CIDRが重複しない12 VPCとオンプレミスを、既存Transit Gatewayで相互接続する。VPC/VPN attachmentと通信元AZのattachmentサブネットは準備済みで、全ネットワーク間の通信を許可する設計である。
TGWの既定association/propagationは無効で、共通TGWルートテーブルTを作成済みである。オンプレミスBGPと経路交換、SG/NACLは準備済みとし、attachment作成だけで通信できたとは判断しない。
必要なTGW・VPC側の経路設定はどれか。
TGWのassociationとpropagation、各VPCのサブネット経路を揃え、往復の通信を確認する。
詳細解説
attachment作成は対象VPCサブネットの宛先経路を自動で設定する処理ではない。対象サブネットからTGWへの経路を別途設定する。
associationは流入attachmentが参照するTGWテーブルを選び、propagationは宛先への経路を取り込む。VPCサブネット側の経路と往復の経路も独立して確認する。
VPC peeringは推移的な中継を提供しない。peeringを鎖状に作るだけでは別のpeering先へ通信を中継できず、中央ハブの要件を満たさない。
経路をテーブルへ取り込んでも、通信元attachmentが参照するテーブルを関連付けていない。associationとpropagationは別の設定である。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
承認された検証環境でTのassociation・propagation・宛先attachment経路を確認し、各通信元AZとVPCサブネットのTGW経路、オンプレミス側の受信/広告経路を照合する。VPC間とVPC-オンプレミスの許可通信を往復で試す。
参考にした公式資料
確認できる内容
通信元attachmentがTを参照し、必要な宛先attachmentへの経路とVPC側・戻り側の経路が確認できる。attachmentがAvailableなだけで全ネットワークの通信成功とは扱わない。
理解のポイント
- Transit Gateway
- TGW association
- TGW propagation
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
associationとpropagationを区別する
流入attachmentは関連付いた一つのTGWテーブルを使う。attachmentの経路は一つ以上のTGWテーブルへ伝播できる。両者は同じ操作ではなく、本問の無効な既定設定を放置してattachmentだけを作っても要件を満たさない。
VPC側と戻り側の経路を確認する
TGWテーブルに経路があっても、VPCサブネットからTGWへ送る経路が必要である。通信元AZに対応するattachmentサブネットと経路、相手側からの戻りも確認する。重複しないCIDRと許可済みSG/NACLを前提に、実通信を検証する。
中央ハブとpeeringを混同しない
TGWは複数attachment間の経路を管理するハブである。VPC peeringをA-B-Cとつないでも推移的中継にはならない。接続作成・経路の取込み・流入側の経路判断・VPCの経路をそれぞれ確認する。