

• 基本はtrueとする。

• FalseにするとVPCのDNS機能が無効となる。

Enable DNS hostname support for instances launched in this VPC.

• TrueにするとDNS名が割り当てられる。

• “Enable DNS resolution”をtrueにしないと有効にならない。


38

Public IPの割当て

EC2の起動時にPublic IPを割当てられます。

Elastic IPを利用しなくても、簡単にGlobal IPを利用できる機能です。

IPを固定したい場合はElastic IPを利用ください。


39

DHCP options sets

VPCのDHCP機能の設定変更が可能です。 domain-name

• ドメイン名の指定

domain-name-servers

• DNSサーバの指定

ntp-servers

• NTPサーバの指定

netbios-name-servers

• NetBIOSサーバの指定

netbios-node-type

• NetBIOSのノードタイプの指定

http://docs.aws.amazon.com/ja_jp/AmazonVPC/latest/UserGuide/VPC_DHCP_Options.html

http://docs.aws.amazon.com/ja_jp/AmazonVPC/latest/UserGuide/VPC_DHCP_Options.html


40

VPCの価格について

VPCの利用は無料！！

VPN Connectionを利用する場合は1時間で $0.05/VPN接続。 (1ヶ月で3500円程度)


41

VPC環境での通信コストについて (東京リージョン)

Availability Zone Availability Zone

Direct

Connect VPN Connection

S3,

Glacier,

Dynamo,

etc… In: $0.00

Out: $0.00

In: $0.01

Out: $0.01

In: $0.01

Out: $0.01 In: $0.00

Out: $0.00

Private IP Public IP

In: $0.00

Out: $0.09

Internet

In: $0.00

Out: $0.045

In: $0.00

Out: $0.201

In: $0.00

Out: $0.201

詳しくは下記URLをチェック！

http://aws.amazon.com/jp/ec2/pricing/

ELB

Cloudfront

Other

Region

ELB


42

VPC Limitsの確認

デフォルトの上限値が増加したものがいくつかあります。

必要に応じて弊社Webサイトから制限解除申請を実施ください。

• http://aws.amazon.com/jp/contact-us/vpc-request/

不明点は担当営業までお問い合わせください。

http://aws.amazon.com/jp/contact-us/vpc-request/








43

Amazon RDS

マネージドリレーショナルデータベース • 数クリックで、DBサーバ立ち上げ可能

• サーバのスケールアップ/ダウン、クラスター化、自動バックアップなどが容易に構成できるフルマネージドRDMSサービス

Product サポートバージョン

MultiAZ VPC サポート

IOPS サポート

Read Replica

自動バックアップ

5.5 5.1

1,000 ～30,000 IOPS

(Master昇格)

SE1/SE/EE 11.2

1,000 ～30,000 IOPS

Web/SE/EE 2008R2 2012

1,000 ～10,000 IOPS


44

DB Subnet Group

2 SubnetでもOKになった。1 Subnetだとダメ。

おすすめはPIOPSが使える2つのAZ。


45

PIOPS(Provisioned IOPS)利用可能AZの確認方法

PIOPSボリュームが作成できるか否かで判断

• AZ-A or AZ-B, and AZ-C

どうしても分からない場合は弊社営業までお問い合わせを！

作れないAZの

場合はエラーが出て作成失敗


46

RDS用 Security Groupの設定

VPC環境とNon-VPC環境で設定するページが異なるので注意。

• VPC環境のRDS SG

• VPCページの”Security Group”で設定

• Non-VPC環境のRDS SG

• RDSページの”DB Security Group”で設定 VPC左ペイン RDS左ペイン


47

VPC ELBについて

ELB on VPCの機能

ELBのトラフィックをサブネットをまたいで分散

ELBセキュリティグループで、より細かくコントロール可能

Internal ELB

• Public IPを持たないVPC内部で使用するためのELB

ELB on VPCの制約

• IPv6サポートは現状なし

• /27 CIDRブロック以上のIPアドレスが必要


48

今日のAgenda

VPCとは？


VPCの構成要素




Q&A


49

通信会社様の専用線

AWS Direct Connectとは

AWS Direct Connect：AWSとデータセンター、オフィス、コロケーション環境間にプライベート接続を確立するサービス

特徴:

• ネットワークのコスト削減

• 帯域幅のスループット向上

• インターネットベースの接続よりも一貫性がある

お客様

AWS Cloud EC2, S3などの Public サービス

Amazon VPC

エクイニクス相互接続ポイント


50

AWS Direct Connect 詳細内容

AWS Direct Connectは、1Gbpsおよび10Gbpsの接続を提供

リージョン毎に契約が必要

多くの容量が必要な場合、複数の接続のプロビジョニングが可能

• 専用線サービスは、お客様が下記の2つの選択肢から選択

1. お客様自身がエクイニクス相互接続ポイントに専用線を直接つなぐ

2. 複数の通信事業者の専用線接続サービスを利用

ソフトバンクテレコム

NRI (野村総合研究所)

