VPC とオンプレミスのデータセンターは AWS Direct Connect で接続され、アプリケーションのサブネットのルートテーブルには、データセンター宛の経路がルート伝播で入っています。10.1.8.0/22 宛の通信だけを検査用アプライアンスに通し、それ以外は今のまま Direct Connect へ送る必要があります。 運用上のオーバーヘッドを最小限に抑えながら、これらの要件を満たすにはどうすればよいですか。
オンプレミスのデータセンター宛のうち特定の範囲だけをアプライアンス経由にし、残りは Direct Connect へ直接出す経路を設計する
アプリケーション側のルートテーブルに、10.1.8.0/22 をアプライアンスへ向ける静的ルートを追加する。
VPC のルートテーブルは、宛先のプレフィックスがより長い経路を優先し、宛先が同じなら静的ルートを伝播されたルートより優先します。アプリケーションのサブネットに 10.1.8.0/22 の静的ルートを足すと、10.1.8.0/22 宛だけがこの経路に一致してアプライアンスへ向かい、それ以外は伝播された経路のまま Direct Connect へ出ます。
変更は静的ルート 1 本だけで、伝播された経路には手を入れません。
10.1.8.0/22 を仮想プライベートゲートウェイへ向ける静的ルートを、アプライアンス側のルートテーブルに追加する。
アプライアンスのサブネットのルートテーブルは、検査を終えた通信をどこへ送り出すかを決める場所で、10.1.8.0/22 を仮想プライベートゲートウェイへ向ける静的ルート自体は追加できます。
ただし、通信をどのターゲットへ送るかを決めるのは、送信元のサブネットに関連付いたルートテーブルです。アプリケーションのサブネットの経路は伝播されたままで、10.1.8.0/22 宛の通信は検査を経ずにオンプレミスのデータセンターへ届きます。
アプリケーション側のルートテーブルで、デフォルトルートのターゲットをアプライアンスに変更する。
デフォルトルートは、ほかのどの経路にも一致しない宛先を受け止める経路です。ターゲットをアプライアンスにすれば、VPC の外へ出る通信のうち、ほかの経路に一致しないものをまとめて検査に回せます。
しかしルートテーブルは宛先のプレフィックスがより長い経路を優先するため、10.1.8.0/22 宛の通信は /0 より長い伝播された経路に一致し、アプライアンスを通らずに Direct Connect へ直接出ます。検査したい通信が振り分けの対象に入らないため誤りです。
ルート伝播を無効にし、10.1.8.0/22 宛とそれ以外のオンプレミスのデータセンター宛を、それぞれ静的ルートで設定する。
伝播を無効にして静的ルートに置き換えると、10.1.8.0/22 宛はアプライアンスへ、それ以外のオンプレミスのデータセンター宛は仮想プライベートゲートウェイへ向かい、通信は要件どおりに流れます。
ただしルートテーブルは宛先のプレフィックスがより長い経路を優先し、宛先が同じなら静的ルートを優先するため、伝播された経路を残したままでも 10.1.8.0/22 宛は静的ルートに一致します。伝播を止める必要はなく、止めるとデータセンター側の経路が変わるたびに静的ルートを手で直す作業が生じるため、運用上のオーバーヘッドで劣ります。
オンプレミス宛の通信のうち一部だけを別の経路へ振り分ける問題は、次の 3 点で判断します。
・最長プレフィックス一致 — ルートテーブルは宛先の範囲が狭い経路を優先します。オンプレミスのデータセンター全体を含む伝播されたルートと 10.1.8.0/22 の静的ルートが並べば、10.1.8.0/22 宛は後者に一致します。デフォルトルート 0.0.0.0/0 が使われるのは、ほかのどの経路にも一致しない宛先だけです。
・経路を置く場所 — ルートテーブルが振り分けるのは、関連付けられたサブネットから出る通信です。アプライアンス側のルートテーブルに経路を足しても、アプリケーションからの通信が送られるターゲットは変わりません。
・静的ルートの役割 — 仮想プライベートゲートウェイ (VPC にアタッチして Direct Connect の接続を受けるゲートウェイ) から伝播されたルートのターゲットは仮想プライベートゲートウェイで、アプライアンスには向けられません。広い範囲は伝播に任せ、アプライアンスへ向ける狭い範囲だけを静的ルートで重ねます。伝播を止めて静的ルートに置き換える必要はありません。
「一部だけ検査したい」「運用上のオーバーヘッドを最小限に」と並んだら、伝播を残したまま送信側へ狭い静的ルートを 1 本足す構成を選びます。