集中Egressと検査VPCの設計 Transit Gateway・Network Firewall・NAT Gatewayで出口を一本化する

ANS-C01では、多数のVPCからインターネットへ向かう通信を1か所に集約して検査・制御する「集中Egress」の設計が繰り返し問われます。ルートテーブルの向き、対称ルーティング、コストの3点を押さえると、複雑に見える構成図も要件から組み立てられるようになります。

覚え方は「向き・対称・分離」の3つの観点

集中Egressは、向き＝スポークのデフォルトルートを検査VPCへ向け、検査VPCから戻り経路を確保する、対称＝往路と復路が同じファイアウォールを通るようにする、分離＝スポーク同士の直接通信を禁止する、の3点で整理します。

Transit Gatewayのルートテーブルを2枚に分ける

基本形は「スポーク用」と「検査VPC用」の2つのTransit Gatewayルートテーブルです。スポーク用にはデフォルトルート(すべての宛先)を検査VPCアタッチメントへ向ける1本だけを置き、スポーク同士の経路を伝播させないことで直接通信を禁止します。検査VPC用には各スポークのCIDRを伝播させ、戻りの経路を作ります。「スポーク間の通信も検査したい」という要件なら、スポーク用ルートテーブルに他スポークのCIDRも検査VPC向けに設定して、東西トラフィックも検査VPC経由にします。

検査VPCの中身：Network FirewallとNAT Gateway

検査VPCでは、Transit Gatewayアタッチメント用サブネット、ファイアウォールエンドポイント用サブネット、NAT Gateway用パブリックサブネットをAZごとに用意します。AZごとのルートテーブルで「Transit Gatewayから来た通信はファイアウォールエンドポイントへ」「ファイアウォールを通った通信はNAT Gatewayへ」「NAT Gatewayからの戻りはファイアウォールへ」と順に向けます。アプライアンスモードをTransit Gatewayの検査VPCアタッチメントで有効にすると、フローの往路と復路が同じAZのENIを通るため、ステートフル検査の対称性が保たれます。これを忘れると復路が別AZに流れて通信が途切れる、というのが典型的なトラブルです。

コストとスケールの論点

集中Egressはスポークごとの出口が不要になる一方、Transit Gatewayのデータ処理料金とNAT Gatewayの処理料金が二重にかかります。S3やDynamoDBなどへの大量通信はゲートウェイ型VPCエンドポイントで検査VPCを迂回させることで、コストと帯域の両方を改善できるのが定番の最適化です。Network FirewallはAZごとにエンドポイントを置き、マルチAZ構成で可用性を確保します。

チェックリスト

• ARRAY(0xa002a3310)

まとめ

集中Egressは「向き・対称・分離」の3観点で設計し、対称ルーティングにはアプライアンスモード、コストにはゲートウェイ型エンドポイントの迂回と覚えておきましょう。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。