NTTコミュニケーションズ

日本でのサービス状況

KVH

TOKAI


51

Direct Connect 課金体系

月額利用料は下記の計算で課金されます

AWS Direct Connectの月額利用料＝

① 回線使用料

＋

② データ転送料


52


AWS Direct Connect 料金（回線利用料＋データ転送料）

① 回線利用料（本数分）

ロケーション 1 Gbps ポート 10 Gbps ポート

CoreSite One Wilshire, Los Angeles, CA $0.30/時間 $2.25/時間

Equinix DC1 – DC6, Ashburn, VA $0.30/時間 $2.25/時間

Equinix SV1 & SV5, San Jose, CA $0.30/時間 $2.25/時間

Equinix SG2、シンガポール $0.30/時間 $2.25/時間

Equinix TY2、東京 $0.30/時間 $2.25/時間

TelecityGroup Docklands、ロンドン $0.30/時間 $2.25/時間


53


AWS Direct Connect 料金（回線利用料＋データ転送料）

② データ転送料 (割引されたデータ転送料金を適用)

ロケーションデータ転送受信（イン）データ転送送信（アウト）

CoreSite, One Wilshire と米国西部（北カリフォルニア）リージョン間

無料 $0.030/GB

バージニア州アッシュバーンの Equinix（エクイニクス）と米国東部（バージニア北部）リージョン間

無料 $0.020/GB

Equinix SV1 and SV5 と米国西部（北カリフォルニア）リージョン間

無料 $0.020/GB

Equinix, SG2 とアジアパシフィック（シンガポール）リージョン間

無料 $0.045/GB

Equinix, TY2 とアジアパシフィック（東京）リージョン間

無料 $0.045/GB

TelecityGroup, ロンドン Docklands' と欧州（アイルランド）リージョン間

無料 $0.030/GB


54

今日のAgenda

VPCとは？


VPCの構成要素




Q&A


55

AWS構成例（仮想グループクラウド）

グループクラウド網と専用線サービス接続

イントラネットの一部としてAWSの利用が可能

（仮想グループクラウド）ハイブリッドクラウドサービス

の一つ選択肢としてAWSを提供

本社

各種団体等

貴社プライベートクラウド

グループ

クラウド網

生産関連会社A 生産関連会社B 生産関連会社C


56

Cloud Hubで複数の拠点を結ぶ


既存データセンター

S3：データ耐久性99.999999999%

AWS Storage Gateway：透過的にS3にバックアップを行う

利用例

テープ隔地保管の代替として

バックアップシステムを直接S3へ

VPC/VPN/DXの活用例（バックアップ）

Direct Connect（専用線）


統合バックアップ

Amazon Simple Storage

Service (S3)

Xxシステム･･･

複数世代管理隔地保管

直接バックアップ


58

VPC/VPN/DXの活用例（DR環境）

本番環境は既存DCにて構築 DR環境はAWS内で構築

利用例

これからDR環境を整備するシステムコスト面でDRを整備出来なかったシステム（F/S等）通常は休止または必要最小規模で稼働


Amazon Elastic Compute Cloud (EC2)

DR環境本番環境




59

既存データセンター VPC/VPN/DXの活用例（開発管理環境）

本番環境はこれまで同様既存DCにて構築

開発、維持管理環境はAWS構築

専用線接続、またはVPN接続

• 旧来の環境とシームレスに接続可能

利用例

本番開発環境差異：ハードウェアに依存しないシステム開発


開発環境本番環境




60

VPC/VPN/DXの活用例(ハイブリッド)

データベースは既存データセンター内で構築 CPUパワー不足時、またはCPU処理のみAWS EC2, HPC, EMRを利用（使用時のみ課金）

利用例

データベースは外に出したくない業務バッチジョブ、HPC、季節連動性の業務





Oracle Database Servers

･･･

CPU処理

スケールアップ/アウト、休止自在


61

オンプレミスとのハイブリッド環境

DATAPIPE社のサービス例

• Oracle DBをオンプレミスのデータセンタに設置

• 変化するリソースはAWS上


62

ハイブリッド環境例

営業支援

会計

BI

文書管理

専用線

利用者

保守業者

管理者

AD

監視ソフト

DNS

Equinix 品川TY2

1 VPC

1 VPC

1 VPC

1 VPC

1 VPC

IGW

VGW

VGW

VGW

IGW

VGW

VGW

Router#1

Router#2

Router#1

Router#2

Router#1 Router#2

FW

SSO

NTP

既存環境

Oracle WIN

人事

WIN

WIN Oracle

BI DB

WIN Proxy


63

本日のまとめ

Default VPCのリリースにより今後VPCは標準サービスとなり、AWSを利用する上で必須の知識となります！ Security GroupやNACL, SubnetなどVPCの各種機能を利用し適切な設定をすることで、AWS上にセキュリティの高いネットワーク環境を構築することが可能です！ VPN接続やDirect Connect(DX)を利用することで、オンプレミス環境とのハイブリッドなど、自由なネットワーク設計が可能です！


64

Appendix

参考資料

• Amazon VPC Documents http://aws.amazon.com/jp/documentation/vpc/

• Amazon VPC http://aws.amazon.com/jp/vpc/

• Amazon VPC FAQ http://aws.amazon.com/jp/vpc/faqs/

http://aws.amazon.com/jp/documentation/vpc/

http://aws.amazon.com/jp/documentation/vpc/

http://aws.amazon.com/jp/vpc/



http://aws.amazon.com/jp/vpc/faqs/

http://aws.amazon.com/jp/vpc/faqs/

Business

[AWSマイスターシリーズ] Amazon Virtual Private Cloud (VPC)