AWSでVPC + 踏み台EC2 + NAT Gatewayの設定

2018-02-09

aws

VPCの勉強のため、よくある構成で設定を試しました。

構成 #

VPC #

test-vpc1(172.31.0.0/16)

Private Subnet #

test-subnet-private(172.31.0.0/24)

Public subnet #

test-subnet-public(172.31.1.0/24)

踏み台EC2 #

インスタンスタイプ: t2.micro

セキュリティグループ

タイプ	ポート	ソース or 送信先
インバウンド	22	ソース: 任意の場所
アウトバウンド	すべて	送信先: 任意の場所

EC2 #

インスタンスタイプ: t2.micro

セキュリティグループ

タイプ	ポート	ソース or 送信先
インバウンド	22	ソース: 踏み台EC2(172.31.1.92/32)
アウトバウンド	すべて	送信先: 任意の場所

NAT Gateway #

Public subnetに配置

設定手順 #

1. VPC作成 #

一から作ってみようと、デフォルトVPCを使用せず新規にVPCを作成。

設定内容

2. Subnet作成 #

Public subnet

Private Subnet

3. 各ルートテーブル作成 #

Private用ルートテーブル

Public用ルートテーブル

4. Subnetにアタッチ #

作成したルートテーブルをSubnetに関連付けます。

Public用ルートテーブルの例

Public、Privateともに設定した後の状態。

5. インターネットゲートウェイ設置 #

インターネットアクセスをするため、インターネットゲートウェイを作成します。

インターネットゲートウェイはVPCに関連付けなければいけません。

6.　NATゲートウェイ設置 #

続いてNATゲートウェイを作成します。

通信は、インターネットゲートウェイを通じてインターネットへ出ていきます。
そのため、SubnetとしてPublic subnet（インターネットゲートウェイへルーティング設定する）を指定します。

7. 各ルートテーブル設定追加 #

0.0.0.0/0あての通信が、インターネットゲートウェイ・NATゲートウェイにルーティングされるように、ルートテーブルにルールを追加します。

Private subnetにNATゲートウェイへのルーティング設定。

Public subnetも同様に設定を開き、インターネットゲートウェイを紐付けます。

これで、VPC設定はOK。

8. 踏み台EC2設置 #

続いてEC2の設定。

外部接続用の踏み台EC2を設置します。AWSのベストプラクティスでBastionと呼ばれるものです。

お試しなので無料のもの。

先ほど作成したVPCとPublic subnetを指定。
外部から接続できるようにパブリックIP割り当てを有効化。
また、あとでログを見たくなるかもしれないので、CloudWatch有効化。

ストレージはデフォルト。

踏み台はどこからでも接続できるように0.0.0.0/0からの接続を許可。

注意喚起は了承済み。次へ。

キーペアはお好みで。

完成。

9. Private EC2設置 #

Private Subnet内のEC2を作成。踏み台からしか接続できないEC2となります。
踏み台と同じように作成ウィザードを進めます。

変更する点は次の通り。

パブリックIPの割当は不要
セキュリティグループで踏み台EC2のIPのみ接続許可

セキュリティグループで踏み台EC2のプライベートIPを指定。

これで、各設定完了です。疎通確認します。

10. NAT経由の疎通確認 #

疎通を確認します。

経路: PC -> (SSH) -> 踏み台EC2 -> (SSH) -> Private EC2 -> (NAT Gateway) -> インターネット

# 踏み台EC2にSSH接続
ssh -i public-ec2.pem ec2-user@<踏み台EC2 Public IP>
Last login: Sat Jan 27 03:52:17 2018 from <Your IP>

       __|  __|_  )
       _|  (     /   Amazon Linux AMI
      ___|\___|___|

https://aws.amazon.com/amazon-linux-ami/2017.09-release-notes/
1 package(s) needed for security, out of 1 available
Run "sudo yum update" to apply all updates.

# ifconfig.coで自身のIP確認。
[ec2-user@--- ~]$ curl ifconfig.co
# <踏み台EC2 Public IP>が表示されればOK。

# 踏み台EC2からPrivate subnet内のEC2に接続。
[ec2-user@--- ~]$ ssh -i public-ec2.pem ec2-user@<Private EC2のPrivate IP>
Last login: Sat Jan 27 03:53:05 2018 from <踏み台EC2のPrivate IP>

       __|  __|_  )
       _|  (     /   Amazon Linux AMI
      ___|\___|___|

https://aws.amazon.com/amazon-linux-ami/2017.09-release-notes/
1 package(s) needed for security, out of 1 available
Run "sudo yum update" to apply all updates.

# IP確認
[ec2-user@--- ~]$ curl ifconfig.co

# <NAT GatewayのIP>が表示されればOK。
[ec2-user@--- ~]$ exit
logout
Connection to <Private EC2のPrivate IP> closed.

VPCの資料を読んでいる時、ルーターはどこに配置される？カスタムルートテーブルは何にアタッチする？など、あまりイメージが付きませんでしたが、実際に設定してみると理解が深まりました。

やっぱり一度手を動かしてみると違いますね。