はじめに
Privateなネットワーク環境からAWS CLIを打鍵する際は、必ずPublicに出る必要があります。
今回、他クラウドからのAWS CLI打鍵を、VPN接続されたVPC内部通信を介して、決められたAWSの出口からのみ、AWSCLI用の通信を出せないかという話題が上がり、
他クラウドから打鍵するために、NetworkLoadBalancerのPrivateLink経由で出口を提供できないか検証してみました。
検証構成
シンプルにサブネットを分け、疑似的な閉域網を作りました。
左側のEC2が他クラウドから接続されたクライアントの想定です。
設定
以下設定です。
Proxy
ルートテーブル
ProxyのEC2が存在するサブネットは、インターネットに向いたルートテーブルに所属しています。
OS内部
ユーザーデータ経由でSquidをインストール＆設定しています。
ユーザーデータ
#!/bin/bash -xe
yum update -y
yum install -y squid
# Configure Squid as a proxy
cat > /etc/squid/squid.conf << 'EOF'
acl SSL_ports port 443
acl Safe_ports port 80
acl Safe_ports port 443
acl Safe_ports port 1025-65535
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
# Allow AWS API endpoints
acl aws_endpoints dstdomain .amazonaws.com
http_access allow aws_endpoints
# Allow local network
acl localnet src 10.0.0.0/8
acl localnet src 172.16.0.0/12
acl localnet src 192.168.0.0/16
http_access allow localnet
http_access allow localhost
http_access deny all
http_port ${ProxyPort}
coredump_dir /var/spool/squid
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320
EOF
# Start Squid service
systemctl enable squid
systemctl start squid
PrivateLink
ルートテーブル
PrivateLink 経由でトラフィックを強制的にProxyに流すだけなので、設定はデフォルト状態です。
PrivateLink設定
8080を転送するListen設定を入れたNLBがあります。
エンドポイントサービスを作り、自VPCにエンドポイントを公開しました。
Client EC2
ルートテーブル
デフォルトルートはNLBのENIを指定しております。
OS内部
プロキシをエンドポイントサービスのDNSに設定しています。
結果
無事にAWS CLIを打鍵できました。
※プロキシ設定を入れない状態だとタイムアウトになります。
その他
PrivateLinkを作らなくても、NLBまたは直EC2プロキシ指定で、閉域網を通じたアクセスは可能ですが、
PrivateLink経由だとスケーラビリティの向上が見込めるようです(未検証)
必要に応じて後日検証できればしようと思います。
決まった内容のAWS CLIを打鍵するのみだと、APIGateway、Lambdaで構成する方がコストメリットはあると思います。複数のAWS CLIを打つ必要がある場合は、この構成(プロキシ経由)がよいかなと思ってます。
ご意見あればコメント頂けると嬉しいです。
ToDo
なお、AWS CLI用のプロキシは、~/.aws/config に設定する形でも可…のはずだがうまく通らない…ので後日検証する
[default]
cli_http_proxy = http://your-proxy:port/
cli_https_proxy = http://your-proxy:port/