IPv4のSite-to-Site VPNをvirtual private gatewayへ動的ルーティングで接続する。BGP対応の顧客機器があり、VPCとオンプレミスのCIDRは重複しない。必要なサブネット経路・SG/NACLとアプリは準備済みである。
対象は一方のトンネル障害で、顧客機器本体や拠点回線の障害は含めない。両トンネルで必要な経路を交換できるようにし、障害時の経路変更と実通信を確認したい。
適切な構成と確認方法はどれか。
両VPNトンネルと必要なBGP経路を準備し、一方の障害で代替経路と実通信を検証する。
詳細解説
セッションがUPでも必要な経路が受信・広告されていなければ、その宛先の代替にはならない。prefixとルート選択を確認する。
IPsecの確立だけでは必要なBGP経路を交換した証拠にならない。本問には2本目の経路が必要で、単なるトンネル状態とルーティングを分ける。
冗長構成でも障害検知と経路収束があり、パケットや既存アプリ接続への影響は別に検証する。無停止・損失0を設定だけで保証しない。
利用可能な代替トンネルと経路が必要である。IPsec/BGP状態、受信・広告prefix、選択経路を確認し、障害検知後の切り替えと実通信を測定する。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
承認された検証VPNで両IPsec/BGP状態と必要prefixを記録する。現在の利用トンネルを特定して一方を停止し、ルートの変更、収束時間、アプリ再接続と復旧を確認して元へ戻す。
参考にした公式資料
確認できる内容
残るトンネルの有効な経路へ切り替わり、許可された通信が再開する。トンネルUPだけ、BGPセッションUPだけ、2本あるだけで損失0や顧客機器故障への冗長性を主張しない。
理解のポイント
- Site-to-Site VPN
- BGP
- 経路収束
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
両トンネルと経路を準備する
Site-to-Site VPNは2本のトンネルを持つ。本問は動的ルーティングなので、顧客機器で両IPsec/BGPを構成し、必要な受信・広告prefixを確認する。トンネルUPと宛先経路の利用可能性は同じではない。
VGWの経路選択と実通信を確認する
virtual private gatewayは一つの優先トンネルを選択し、障害時に利用可能な経路を選ぶ。本問はTGWのECMP構成ではない。VPCサブネットのVGW経路とオンプレミス側の戻りも成立した状態で、一方の障害による切り替えを試す。
障害範囲と収束時間を限定する
検知・経路収束・アプリ再接続を測定し、無損失や既存接続の瞬時移動を保証しない。2本のトンネルが同じ顧客機器や回線へ依存する場合、それらの故障への冗長性は別の設計が必要である。