投稿者アーカイブ kuze_k

自宅環境とAWSとの間をVPN接続することを試してみました。

結論から言うと問題なくVPN接続はできたのですが、AWSのVPNは現状アグレッシブモードに対応していないため、長期運用する場合は自宅側に固定グローバルIPが必須になります。私の場合は固定ではなく動的グローバルIPなため、テスト的にVPN接続することはできた・・というものになります。よって自宅機器のグローバルIPが変更になったらVPNも当然切れてしまいます。あくまでお試しというレベル。

実施したことは至ってシンプルですが、メモとして記載しておきます。

＜AWS側の作業＞

・VPCを作成

　→AWS上で使用するCIDRを指定

・subnetを作成

　→上記CIDRから今回使用するサブネットとして切り出し

・EC2を作成

　→自宅＝AWSとの疎通確認用に準備　上記サブネットへ接続する

　　セキュリティグループ設定でPING応用するようにルール追加

★ここから今回メインのVPNに必要な作業

・カスタマーゲートウェイを作成

　→VPN接続先を指定する設定　自宅グローバルIPを指定する

・仮想プライベートゲートウェイを作成

　→AWS側の仮想VPN装置を作成　作成した後に、VPCにアタッチする必要あり

・サイト間のVPN接続の作成

　→上記で作成したカスタマーゲートウェイ・仮想プライベートゲートウェイなどを結びつける設定

　→静的IPプレフィックスには自宅のローカルサブネットを指定●

・設定のダウンロード

　→AWS上で自宅機器向けの設定サンプルをダウンロード　私はCisco設定をダウンロード

＜自宅側の作業＞

・作業前確認として、自宅側ルータからAWSのVPN接続先IPへPingで疎通確認

　→Pingが飛ばない場合は、ACLの設定やルーティングなどを確認　疎通性がないとVPN張れないため

・ダウンロードしたCisco設定を実施へ投入

　→ダウンロードした設定ファイルにはTunnelインタフェースが２つあったが、今回はテストなため１つのみ投入

　→ダウンロードした設定ファイルにはoption設定があったが、今回はテストなため一旦無視

　→自宅ルータにはACLを設定しているため、VPN接続用の許可ACLを追加●

　→設定したtunnelインタフェースをno shutdownし、ステータスがUpになることを確認する。

　　（自宅環境はそれぞれ構成差異があると思うので、必要に応じて追加/修正は必要と思います）

・自宅PCからAWS上に作っておいたEC2へPingで疎通確認

　→Ping問題なし　tracertで経路確認

私がハマったポイントは●をつけた２箇所。

・はじめてVPN設定したときは、静的IPプレフィックスに何を書くべきなのかよくわからなかった。

・自宅ルータのACLでdropされていて、ISAKAMP/IPSECのやりとりができず、tunnelインタフェースがUPにならなかった。

もともとオンプレ機器でIPSECは使ったことがあるので基本的な理解はありましたが、AWS用語が最初よくわからず悩みましたが、賞味半日ぐらいで無事にVPNつなげることができました。

なお、自宅で固定グローバルIPを取得しようとすると1IPで月額5000ほどするので高額。

アグレッシブモードに対応したVPN装置をEC2で立てることで対応できそうだが、EC2x1台分のコストが余計に発生する。AWSさんが動的グローバルIPでもVPN接続に対応できるようになってくれるのを期待！です。

今後AWSおよびVPN接続をどうするかは別途検討。。。

なお、請求ダッシュボードで確認したところVPN費用は以下でした。

　$0.048 per VPN Connection-Hour

0.048*119yen*24h*31d = 4249.728　月額4250円は個人で払うにはちょっと高いですね。。

今日はこれぐらいにします。

参考にさせていただいたサイト

https://infrastructure-engineer.com/tcpip-advanced-0003/

VPNのアグレッシブモードについて

https://www.infraexpert.com/study/ipsec24.html

---

2022/3/21追記

上記はテスト的にVPN接続していたということもあり、後日AWSから下記のメールが届きました。

参考までに内容記載しておきます。

表題 : Important notice about your AWS Account regarding VPN connections

内容：You’re receiving this message because you have at least one VPN Connection in the ap-northeast-1 Region, for which your VPN Customer Gateway is not using both tunnels. This mode of operation is not recommended as you may experience connectivity issues if your active tunnel fails.

・・・

For Static VPNs, enabling both tunnels may lead to asymmetric routing, which will need to be permitted by your Customer Gateway Device. For configuration options, please refer to your vendor specific documentation.

上記はメール抜粋ですが、要するに１つだけVPN接続しているけど、耐障害性を上げるために２つのVPN接続してね！ということです。

また、２つVPN接続する際は、非対称ルーティングになる可能性があるので注意してね！ということです。

---

2022/3/22追記

VPN接続ですが通信有無にかかわらず課金されますのでご注意ください。

試しに、オンプレのCiscoルータ側でVPN用インタフェース(tunnel)をshutdownさせておいたのですが、課金は継続していました。

AWSの請求書にて、$0.048 per VPN Connection-Hourの時間がカウントアップしていました。。

本サイトはWordPressでAWS Lightsailを使っている旨は先の投稿で記載していますが、せっかくなのでドメイン移管についてもやってみようと思います。

これまでムームドメインで長らくドメイン利用させていただいてましたが、AWS Route53でもドメイン管理ができます。

移管の理由としては単純にコストもあります。ムームドメインの更新費用はcomの場合で3年で4713円。諸費用＋税金で5349円でした。（2022年3月時点）

一方でAWS Route53の場合だと単年で12US＄。日本円にすると3年でざっくり4248円ほど（ドル118円換算）。若干ですが費用圧縮できそうなので、今回チャレンジ。

