背景

背景

社内のプロジェクトで以下の話が上がってきて対応した記録です。

・　普段、Amazon WorkspacesでプライベートなEC2にアクセスしている
・　今回、一時的に作業効率を上げたく直接アクセスしたい

簡単な構成

簡単な構成

・ Amazon WorkspacesからEC2へアクセスする
・ EC2はNAT Gatewayでインターネットから必要なパッケージをDLする

想像したこと１

リスク

・インターネットからアクセスしてはいけないポリシーがある（はず）
・同一サブネットにある他のリソースにアクセスできないようにする

コスト

・インターネットからアクセスできる経路を確保するには追加コストが拠点側・AWS側のどこかで発生する

想像したこと２

ルートテーブル

・プライベートサブネットなので、インターネットに出るためにNAT Gatewayを向いている（はず）か

セキュリティグループ

・既設でインターネットからinboundで許可するグループ、あるいは一時的に新設が可能か

検討したこと

・パブリックサブネットにインターネットからinboudを受けるSSHエージェント転送サーバを作る
　　→　パブリックサブネット側のルートテーブルが複雑で、新たに切り出したあとの制御などのタイムコストで断念
・ E.IPを付与する
　　→　既存のプライベートサブネットにあるルートテーブルが複雑なので、対象インスタンス用に新たに切り出すための調査などのタイムコストで断念
・ AWS Client VPN環境を作る
　　→　VPNエンドポイントを作っただけでは他のインスタンスにもアクセスできてしまうので、制御が難しいと断念
・ ELB - CLBを作る　→ CLBのターゲットインスタンスを対象のEC2インスタンスのみに絞ればよくて、CLBのセキュリティグループを新設すれば、アクセス元も制御できる

参考にしたこと

プライベートなEC2に一時的にSSHする3つの方法
 [AWS]踏み台をワンチャンなくせる！？VPC接続にClient VPNを使ってみよう

実際作ってみた

ベース

Public SubnetとPrivate Subnetに分ける普通の構成です。

VPC

IPv4 CIDR	IPv6 CIDR
10.1.0.0/16	-

Subnet

IPv4 CIDR	Route Table	NOTES
10.1.1.0/16	Route Table A	Public Subnet(DMZ)
10.1.2.0/16	Route Table B	Private Subnet

Route Table

Route Table A

| Destination | Target | Status | Propagated |
|:----------:|:----------:|:---------:|:---------:|:---------:|
| 10.1.0.0/16 | Local | Active | No |
| 0.0.0.0/0 | Internet Gateway | Active | No |

Route Table B

| Destination | Target | Status | Propagated |
|:----------:|:----------:|:---------:|:---------:|:---------:|
| 10.1.0.0/16 | Local | Active | No |
| 0.0.0.0/0 | NAT Gateway | Active | No |

検証構成

Security Group

Group A for ELB(CLB)

Type	Protocol	Port Range	Source	NOTES
Custom TCP	TCP	10022	${My Global IPAddress}/32	-

Group B for Public EC2

Type	Protocol	Port Range	Source	NOTES
SSH	TCP	22	${My Global IPAddress}/32	動作検証用

Group C for Private EC2

Type	Protocol	Port Range	Source	NOTES
SSH	TCP	22	sg-${Group A for ELB(CLB)}	Group in Group で定義
SSH	TCP	22	sg-${Group B for Public EC2}	Group in Group で定義

ELB（CLB）の定義

Private EC2の定義

IPv4パブリック IPは割り当たっていません。

Public EC2の定義

Private EC2にアクセスができるよう
IPv4パブリック IPは割り当てています。

Public EC2 から Private EC2へアクセス確認

Public EC2(10.1.1.117) から Private EC2(10.1.2.94)へアクセスします。

Last login: Sat Mar  7 13:08:41 2020 from XXX.XXX.XXX

       __|  __|_  )
       _|  (     /   Amazon Linux 2 AMI
      ___|\___|___|

https://aws.amazon.com/amazon-linux-2/
1 package(s) needed for security, out of 26 available
Run "sudo yum update" to apply all updates.
[ec2-user@ip-10-1-1-117 ~]$ 
[ec2-user@ip-10-1-1-117 ~]$ ssh ec2-user@10.1.2.94
Last login: Sat Mar  7 13:08:45 2020 from 10.1.1.117

       __|  __|_  )
       _|  (     /   Amazon Linux 2 AMI
      ___|\___|___|

https://aws.amazon.com/amazon-linux-2/
[ec2-user@ip-10-1-2-94 ~]$ 
[ec2-user@ip-10-1-2-94 ~]$

Rloginを使って、エージェント転送設定しています。

Public EC2 から Private EC2へアクセス確認

Tera Termを使ってELB（CLB）経由でアクセスします。

Last login: Sat Mar  7 13:27:07 2020 from 10.1.1.117

       __|  __|_  )
       _|  (     /   Amazon Linux 2 AMI
      ___|\___|___|

https://aws.amazon.com/amazon-linux-2/
[ec2-user@ip-10-1-2-94 ~]$

まとめ

ELB（CLB）で、TCPのポートフォワーディングが簡単でセキュアに実装できる
- ELB（CLB）の作成
- ELB（CLB）の対象にPrivateなEC2を指定
- Security Group（ELB , EC2）の作成
- CLBはSingle-AZで構成可能なので、 ELB:EC2 = 1:1 で作れば他のPrivateなEC2に影響がない

注意事項

ELBはCLBのみSingle-AZで起動可能
- ALBの場合は、Multi-AZ前提となるため、対象のインスタンス1台のみといった指定はできない
プロキシの役割をするAmazon EC2や直接EC2にE.IPをアタッチするより料金は高い

Elastic Load Balancing（Classic Load Balancer）の料金
※ 2020年3月7日現在

時間 (または 1 時間未満)	処理されるデータの GB
0.027USD	0.008USD