Go to Qiita Advent Calendar 2024 Top
LoginSignup
0
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

More than 1 year has passed since last update.

@isobecky74(Tomohiko Isobe)

AWS認定高度なネットワーキング専門知識勉強メモ

Last updated at Posted at 2022-07-11

はじめに

AWS認定高度なネットワーキング-専門知識受験のために整理した勉強メモです。

受験当時の私の知識がベースになっているため、網羅的な内容になっていないことをはじめにお断りしておきます。

リージョン

リージョン間の通信は物理レベルで暗号化されている

AZ

VPC

  • CIDRブロック

    • /8-/28の範囲
    • RFC1918のプライベートIPアドレス範囲
      • 10.0.0.0/8 (10.0.0.0 - 10.255.255.255)
      • 172.16.0.0/12 (172.16.0.0 - 172.31.255.255)
      • 192.168.0.0/16 (192.168.0.0 - 192.168.255.255)
    • グローバルCIDRブロックも可能

  • セカンダリCIDRブロック

  • DHCPオプションセット

    • DNSサーバ
    • EC2インスタンスに付与されるカスタムドメイン名
    • NTPサーバ
    • NetBIOSサーバ
    • NetBIOSノードタイプ

  • Egress-Onlyインターネットゲートウェイ

    • IPv6アドレスでインターネットにアクセスできるが、インターネットからはアクセスできない
    • ステートフル（戻り通信可能）
    • NATゲートウェイのIPv6版みたいなもの

  • VPCエンドポイント

    • インタフェースとインタフェースは互いに通信できる
    • ゲートウェイとインタフェースは互いに通信できる
    • ゲートウェイとゲートウェイは通信できない

  • VPCフローログ

    • 対象はVPC, サブネット, ENI
    • S3とCloudWatch Logsに出力

  • Managed Prefix List

  • NATゲートウェイ

    • 同一の宛先に最大55000同時アクセス可能
    • 最大45Gbps
    • それ以上のパフォーマンスが必要な場合、NATゲートウェイを増設する

EC2

  • インスタンスメタデータ

  • プレイスメントグループ

    • クラスタプレイスメントグループ
      • グループ内のEC2インスタンス同士は物理的に密接して配置
      • グループ内のEC2インスタンスは全て同一AZにある必要
    • スプレッドプレイスメントグループ
      • グループ内のEC2インスタンス同士は別の物理ラックに配置
    • パーティションプレイスメントグループ
      • 論理的なパーティションでグループを分割
      • 異なるパーティション同士は別の物理ラックに配置

  • ジャンボフレーム

    • 以下の場合は1500になる
      • インターネットゲートウェイ経由のトラフィック
      • リージョン間 VPC ピアリング接続経由のトラフィック
      • VPN接続経由のトラフィック
      • EC2-Classic 用の特定の AWSリージョン外部にあるトラフィック

  • DNSクエリ上限

    • ENIあたり1024パケット/秒

  • セキュリティグループ

    • 1インスタンスあたり最大5
    • 1SGあたり最大50ルール

  • ENI

    • プライマリENIはデタッチ不可

ELB

  • ALB
    • サブネットごとに8個以上の空きアドレスが必要(/27)
  • NLB
    • スケールに応じてIPアドレスが変化しないため /28 も利用可
    • SGが適用できない
    • AZごとに固定IPアドレスを利用
      • Route53によるヘルスチェックが動いている
      • ターゲットIPアドレスはオンプレなど外部アドレスも利用可能
  • CLB
    • WAFはアタッチできない

VPN

DirectConnect

  • ネットワーク要件

    • シングルモード光ファイバ
    • ポートのオートネゴシエーション無効化
    • 802.1Q VLAN
    • BGP, BGP MD5認証

  • BGP

    • 経路選択の優先度
      • Local Preference > AS-Path Prepend > MED(AWSでは非推奨)
      • LP
        • 値が大きい経路が優先
      • AS-Path Prepend
        • AS PATHが短い経路が優先
      • MED
        • 値が小さい経路が優先

  • 接続の開始

    • AWSコンソールで接続を作成
    • LOA-CFAをダウンロード
    • LOA-CFAをプロバイダに共有

  • VIF

    • 作成に必要な情報
      • PrivateVIF
        • VGW
        • VLAN ID
        • BGPプライベートASN
        • ルーターピアIPアドレス
      • PublicVIF
        • アドバタイズするIPプレフィックス
        • VLAN ID
        • BGPパブリックASN
        • ルーターピアIPアドレス

  • 参考URL

Route53

  • ルーティングポリシー
    • 複数値回答
      • ランダム（ヘルスチェック有効化の場合、ヘルスチェック失敗リソースは回答しない）
      • 最大8

ソリューション

  • ALBへのアクセスをCloudFrontに限定したい

    • CloudFrontでカスタムHTTPヘッダを付与
    • ALBのリスナールールで上記ヘッダのみルーティング
    • UAは偽造が容易なのでNG

  • クライアントIPアドレスをwebサーバで取得したい

    • ALB/CLB(HTTP/HTTPS)
      • X-Forwarded-Forヘッダを使う
    • CLB(TCP/SSL)
      • Proxy Protocol v1サポートをCLBとwebサーバで設定
    • NLB

  • CloudFormationで管理しているリソースの変更を検知したい

  • DirectConnect経由のS3アクセス方法

    • PublicVIF -> S3サービスエンドポイント
    • PrivateVIF -> VPC内のEC2 -> ゲートウェイ型VPCエンドポイント -> S3
    • PrivateVIF -> VPC内のENI -> Privatelink for S3を使用したインターフェイス型VPCエンドポイント -> S3

その他

  • SimpleADは条件付きフォワーダ設定できない

  • AmazonWorkspacesの必須条件：マルチAZでのサブネット

  • ポートスキャン検知

    • VPCフローログ、GuardDuty

  • ネットワーク系クォータ

    • DirectConnect専用接続あたりのPrivateVIF数:50
    • DirectConnect専用接続あたりのPublicVIF数:50
    • リージョンあたりのSite-to-Site VPN接続数:50
    • DXGWあたりのVGW数:10
    • DXGWあたりのTGW数:3
    • TGWあたりのアタッチメント数:5000
    • NACLのルール数: デフォルト20、MAX40
    • WAFのIPセット一致ルールのIPアドレス数: 10000

  • ピアVPCからプライベートIPを名前解決する

  • AWSサービスのIPアドレスレンジはip-ranges.jsonで取得する

  • AWSのNTPサーバ(Amazon Time Sync Service)のIPアドレス

    • 169.254.169.123

  • AWSのDNSサーバのIPアドレス

    • 169.254.169.253
    • VPCのネットワークアドレス+2

  • DirectConnectとVPNの経路選択優先度

    • DirectConnectとVPNで同じルートをアドバタイズしている場合、DirectConnectが優先
    1. ロンゲストマッチ
    2. DirectConnectでアドバタイズされたBGPルート
    3. VPN接続の静的ルート
    4. VPN接続でアドバタイズされたBGPルート
    5. VPNのBPGルートでAS PATHが最短
    6. VPNのBPGルートでMEDが最小
0
2
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
2

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?