よって、今回はムームドメイン⇒AWS route53への移管になります。

Route53上で利用中のドメイン移管が可能かチェック。最初は移管できませんと表示されました。

なぜ？と思い、ムームドメインの管理画面を確認したところWHOIS情報変更にて当該ドメインの情報全てをお客客様ご本人の個人情報”へ変更する必要がありました。なお、上記変更する前はおそらくムームドメインさんの情報がWHOIS情報になっていたと思います。

上記変更を実施し、再度Route53上で利用中のドメイン移管が可能かチェックしたところあっさりOKになりました。

Route53上の登録作業において認証コード（AUTH_CODE）の入力を求められる。AUTH_CODEについてはムームドメインのサイトで確認したものをコピペする。

ネームサーバのオプションというのが３つから選ぶ必要がありますが、今回は”続行して、現在のレジストラまたはDNSサービスから提供されたネームサーバーを使用します”を選択。デフォルトがこれでした。

次にドメイン管理者の連絡先（名前など）を入力。こちらは移管元から引っ張ってきてくれないようですね。

次にドメインの自動更新の選択があったので今回は”無効化”にしておきました。デフォルトは有効化なので毎年自動更新される。

設定作業としては以上で、注文をクリック！

注文後のステータス確認として、Route53上の”保留中のリクエスト”を確認したところ、当該ドメインに対して”ドメイン移管が進行中”となっていました。

・・・・・

Route53で注文してから30分ほど経過したら”【重要】トランスファー申請に関する確認のご連絡”というメールがムームドメインからメールが来ていました。

メール内に記載のURLへ飛んで他社へのドメイン以下を”承認”ボタンを押します。

・・・・・

数分待つと、ドメイン管理者のアドレスへメールアドレスをチェックするメールが届きました。本文内のURLをクリックすることで、メールがverifiedになる。

続けてroute53から移管がsuccessしたよというメールが届いてたので、Route53上で確認すると、

登録済みドメインのところへ載っていました。

ネームサーバアドレスはムームドメイン利用時から指定してものが、そのまま引き継ぎできていました。

また、ドメイン有効期間についても、ムームドメインでの利用残＋1年の期間になっていたので問題なさそうです。

あっという間に即日でドメイン移管できてしまいました。特に困るところもなく、簡単でした！

whoisで確認しましたが、レジストラ情報も更新されていました。

———————————————-

Registrar Info

Name　Amazon Registrar, Inc.

Whois Server　whois.registrar.amazon.com

———————————————-

今日はこれぐらいにしておこうと思います。

https://aws.amazon.com/jp/route53/

https://support.muumuu-domain.com/hc/ja/articles/360046369393-%E3%83%89%E3%83%A1%E3%82%A4%E3%83%B3%E3%82%92%E4%BB%96%E7%A4%BE%E3%81%B8%E7%A7%BB%E7%AE%A1%E3%81%97%E3%81%9F%E3%81%84-jp-%E4%BB%A5%E5%A4%96-

本サイトはAWS Lightsailで作成しています。初回の投稿なのでテストを兼ねています。

まずは簡単な自己紹介を書いてみようと思います。

インフラエンジニアとしてオンプレを中心にネットワーク・サーバ・セキュリティなどを中心にスキルを習得してきました。世の中的にはクラウド全盛であり、さらにAI/データ分析/DXなどいろいろ流行りのキーワードでにぎわっていますが、業務としてはなかなかそういったものに係る機会が少ないため、本ブログを通じて勉強したものをアウトプットしていくことで、ゆくゆくは業務に役立てることを考えています。

さっそくなので本サイトで利用しているLigtsailについて記載します。

AWSで利用できる安価なVPSであり、AWSにしては珍しく従量課金ではなく選択したスペック(CPU/Memory/Disk)に応じて、月額で課金されるものになります。

まずは、一番安価なもので3.5US$/月のもので作成。しかも最初の3か月は無料のようです(2022/3時点)。

実際にAWSマネジメントコンソールで初めて作成しましたが、クリックは数クリックだけで、1分程度したらオンラインになりました。

さらに、初期値のグローバルアドレスは動的なため、固定アドレスを割り当てます。これもクリックのみですぐに割り当てできます。

次に、DNSサーバへ本グローバルアドレスをAレコード登録しました。こちらは既存で利用していたドメインおよびDNSサーバがあったため、そちらへ設定追加しています（AWS Route53は使用していません）。最初はRoute53を使ってみようかと思いましたが、費用が発生するのと(このときはcomドメインで12US$/年)Route53にはAWS無料クーポンが使えない旨の表示が出たので、いったん辞めました。

その後、本投稿を書いています。ほぼゼロからスタートして半日も経過しておらずで、クラウドはすごいなーと思いました（今更ですが・・）。オンプレ仮想マシンだとOSインストールして、IP設定して、wordpressインストールしてとかやってるうちに、記事書くのが億劫になるところですが、現に今投稿ができていますW。

WordPressとは関係ないですが、AWS LightSailはSSHアクセスが可能です。よって、OSへログインしshell/cronなどをユーザ個別で実装することも可能なので、使い勝手は良さそうです。

今日はこの辺りにします。

/https://aws.amazon.com/jp/lightsail/

---

2022/3/21追記

AWS請求書を確認したところ以下の記載がありました。

$0.005 / hour of Static IP address not attached to an instance

どうやらstatic IPをアサインしていないと課金されるようです。static-ipを使っているならわかりますが、使ってない時間に応じて課金というのはいまいち意図がわからないですが、、実際に少し課金されていましたので皆さんもご注意ください。