複数のAWSアカウント（Account-A、Account-B、Account-C）がすべて同一CIDRブロック（10.0.0.0/16）のVPCを持っている。Account-AのVPCで稼働するREST APIサービス

Question

複数のAWSアカウント（Account-A、Account-B、Account-C）がすべて同一CIDRブロック（10.0.0.0/16）のVPCを持っている。Account-AのVPCで稼働するREST APIサービスをAccount-BおよびAccount-CのEC2インスタンスから利用する要件がある。VPC CIDRの変更は許可されておらず、IPアドレス重複を前提とした接続を実装する必要がある。正しい実装を選べ。

Accepted Answer

正解: Account-AのAPIサービス前段にNLBを配置してPrivateLinkエンドポイントサービスとして公開し、Account-BとCのVPCにインターフェイスエンドポイントを作成して接続する。AWS PrivateLinkはCIDR重複のあるVPC間でも接続を実現できる設計であり、エンドポイントサービスのバックエンドにNLBまたはGLBが必要。ALBはエンドポイントサービスのバックエンドに使用できない。

Answer

Account-AのAPIサービス前段にALBを配置してPrivateLinkエンドポイントサービスとして公開し、Account-BとCのVPCにインターフェイスエンドポイントを作成して接続する — AWS PrivateLinkのエンドポイントサービスはバックエンドとしてNLBまたはGLBを必要とし、ALBはサポートされていないためサービス作成時にエラーになる。

Answer

Account-A、B、CのVPCをTransit Gatewayにアタッチし、各VPCに専用ルートテーブルを作成して送信元NATを処理するアプライアンスVPCを経由するルーティングを構成する — Transit GatewayはCIDRが重複するVPCのルートを同一ルートテーブルに共存できないため、アプライアンスVPCを経由したSNATを設計しても経路の一意性が保証できない。

Answer

Account-A、B、CのVPCをTransit Gatewayにアタッチし、同一CIDR宛のルートをBlackholeに設定した上でスタティックルートで特定サブネット宛の経路のみを選択的に許可してCIDR重複に対応する — Transit Gatewayは同一CIDRのルートをBlackholeに設定しても重複するVPC間でパケットを正常にルーティングできず、特定サブネット宛スタティックルートでも根本的に解決できない。

解説