Transit Gatewayを使用したVPC間の通信をTerraformで実装してみた
VPC間の通信をTerraformで実装していきます。
構成
以下のような構成を実装します。
VPC 作成
まずはVPCです。
今回はEC2にセッションマネージャーで接続してpingコマンドで疎通確認を行うため、InternetGatewayをVPC1に配置しています。
よりセキュアな構成にする場合は、ssmエンドポイントもしくはInstance Connectエンドポイントを使用して構築する必要があります。
# VPC1の作成
resource "aws_vpc" "vpc1" {
provider = aws.network1
cidr_block = "10.0.0.0/16"
tags = {
Name = "vpc-1"
}
}
# VPC2の作成
resource "aws_vpc" "vpc2" {
provider = aws.network1
cidr_block = "10.1.0.0/16"
tags = {
Name = "vpc-2"
}
}
# IGWの作成（SessionManagerで接続するため）
resource "aws_internet_gateway" "igw1" {
provider = aws.network1
vpc_id = aws_vpc.vpc1.id
tags = {
Name = "vpc1-igw"
}
}
# VPC1用のルートテーブルの作成
resource "aws_route_table" "vpc1-rtb" {
provider = aws.network1
vpc_id = aws_vpc.vpc1.id
route {
cidr_block = "0.0.0.0/0"
gateway_id = aws_internet_gateway.igw1.id
}
route {
cidr_block = "10.1.0.0/24"
transit_gateway_id = aws_ec2_transit_gateway.tgw.id
}
tags = {
Name = "vpc1-route-table"
}
}
# VPC2用のルートテーブルの作成
resource "aws_route_table" "vpc2-rtb" {
provider = aws.network1
vpc_id = aws_vpc.vpc2.id
# ローカルトラフィックは Transit Gateway へ
route {
cidr_block = "10.0.0.0/24"
transit_gateway_id = aws_ec2_transit_gateway.tgw.id
}
tags = {
Name = "vpc2-route-table"
}
}
# VPC1のサブネットの作成
resource "aws_subnet" "vpc1-subnet" {
provider = aws.network1
vpc_id = aws_vpc.vpc1.id
cidr_block = "10.0.0.0/24"
map_public_ip_on_launch = true
tags = {
Name = "vpc1-subnet"
}
}
# VPC2のサブネットの作成
resource "aws_subnet" "vpc2-subnet" {
provider = aws.network1
vpc_id = aws_vpc.vpc2.id
cidr_block = "10.1.0.0/24"
map_public_ip_on_launch = true
tags = {
Name = "vpc2-subnet"
}
}
# VPC1のサブネットとルートテーブルの関連付け
resource "aws_route_table_association" "rtb-association1" {
provider = aws.network1
subnet_id = aws_subnet.vpc1-subnet.id
route_table_id = aws_route_table.vpc1-rtb.id
}
# VPC2のサブネットとルートテーブルの関連付け
resource "aws_route_table_association" "rtb-association2" {
provider = aws.network1
subnet_id = aws_subnet.vpc2-subnet.id
route_table_id = aws_route_table.vpc2-rtb.id
}
Transit Gateway 作成
次はTransit Gatewayです。
デフォルトルート伝播・関連付けを使用すれば、ルートテーブル・関連付けの作成は必要ありませんが、今回は勉強のために手動で作成しています。
# Transit Gatewayの作成
resource "aws_ec2_transit_gateway" "tgw" {
provider = aws.network1
amazon_side_asn = 64512
default_route_table_association = "disable"
default_route_table_propagation = "disable"
tags = {
Name = "tgw"
}
}
# VPC1用のアタッチメント
resource "aws_ec2_transit_gateway_vpc_attachment" "tgw_attach1" {
provider = aws.network1
transit_gateway_id = aws_ec2_transit_gateway.tgw.id
vpc_id = aws_vpc.vpc1.id
subnet_ids = [aws_subnet.vpc1-subnet.id]
tags = {
Name = "vpc1-attachment"
}
}
# VPC2用のアタッチメント
resource "aws_ec2_transit_gateway_vpc_attachment" "tgw_attach2" {
provider = aws.network1
transit_gateway_id = aws_ec2_transit_gateway.tgw.id
vpc_id = aws_vpc.vpc2.id
subnet_ids = [aws_subnet.vpc2-subnet.id]
tags = {
Name = "vpc2-attachment"
}
}
# Transit Gatewayのルートテーブル作成
resource "aws_ec2_transit_gateway_route_table" "tgw_rt" {
