8
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

【ハンズオン】Trangit Gatewayの挙動についてチェックしてみよう!!!

Last updated at Posted at 2025-05-30

記事を読んでいただきありがとうございます!
モブエンジニア(@mob-engineer)です!

今回は、AWS公式からUpされているTrangit Gatewayハンズオン記事をもとに詰まるポイントユースケースについて考えてみたいと思います。

所見の方でサクッと読めるように平易な表現で執筆しておりますので、お気軽にお読みいただければ幸いです。

AWSハンズオンサイト

クラスメソッドさん記事

目次

  • 対象読者

  • 構成イメージ

  • ハンズオン

    • その1:トランジットゲートウェイによるVPC間接続
    • その2:別のアカウントから VPC を追加する
    • その3:ルートテーブルを使用してトラフィックを分離する
  • 所感

対象読者

次のような課題を抱えている方に本記事をお役立ていただければ幸いです。

  • Trangit Gatewayをざっくり触ってみたい方
  • 触りながらユースケースを考えてみたい方

構成イメージ

ハンズオンページに掲載されている図を抜粋いたしました。

image.png

今回の構成として、バージニア北部リージョンと東京リージョンをTrangit Gatewayで接続したイメージとなります。

デプロイされるリソース一覧は次の通りです。

image.png

ハンズオン

ハンズオンを行う前に検証用のAWSアカウントをあらかじめ作成しておいてください。
AWS Organizationsを利用することで簡単に管理できると思います。

AWS Organizationsで作成したAWSアカウントへアクセス用にユーザアカウントを紐づけておくことを忘れないでください。

その1:トランジットゲートウェイによるVPC間接続

ハンズオン資料から今回行う構成について抜粋します。

image.png

  • 最初にハンズオンページからCloudFormatinoのリソースをダウンロードしてください

  • 検索ボックスにCloudFormationと入力します
  • 検索結果よりCloudFormationをクリックします

image.png

  • 右上のスタックの作成>新しいリソースの作成(標準)をクリックします

image.png

  • 下へスクロールしテンプレートファイルのアップロードのラジオボタンをクリックします
  • ファイルの選択ボタンをクリックするとファイル選択が行えるため、先ほどダウンロードしたテンプレートファイルを選択します

image.png

  • 最下部へスクロールし次へボタンをクリックします

image.png

  • スタック名に任意の名前を入れておきます

image.png

  • 最下部へスクロールし次へボタンをクリックします

image.png

  • 最下部へスクロールしAWS CloudFormation によって IAM リソースが作成される場合があることを承認しますのチェックボックスにチェックを入れます
  • 次へボタンをクリックします

image.png

  • 最下部へスクロールし送信ボタンをクリックします

image.png

設定画面について個人的に気になる箇所もいくつかあるので、
別途検証記事をまとめてみたいと思います。

  • スタック一覧へ遷移します
  • 作成したスタックのステータスがCREATE_COMPLETEになっていることを確認します

image.png

  • 検索ボックスにEC2と入力します
  • 検索結果よりEC2をクリックします

image.png

  • 左側ペインよりインスタンスをクリックします
  • クリック後、2台インスタンスが立ち上がっていることを確認します
  • Name末尾が192-168-1-100のインスタンスのチェックボックスをクリックし、接続ボタンをクリックします

image.png

  • 接続方法が表示されます
  • セッションマネージャータブをクリックします

image.png

  • 接続ボタンをクリックします

image.png

  • 対向機器への疎通確認を行います

ping 10.0.1.100

image.png

  • インターネット抜けしているか確認を行います

ping aws.amazon.com

image.png

対向機器(10.0.1.100)も同様に疎通確認を行います。

ping 192.168.1.100

image.png

ping aws.amazon.com

image.png

疎通確認をした結果として次の通りでした

image.png

それぞれのEC2インスタンスが所属しているVPCの設定についてみてみましょう

wstgwEc2Instance192-168-1-100

image.png

wstgwEc2Instance10-0-1-100

image.png

wstgwEc2Instance10-0-1-100が所属しているVPCのルートテーブルにインターネットゲートウェイが存在しないといった原因がわかりました。
ただし、今回のハンズオンではTrangit Gatewayを用いた設定のためTrangit Gatewayルートテーブルの追加を行います。

