既存の AWS セットアップをロックダウンすることを検討しています。現時点では、すべてが単一のデフォルト VPC (テスト、ステージング、本番) 内にあり、すべてがパブリックサブネット内にあります。
私の計画は、パブリックサブネットとプライベートサブネットを利用して、3 つの環境を 3 つの異なる VPC に分離することです。
また、現在サーバーにはパブリック IP があり、誰でもアクセスできるため、サーバーへのアクセスを制限したいと考えています。理想的には IP のホワイトリストを作成したいのですが、これはリモート チームであり、メンバーはさまざまな場所で作業しているため、動的な IP に対処する必要があります。
私の計画は、OpenVPN インスタンスを使用して、それを介して人々を接続させることです。私の非常に限られた理解 (ソフトウェア エンジニアのバックグラウンド、非常に限られたネットワーク経験) からすると、これは機能するはずです。
私の質問は3 つの VPC があり、VPN インスタンスはそのうちの 1 つに存在する必要があります。VPN 経由で他の 2 つの VPC にアクセスできるようにするには、どうすればよいでしょうか。これが最適なアプローチ (直接アクセス) でしょうか、それとも VPC ごとに VPN 接続を用意する必要がありますか。後者はやりすぎのように思えますが、よくわかりません。
ありがとう。
編集：または、別のオプションとしては、単一の VPC を用意し、サブネットを使用してテスト、ステージング、本番環境を分離する方法があります。理想的ではありませんが、これを実行している人が数人いると読みました。
答え1
最善の選択肢は、AWS の VPC セットアップにすでに含まれている VPN を実際に利用することです。すでにセットアップ済みの状況から言えば、やろうとしていることです。オフィスやデータ センターなどの中央の場所へのユーザー接続がオプションであると仮定します。そうでない場合は、以下のセットアップの拡張バージョンが機能し、ユーザーが接続するための別の VPN インスタンスを追加します。
VPC 同士が通信する必要がある場合は、複数の VPN インスタンス (少なくとも VPC ごとに 1 つ、冗長性のためには複数が望ましい) を設定する必要がありますが、そのためにはフェイルオーバーを制御し、AWS のルーティング テーブルを新しいパスで更新するための別のインスタンスが必要になります。
オプション1：
AWS でユーザーが接続するための中央 VPN サーバー。このサーバー上にトンネルが作成され、トラフィックが他の VPC にルーティングされます。VPN トンネルを作成するには、別の VPC に他のインスタンスが必要になります。
オプション2:
AWS でユーザーが接続するための中央 VPN サーバー。他の VPC に接続するためのトンネルが設定された VPC ごとに 1 つ以上の他の VPN インスタンス。
オプション3:
ユーザー VPN が設定されている中央オフィスまたはデータセンターへの AWS VPN 機能。VPC 間の接続用にトンネルが設定された AWS 内の 1 つ以上の VPN インスタンス。
残念ながら、Amazon には VPC 間の VPN の設定がないため、トンネルを提案する場合は、もちろん、少なくともトンネル設定ごとにインスタンスのセットが必要になります。
答え2
実際、答えは次のAWSドキュメントに記載されていると思います。CIDR ブロック全体へのルートの設定
この設定に従うと、単一のVPNインスタンスを実行することができました。
アクセスしたいボックスが存在するピアリングされた VPC のサブネットと同様に、VPN ボックスがあるサブネットに関連付けられたルート テーブルにピアリング接続のルーティングを追加します。
ssh私は問題なくそれらの箱に入ることができた
答え3
すべてのリソース (EC2 インスタンスと ElasticSearch などのその他のサービス) が同じリージョンにある限り、トランジット ゲートウェイを使用してこれを行うことができます。3 つの VPC を作成し (別々のアカウントで作成し、ロールを介して結合することもできます)、1 つのトランジット ゲートウェイを作成します。個別のトランジット ゲートウェイ アタッチメントを使用して 3 つの VPC を TG に接続し、各 TGA にルート テーブルを接続します。VPN (すべてのユーザーが接続する、またはすでに背後にある単一のルーター デバイスのカスタマー ゲートウェイ、または一連のクライアント VPN エンドポイントのいずれか) を作成し、トランジット ゲートウェイ アタッチメントを使用してその VPN も TG に接続します。次に、すべてのルートが TG ルーティング テーブル エントリにあることを確認し、ファイアウォール ルールのセキュリティ グループを設定します。
注意: 複数のリージョン (us-east1 と us-west1 など) にリソースがある場合、これは機能しないようです。実際に、これが可能かどうか確認するために、ここで質問があります。ピアリングで機能するはずですが、機能しないようです。