provider = aws.network1
transit_gateway_id = aws_ec2_transit_gateway.tgw.id
tags = {
Name = "tgw-route-table"
}
}
# 10.1.0.0/16 (VPC2) を tgw_attach2 に向ける
resource "aws_ec2_transit_gateway_route" "route_to_vpc2" {
provider = aws.network1
destination_cidr_block = "10.1.0.0/16"
transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.tgw_rt.id
transit_gateway_attachment_id = aws_ec2_transit_gateway_vpc_attachment.tgw_attach2.id
}
# 10.0.0.0/16 (VPC1) を tgw_attach1 に向ける
resource "aws_ec2_transit_gateway_route" "route_to_vpc1" {
provider = aws.network1
destination_cidr_block = "10.0.0.0/16"
transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.tgw_rt.id
transit_gateway_attachment_id = aws_ec2_transit_gateway_vpc_attachment.tgw_attach1.id
}
# Transit GatewayのVPCアタッチメントとルートテーブルの関連付け
resource "aws_ec2_transit_gateway_route_table_association" "tgw_rt_assoc1" {
provider = aws.network1
transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.tgw_rt.id
transit_gateway_attachment_id = aws_ec2_transit_gateway_vpc_attachment.tgw_attach1.id
}
resource "aws_ec2_transit_gateway_route_table_association" "tgw_rt_assoc2" {
provider = aws.network1
transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.tgw_rt.id
transit_gateway_attachment_id = aws_ec2_transit_gateway_vpc_attachment.tgw_attach2.id
}
EC2 作成
最後にEC2です。
AMIはAmazon Linux 2023を指定しています。
ec2-vpc1にアタッチしているロールは予め作成しておいたロールで、AmazonSSMManagedInstanceCoreポリシーのみアタッチしています。
# VPC1 のセキュリティグループ
resource "aws_security_group" "ec2_sg1" {
provider = aws.network1
vpc_id = aws_vpc.vpc1.id
# ICMP
ingress {
from_port = -1
to_port = -1
protocol = "icmp"
cidr_blocks = ["10.1.0.0/24"]
}
# 全てのアウトバウンド通信を許可
egress {
from_port = 0
to_port = 0
protocol = "-1"
cidr_blocks = ["0.0.0.0/0"]
}
tags = {
Name = "ec2-security-group1"
}
}
# VPC2 のセキュリティグループ
resource "aws_security_group" "ec2_sg2" {
provider = aws.network1
vpc_id = aws_vpc.vpc2.id
# ICMP
ingress {
from_port = -1
to_port = -1
protocol = "icmp"
cidr_blocks = ["10.0.0.0/24"]
}
# 全てのアウトバウンド通信を許可
egress {
from_port = 0
to_port = 0
protocol = "-1"
cidr_blocks = ["0.0.0.0/0"]
}
tags = {
Name = "ec2-security-group2"
}
}
# VPC1のEC2インスタンス
resource "aws_instance" "ec2_vpc1" {
provider = aws.network1
ami = "ami-05b10e08d247fb927"
instance_type = "t2.micro"
subnet_id = aws_subnet.vpc1-subnet.id
vpc_security_group_ids = [aws_security_group.ec2_sg1.id]
associate_public_ip_address = true
iam_instance_profile = "ec2-role"
tags = {
Name = "EC2-VPC1"
}
}
# VPC2のEC2インスタンス
resource "aws_instance" "ec2_vpc2" {
provider = aws.network1
ami = "ami-05b10e08d247fb927"
instance_type = "t2.micro"
subnet_id = aws_subnet.vpc2-subnet.id
associate_public_ip_address = false
iam_instance_profile = "ec2-role"
tags = {
Name = "EC2-VPC2"
}
}
疎通確認
では、最後にEC2に接続して、疎通確認を行います。
ec2_vpc2のPrivateIPに対してpingコマンドを実行すると、疎通が取れていることが確認できます。
おまけ
vpc2への宛先をBlackholeに設定して疎通が取れなくなることを確認する。
再度ec2_vpc2に対してpingコマンドを実行すると、到達できなくなっていることが確認できました。
最後に
次回はInspection VPCを跨いだVPC間の通信を実装します。