インターネット抜けしていないなぁと思ったらインターネットゲートウェイを設定していないはよくあるケースですね。

  • 左側ペインよりTrangit Gatewayルートテーブルをクリック
  • 表示されているルートテーブルIDをクリックします

image.png

  • 設定画面が表示されます
  • ルートタブをクリックし、静的ルートを作成ボタンをクリックします

image.png

  • 静的ルート設定画面が表示されます
  • 次の画像の通り設定し、静的ルートを作成ボタンをクリックします

image.png

  • ルートが追加されていることを確認します

image.png

この状態で先ほど失敗した疎通確認を行ってみたいと思います。

ping aws.amazon.com

image.png

無事疎通が取れるようになりました。

その2:別のアカウントから VPC を追加する

次は別アカウントからVPCを追加して疎通確認を行ってみます。

image.png

2つのアカウントを交互に操作するため、シークレットウインドウで使い分けすることをお勧めします。

  • あらかじめ作成した別アカウントへログインしました

image.png

  • ラボ1と同じようにCloudFormationでリソースを作成します
  • リソースに関しては以下URLを参考にしてください

  • CloudFormationで一通り設定し実行しました

image.png

以下作業はアカウント1で行います。

  • VPCメニューの左側ペインよりTrangit Gatewayをクリックします
  • 作成済みのTrangit Gatewayをクリックし、アクション>Trangit Gatewayを共有をクリックします

image.png

AWS Network Managerについてポップアップが表示されていたので検証してみたいと思います。

  • リソース共有を作成ボタンをクリックします

image.png

  • リソース共有作成画面が表示されます
  • 赤枠で囲っている通り設定後、次へボタンをクリックします

image.png

  • デフォルト設定で問題ないため、次へボタンをクリックします

image.png

  • 対向アカウントを登録し、次へボタンをクリックします

image.png

  • リソースの共有が正常に作成されましたのポップアップが表示されていることを確認します
  • ステータスがアクティブになっていることを確認します

image.png

以下作業はアカウント2で行います。

  • 検索ボックスにResource Access Managerと入力
  • 検索結果よりResource Access Managerをクリック

image.png

  • 左側ペインのリソースの共有をクリック
  • 表示されているリソース共有(wstgw-RAM)をクリック

image.png

  • 上部のリソースの共有を承認ボタンをクリック

image.png

  • リソースの共有を承認のポップアップが表示される
  • 承認ボタンをクリックします

image.png

  • ステータスがアクティブになっていることを確認します

image.png

アカウント間での承認対応はVPCピアリング設定でも行います。

  • 検索ボックスにVPCを入力します
  • 検索結果よりVPCをクリックします

image.png

  • 左側ペインのTrangit Gatewayアタッチメントをクリックします
  • 画面上部のTrangit Gatewayアタッチメントを作成ボタンをクリックします

image.png

  • 名前タグにwstgwTgwVpcAttachmentPrivateVpc2を入力します
  • Trangit Gateway IDにtgw-XXを選択します
    • 今回のハンズオンでは一つだけでしか表示されません
  • VPC IDにwstgwPrivateVpc2を選択します

image.png

  • サブネットIDにwstgwPrivateVpc2TgwSubnetを選択します
  • 最下部のTrangit Gatewayアタッチメントを作成ボタンをクリックします

image.png

  • 一定時間経過後、作成したTrangit Gatewayアタッチメントの状態がAvailableになっていることを確認します

image.png

  • 左側ペインのルートテーブルをクリックします
  • wstgwRtbPrivateVpc2PrivateSubnetのルートをクリックします
  • 画面上部のアクション>ルートを編集をクリックします

image.png

  • ルートの追加ボタンをクリックするとルート追加ができます
  • 赤枠の通りルートを追加します
  • 追加したら変更を保存ボタンをクリックします

image.png

  • ルートが追加されていることを確認します

image.png

それでは、アカウント1・アカウント2にあるEC2インスタンスの実行結果を見てみたいと思います。

EC2インスタンスに以下パッケージをインストールしておくとPing実行が楽になります。
https://catalog.us-east-1.prod.workshops.aws/workshops/e0d1c19d-c80b-4695-a3fc-5c4a25132f47/ja-JP/4-tools/4-1-fping

