SD-WANソフトウェアアプライアンス（VPC内EC2インスタンス）とAWS Transit Gatewayを接続し、GREオーバーレイ上でBGP動的ルーティングを実装する要件がある。Transit GatewayのBG

Question

SD-WANソフトウェアアプライアンス（VPC内EC2インスタンス）とAWS Transit Gatewayを接続し、GREオーバーレイ上でBGP動的ルーティングを実装する要件がある。Transit GatewayのBGP ASNは64512に設定されており、IPsecオーバーヘッドを排除してスループットを最大化しつつアプライアンスとTransit Gateway間でeBGPセッションを確立する必要がある。正しい実装はどれか。

Accepted Answer

正解: VPCアタッチメントをトランスポートとしてTransit Gateway Connectアタッチメントを作成し、Connect PeerのBGP ASNを65001に設定してアプライアンスのENI IPをGREピアアドレスに構成する。Transit Gateway ConnectはVPCアタッチメントをトランスポートとしてGREトンネルを確立しIPsecなしでBGPをサポートする。Connect PeerのASNはTGW ASN（64512）と異なる値の指定が必須。

Answer

VPCアタッチメントをトランスポートとしてTransit Gateway Connectアタッチメントを作成し、Connect PeerのBGP ASNを64512に設定してアプライアンスのENI IPをGREピアアドレスに構成する — Transit Gateway ConnectのConnect PeerはTGW ASN（64512）と異なるASNが必須であり、同一ASN（64512）を設定するとeBGPセッションが確立できない。

Answer

Transit GatewayにSite-to-Site VPNアタッチメントを追加してアプライアンスをカスタマーゲートウェイに登録し、BGPを有効化してGREトンネルをIPsecトンネル内部で終端させる — Site-to-Site VPNはIPsecベースの接続であり、GREオーバーレイとBGPを組み合わせるTransit Gateway ConnectとはIPsecの有無でアーキテクチャが根本的に異なる。

Answer

Transit GatewayにSite-to-Site VPNアタッチメントを追加してアプライアンスをカスタマーゲートウェイに登録し、スタティックルーティングで各拠点ネットワークを手動設定する — Site-to-Site VPNのスタティックルーティング構成はBGP動的ルーティングの要件を満たさず、拠点追加のたびに手動設定が必要になる。

解説