業務で VPC Peering する機会があったので記録として残す。
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/vpc-peering.html
VPC Peering おさらい
２つのVPCをつないでお互いに保有するリソースをあたかも同じネットワークに存在しているかのようにする機能。
アカウント、リージョンを跨ぎのピアリングも可能。
制限事項(抜粋)
CIDRブロックが重複してちゃダメ
CIDRブロックが一致・重複していると VPC Peering を作成できない。
ピアリング先のVPCを経由した通信ができない
例えば、 vpc-a と vpc-b がピアリングしているのに加え、
vpc-a と vpc−c がピアリングしているとする。
この場合に、 vpc-b と vpc-c の相互通信をすることはできない。
Terraform で VPC Peering をやる
resource "aws_vpc" "vpc-a" {
cidr_block = "10.0.0.0/16"
tags {
Name = "vpc-a"
}
}
resource "aws_vpc" "vpc-b" {
cidr_block = "10.1.0.0/16"
tags {
Name = "vpc-b"
}
}
resource "aws_vpc_peering_connection" "op-connection" {
peer_vpc_id = "${aws_vpc.vpc-a.id}"
vpc_id = "${aws_vpc.vpc-b.id}"
auto_accept = true
tags {
Name = "op-connection"
}
}
resource "aws_route_table" "vpc-a-route-table" {
vpc_id = "${aws_vpc.vpc-a.id}"
route {
cidr_block = "${aws_vpc.vpc-b.cidr_block}"
vpc_peering_connection_id = "${aws_vpc_peering_connection.op-connection.id}"
}
tags {
Name = "vpc-a-route-table"
}
}
resource "aws_route_table" "vpc-b-route-table" {
vpc_id = "${aws_vpc.vpc-b.id}"
route {
cidr_block = "${aws_vpc.vpc-a.cidr_block}"
vpc_peering_connection_id = "${aws_vpc_peering_connection.op-connection.id}"
}
tags {
Name = "vpc-b-route-table"
}
}
下記より詳細に見ていく。
aws_vpc
これは単に VPC を２つ立ててるだけ。
resource "aws_vpc" "vpc-a" {
cidr_block = "10.0.0.0/16"
tags {
Name = "vpc-a"
}
}
resource "aws_vpc" "vpc-b" {
cidr_block = "10.1.0.0/16"
tags {
Name = "vpc-b"
}
}
aws_vpc_peering_connection
peer_vpc_id には accepter となる VPC の id を、
vpc_id には requester となる VPC の id を指定する。
マネジメントコンソールから VPC Peering しようとすると accepter が、
ピアリングを受け入れるかどうか許可する手順が必要だが、 auto_accept を true にしておくことでオート承認できるようにしている。
これは、VPCが同じAWSアカウントに所属している場合のみ有効。
resource "aws_vpc_peering_connection" "op-connection" {
peer_vpc_id = "${aws_vpc.vpc-a.id}"
vpc_id = "${aws_vpc.vpc-b.id}"
auto_accept = true
tags {
Name = "op-connection"
}
}
aws_route_table
それぞれの VPC にルートテーブルを定義して相互通信できるようしている。
片方だけ定義すれば一方通行な通信になる。
resource "aws_route_table" "vpc-a-route-table" {
vpc_id = "${aws_vpc.vpc-a.id}"
route {
cidr_block = "${aws_vpc.vpc-b.cidr_block}"
vpc_peering_connection_id = "${aws_vpc_peering_connection.op-connection.id}"
}
tags {
Name = "vpc-a-route-table"
}
}
resource "aws_route_table" "vpc-b-route-table" {
vpc_id = "${aws_vpc.vpc-b.id}"
route {
cidr_block = "${aws_vpc.vpc-a.cidr_block}"
vpc_peering_connection_id = "${aws_vpc_peering_connection.op-connection.id}"
}
tags {
Name = "vpc-b-route-table"
}
}
セキュリティーグループ
必要に応じて適切な通信プロトコルを許可するために定義する。
今回は省略している。
その他の制限事項
下記、ご参照いただきたい。