BoundaryVPC(192-168-1-100)

image.png

PrivateVPC1(10.0.1.100)

image.png

PrivateVPC2(10.1.1.100)

image.png

とりあえず、各EC2インスタンス間とネットワーク抜けしていることは確認取れました。

その3:ルートテーブルを使用してトラフィックを分離する

今までの構成はいわゆるフルメッシュ構成でしたが、
設計要件によってはハブとなるEC2を経由した通信を求められる場合があります。(ハブandスポーク構成)

ハブandスポーク構成を実現するハンズオンを行っていきたいと思います。

image.png

本セクションではアカウント1を操作します。

  • 左側ペインよりTrangit Gatewayルートテーブルをクリックします
  • 画面上部のTrangit Gatewayルートテーブルを作成ボタンをクリックします

image.png

  • 名前タグにwstgwRtbPrivateVPCを入力します
  • Trangit Gateway IDはプルダウンをクリックして表示されたものをクリックします
  • 設定後、Trangit Gatewayルートテーブルを作成ボタンをクリックします

image.png

  • 左側ペインよりTrangit Gatewayアタッチメントをクリックします
  • 赤枠で囲っているアタッチメントIDをメモしておきます(削除するため)

image.png

  • 左側ペインよりTrangit Gatewayルートテーブルをクリックします
  • Nameがブランクのルートテーブルをクリックします
  • 関連付けタブをクリックし先ほど控えたアタッチメントIDと同じものをチェック>関連付けを削除をクリックします

image.png

一個ずつしかアタッチメントは削除できません。

削除完了後の関連付け状態

image.png

  • Nameがブランクでない方のルートテーブルをクリックします
  • 関連付けを作成ボタンをクリックします

image.png

  • 関連付けるアタッチメントのプルダウンをVPC1で終わるものをクリックします
  • 関連付けを作成ボタンをクリックします

image.png

  • Nameがブランクでない方のルートテーブルをクリックします
  • 画面上部のアクション>静的ルートを作成をクリックします

image.png

  • CIRDに0.0.0.0/0を入力します
  • アタッチメントのプルダウンを*VPCで終わるもの**をクリックします
  • 静的ルートを作成ボタンをクリックします

image.png

  • 同じ要領で10.0.0.0/15宛のルートは拒否する設定**を入れておきます

image.png

今回の10.0.1.100と10.1.1.100のアドレス帯は10.0.0.0/15に含まれるため、
10.0.0.0/15をBlackhole処理すれば転送が拒否されます。

それでは同じように疎通確認を行ってみます。

BoundaryVPC(192-168-1-100)

image.png

PrivateVPC1(10.0.1.100)

image.png

PrivateVPC2(10.1.1.100)

image.png

ハンズオンと異なる挙動でしたので調査が必要だと思いました。

所感

とりあえず一通りTrangit Gatewayの機能を理解するのであれば、本ハンズオンだけで事足りると思います。(うまくいかなかった個所は調査が必要ですが)

そのうえで、Trangit Gatewayを利用するユースケースとして次のようなパターンがあると考えています。

  • 複数アカウントでのネットワーク利用がある場合
  • ネットワークルートを一元管理したい場合
  • トラフィックの監視について最低限行いたい場合

ただし、Trangit Gatewayのハンズオンを触ったうえで感じたこととして、CloudFormatinoやCDKなどのIaCを活用しないと設定ミスが起きる可能性があるといった印象を持ちました。(作業ステップ数が多いので)

また、詳細な挙動調査についても次回以降行っていきたいと思います。

最後まで記事をお読みいただきありがとうございました!!

8
1
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
8
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?