AWS ANS に向けての勉強　2. VPC

### 参考
- https://www2.slideshare.net/AmazonWebServicesJapan/20201021-aws-black-belt-online-seminar-amazon-vpc
- https://aws.amazon.com/jp/vpc/

### 注意
基本的なところは割愛

# 概要
- AWS上にプライベートネットワーク空間を構築
- 論理的なネットワーク分離が可能
- ネットワーク環境のコントロールが可能
- 複数のコネクティビティオプションが選択可能

![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-22-638.jpg?cb=1603431658)

# コンポーネント
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-15-638.jpg?cb=1603431658)

# VPCの構築
## サブネットで利用できないIPアドレス(/24の例)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-36-638.jpg?cb=1603431658)

## 仮想ルータとルートテーブルの関係
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-41-638.jpg?cb=1603431658)

## パブリックサブネットとプライベートサブネット
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-42-638.jpg?cb=1603431658)

## セキュリティグループとNACL
### セキュリティグループ＝ステートフルFirewall
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-44-638.jpg?cb=1603431658)

### Network ACLs＝ステートレスFirewall
- ステートレスなので戻りの一時ポート（1024～65535など）をoutboundに設定しなければならない
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-45-638.jpg?cb=1603431658)

### セキュリティコントロール
https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-46-638.jpg?cb=1603431658

### ネットワークACLとセキュリティグループ
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-47-638.jpg?cb=1603431658)

## カスタマーマネージドプレフィックスリスト
- CIDRのプレフィックス管理
- SG、サブネット、Transit Gatewayのルーティングテーブル で利用可能
- RAMで他アカウントから参照可能
- バージョン管理も可能
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-49-638.jpg?cb=1603431658)

## Ingress Routing
- VPCに出入りする全トラフィックを特定のEC2を通過させられる＝IDS/IPS、Firewallによる監視・通信制御
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-51-638.jpg?cb=1603431658)

## サブネット内のDHCP
- プライベートIPを固定した場合は、DHCP経由で街頭のIPが割り当てられる
    - EC2インスタンスのOS上のNIC設定はDHCP)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-54-638.jpg?cb=1603431658)

## Route53 resolver(Amazon Provided DNS)
- VPC内のEC2からのみ参照可能
    - VPNや専用線経由で参照する場合、Route53 Resolver for Hybridsで解決
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-55-638.jpg?cb=1603431658)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-56-638.jpg?cb=1603431658)

## DNS機能の有効かとホストへのDNS名割り当て
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-57-638.jpg?cb=1603431658)

## Amazon Time Sync Service
- `169.254.169.123`をNTPサーバに設定
    - リンクローカルアドレスなのでインターネットへのアクセスは不要
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-58-638.jpg?cb=1603431658)

## IPv6への対応
- プライベートにするにはEngress-Only Internet Gatewayを利用
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-59-638.jpg?cb=1603431658)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-60-638.jpg?cb=1603431658)

## オンプレミスとのハイブリット構成
### Site-to-Site VPN構成
- ルーティングは静的と動的
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-63-638.jpg?cb=1603431658)

### ClientVPN構成
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-64-638.jpg?cb=1603431658)

### Direct Connect構成
- ルーティングはBGPのみ
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-65-638.jpg?cb=1603431658)

### VPCからオンプレミスへのルート設定
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-66-638.jpg?cb=1603431658)

### インターネットVPN vs 専用線
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-69-638.jpg?cb=1603431658)

### Transit GAteway
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-71-638.jpg?cb=1603431658)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-72-638.jpg?cb=1603431658)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-73-638.jpg?cb=1603431658)

# VPCの設計
## ポイント
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-75-638.jpg?cb=1603431658)

## AWSクラウドとVPC
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-76-638.jpg?cb=1603431658)

## VPC Endpoint 
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-77-638.jpg?cb=1603431658)

### Gateway型
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-78-638.jpg?cb=1603431658)

### Private Link型
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-79-638.jpg?cb=1603431658)

### Gateway型 Private Link型 比較
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-80-638.jpg?cb=1603431658)

### Private Linkはオンプレミスにネイティブ対応
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-82-638.jpg?cb=1603431658)

## NATゲートウェイ
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-83-638.jpg?cb=1603431658)

## VPCの接続バリエーション
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-84-638.jpg?cb=1603431658)

## Transit Gateway と PrivateLink はスケーラブル
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-85-638.jpg?cb=1603431658)

# VPCの運用
## VPC Flow Log 
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-94-638.jpg?cb=1603431658)

## VPC Traffic Mirroring 
- ユースケース
    - 脅威検出
    - コンテンツモニタリング
    - 問題判別
- VPC Flow Logには含まれないパケットの内容の取得が可能
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-95-638.jpg?cb=1603431658)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/85/20201021-aws-black-belt-online-seminar-amazon-vpc-64-320.jpg?cb=1603431658)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-97-638.jpg?cb=1603431658)

## GuardDuty 
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-98-638.jpg?cb=1603431658)
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-99-638.jpg?cb=1603431658)

# 制限
![](https://image.slidesharecdn.com/20201021aws-blackbelt-vpc-201023054022/95/20201021-aws-black-belt-online-seminar-amazon-vpc-101-638.jpg?cb=1603431658)

- AWS リージョンごとに、AWS アカウントあたりデフォルト以外の Amazon VPC を最大 5 つ利用できます
- Amazon VPC ごとに、最大 4 つのセカンダリ IP アドレス範囲を追加できます
- Amazon VPC ごとに 200 までのサブネットを作成できます
- AWS リージョンごとに、AWS アカウントあたり Amazon VPC Elastic IP アドレスを最大 5 つ利用できます

# その他
## [VPC Reachability Analyzer](https://aws.amazon.com/jp/blogs/news/new-vpc-insights-analyzes-reachability-and-visibility-in-vpcs/)
- VPC 内の 2 つのエンドポイント間、または複数の VPC 間で、通信の到達性に関する問題を分析
- VPC マネジメントコンソールの左側のナビゲーションから利用
![](https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2020/11/09/4.png)
![](https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2020/11/16/success.png)

## [SIEM on Amazon ES](https://aws.amazon.com/jp/blogs/news/siem-on-amazon-elasticsearch-service/)
- SIEM は Security Information and Event Management の略で、セキュリティ機器、ネットワーク機器、その他のあらゆる機器のデータを収集及び一元管理をして、相関分析によって脅威検出とインシデントレスポンスをサポートするためのソリューション
- ユースケース
    - Amazon GuardDuty を利用して、悪意のあるアクティビティや不正な動作を継続的にモニタリングしているが、検出した脅威について、原因分析のためにイベント発生元サービスのログを調べることが負担になっている
    - 複数のログからインシデントに関連する一連のログだけを抽出して相関分析をしたい
    - AWS CloudTrail を利用して、ユーザーアクティビティと API 使用状況の追跡のためにログを保存しているが、可視化をしてより深く状況を把握したい
- 対応している AWS サービスは、AWS CloudTrail、Amazon Virtual Private Cloud (Amazon VPC) Flow Logs、Amazon GuardDuty、AWS WAF、Elastic Load Balancing、Amazon CloudFront、Amazon Simple Storage Service (Amazon S3)、Amazon Route 53 Resolver
![](https://d2908q01vomqb2.cloudfront.net/b3f0c7f6bb763af1be91d9e74eabfeb199dc1f1f/2020/10/26/dashboard-sample.jpeg)