🎄クラウドのネットワークでハマった2020🎄

こんにちは。TIG/DXユニットの伊藤太斉です。さて、ついにクリスマス当日です。お仕事をいただけるのは非常にありがたいことですね。素敵です。
さて、私はフューチャーでクラウドエンジニアとしてGCP、AWSを使ってインフラを構築しています。ベンダーごとに良いところ、悪いところが分かってきました。喜ばしいことです。毎日使い続けていると、その分ハマることも多く、毎日障子の上を歩いてい気持ちになります。さて、２０２０年仕事をしてきた中で、これは忘れたくない、ハマりどころを供養していきます。自分の強みでもある、

• AWS
• GCP

の両方をここではあげていきます。

AWS

ロードバランサーとターゲットグループの制御

AWSのロードバランサーはアプリケーション向けのALB、TCP、UDPプロトコルの利用向けのNLBと２種類存在します。各々、

• LBそのものの設定
• ターゲットグループの設定
• リスナーの設定

の３点を設定することで利用出来ます（もう少しいうと、ターゲットグループとLBの紐付けの設定もあります）。同一VPC内で利用する場合であれば特段気にせず使うことが出来ます。しかし、以下のような構成だとどうでしょうか？

このパターンはALBを置くサブネット、VPCまでをDMZとして扱って、コンピューティングリソースと徹底的に分けたい場合に使うアーキテクチャの一部です。また、Transit Gateway経由でVPC Aやってきたトラフィックは、さらにピアリングで接続されているVPC Bにトラフィックは流せません。したがってこの問題を解決するためにも利用されます。
さて、このアーキテクチャを利用する時に、ALBとターゲット先になるリソースを別のVPCで作成した場合に、ターゲットグループをどちらに置くか悩むポイントだと思います。ここでの正解は、ALB側のVPCのリソースとして扱うのが正解です。したがって、以下の配置になります。

私の中でのターゲットグループの解釈は、ロードバランサーのEgressを制御するファイアウォール相当のものなのではと思っています。なので、ターゲットグループがリソースとして紐づいているのはVPC単位になっているのはそういった挙動を裏でなされているのではと感じました。
注意点として、この設計ではターゲットグループの設定を、

• ID
• インスタンス
• IP

の３つから指定できますが、VPCを越す時にはIP指定のみが利用できます。ネットワークレベルの世界の話なので言われてみれば納得できます。便利すぎるといざという時、悩みますね。

GCP

ファイアウォールの制御について

各種コンピューティングリソースを保護するために、ファイアウォールは必須であり、適切な粒度で守ることが必須です。例えば、踏み台サーバーであっても、0.0.0.0/0で開けるなんてことをせずに、会社からの出口になっているGlobal IPだけを許可したり、Cloud IAP（Identity Aware Proxy）を利用するなどして、Ingressは極力絞るべきです。
本題に入りますが、GCPのファイアウォールは

• IP
• タグ
• サービスアカウント

の３つでソースを制御できます（ターゲットに指定できるのはタグとサービスアカウントのみ）。タグについては汎用性が高く、コンピューティングリソースを容易に保護できるようにしている機能なので私としてはとても好みの機能です。ですが、このうち、タグとサービスアカウントでは、異なるVPC間の制御が効かないということが学びでした。今回も図で示します。以下のようなパターンです。

上の図でEgressは省いていますが、GCEの通信を制御するために同一VPC内、異なるVPC間にそれぞれファイアウォールがあります。このときVPC Aの踏み台からVPC Bのインスタンスにsshしようとすると弾かれます。念のため、検証として、Network Intelligence CenterのConectivity Testを利用してみましょう。ソースを踏み台サーバー、ターゲットをVPC Bのインスタンスとして設定してテストしてみました。結果はこちら、VPC Bのファイアウォールがうまく効いていないことが分かります。

きちんとファイアウォールを作用せるために、VPC Bのルールをタグから踏み台の制御に変えてみます。

このように、VPC Bのファイアウォールルールが適用されてリーチャビリティが確率されました。実際に踏み台からpingを叩いてもレスポンス返ってきます。
Connectivity Test自体はルールを確認してリーチャビリティがあるか否かを見ているので、実際にはドライランです。

まとめ

クラウドの世界でネットワークの諸々を制御するときは各クラウドごとに便利な機能が実装されており、事故防止のためにも理解を深めて、最大限利用するべきだと思っています。しかし、自分が今いるネットワークの世界から別の世界にいくとき、結局のところIP制御が原始的ながらそれ以上のことはまだ出来ないのだな、というのが今年の感想です。
便利なものはどんどん使う、でも裏の挙動に仮説をもったり、そもそもの原理原則自体に目を向けないといけないと改めて思いました。

🎄🎄🎄🎄🎄みなさん、素敵なクリスマスをお過ごしください。🎄🎄🎄🎄🎄