オンプレミスから同一Regionの一つのVPCのprivate IPv4へ接続する。Direct Connectの物理接続は準備済みで、VPCにvirtual private gatewayをアタッチ済みである。Transit GatewayやAWS公開サービス向けの接続は対象外とする。
VLAN・BGPピア情報と経路広告の設計は用意でき、SG/NACLとアプリの待受けも準備済みである。専用接続の経路と通信中暗号化を分けて設計書に明記したい。
接続方式と暗号化の説明として適切なのはどれか。
private VIFとVLAN・BGP・往復経路を設定し、専用接続とは別に暗号化要件を満たす。
詳細解説
物理リンクとVIF・BGP経路は別である。private VIF、対応するVLANとBGPピア、受信/広告経路を確認する必要がある。
専用の接続経路と暗号化は同じではない。既定のDirect Connectを暗号化保証として扱わず、TLSや要件に適合する暗号化方式を別途確認する。
public VIFはAWSの公開IPを使うサービスへの接続向けであり、本問のprivate IP接続をそのまま提供する構成ではない。
VPCのprivate IPへの接続にはprivate VIFを使う。物理接続だけでなく論理インターフェースと経路交換が必要で、Direct Connect自体は既定で通信を暗号化しない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
承認された検証環境でprivate VIFの接続先gateway・VLAN・BGP状態と広告/受信経路、VPCサブネットの戻り経路を確認する。private IPv4へのアプリ通信を試し、TLS等の暗号化が別途成立していることを確認する。
参考にした公式資料
確認できる内容
物理接続だけでなくVIF/BGPと往復の経路が確認でき、private IPでアプリ応答を受け取れる。暗号化は採用方式の検証結果で確認し、専用回線だから自動暗号化・単一接続でも冗長化済みとは扱わない。
理解のポイント
- private VIF
- 802.1Q VLAN
- BGP
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
物理接続とVIFの用途を分ける
同一Regionの本問ではprivate VIFをvirtual private gatewayへ接続する。public VIFはAWS公開IPサービス向け、transit VIFはDirect Connect gatewayを介したTGW接続向けである。VIF種別を相互に代用できるとは説明しない。
VLAN・BGP・経路を確認する
対応する802.1Q VLAN、BGPピア情報・ASN、広告と受信経路を両側で確認する。リンクがUPでもBGPや必要経路がなければアプリ通信を証明できない。VPCサブネットのgatewayへの戻り経路とSG/NACLも確認する。
専用経路と暗号化を区別する
Direct Connectは既定で通信中の暗号化を提供しない。本問はTLS等を別に設計して検証する。IPsecや対応接続のMACsecも要件と適用範囲を確認して選ぶ。接続の暗号化、アプリの成功、冗長性は別の判断項目である。