2016/2/23 AWS初心者向けWebinar AWSとのネットワーク接続入門

1. 2016 / 02 / 23 (Update: 2017/01/30)
アマゾン ウェブ サービス ジャパン 株式会社
ソリューション アーキテクト
吉田 英世
【 AWS 初心者向け Webinar 】
AWSとのネットワーク接続入門

2. 2
ご質問を受け付け致します！
質問を投げることができます！
• Adobe Connect のチャット機能を使って、質問を書き
込んでください。
（書き込んだ質問は、主催者にしか見えません）
• 最後の Q&A の時間で可能な限り回答させていただきます。
①画面右下のチャッ
トボックスに質問を
書き込んでください
②吹き出しマークで
送信してください

3. 3
AWS 初心者向け Webinar のご紹介
• AWS についてこれから学ぶ方向けの
ソリューションカットの Webinar です
• 過去の Webinar 資料
– AWS クラウドサービス活用資料集ページにて公開
http://aws.amazon.com/jp/aws-jp-introduction/
• イベントの告知
– 国内のイベント・セミナースケジュールページにて告知
http://aws.amazon.com/jp/about-aws/events/
（オンラインセミナー枠）

4. 4
自己紹介
名前：吉田 英世 (@aquaviter)
所属：アマゾン ウェブ サービス ジャパン株式会社
技術本部 ストラテジックソリューション部
ソリューションアーキテクト
経歴：インフラエンジニア(ネットワーク)
IoTプラットフォーム アーキテクト

5. 5
今日のトピック
オフィスや
データセンターを
VPN
専用線
を利用して、どのように AWS と接続するか？
Web
サーバ

6. 6
アジェンダ
VPNを接続してみる
専用線を接続してみる
いろいろなネットワーク接続
よくあるご質問
まとめ

7. 7
アジェンダ
VPNを接続してみる
専用線を接続してみる
いろいろなネットワーク接続
よくあるご質問
まとめ

8. 8
AWSのアカウントをゲット！
手始めに社内向けプロジェクトの
WebサーバをAWSで構築しよう！
みんなに社内LANからアクセスして
もらうにはどうすればいい？
プロジェクト担当

9. 9
AWSのアカウントをゲット！
手始めに社内向けWebサーバを
AWSで構築しよう！
みんなに社内LANからアクセスして
もらうにはどうすればいい？
そんなときはVPN接続をまず試してみよう！
プロジェクト担当

10. 10
AWSのVPN接続を使えば社内からAWS上の
Webサーバにアクセス可能！
プライベートIPで接続可能！
小規模システム/検証/管理用に！
VPN接続も冗長化！
VPC Subnet オフィス
Web
サーバ

11. 11
VPN接続で必要なモノ
インターネットと直接通信可能な固定の
パブリックIPアドレス
VPN接続に対応している
ルータ
対応ルータ：https://aws.amazon.com/jp/vpc/faqs/

12. 12
実際に作ってみよう！

13. 13
“VPCウィザードの開始”をクリック

14. 14
“プライベートのサブネットおよびハードウェアVPN
アクセスを持つVPC”をクリック。

15. 15
赤枠の部分を入力

16. 16
拠点側のルータ情報とルーティングを選択
用意したパブリックIPアドレスを入力

17. 17
拠点側のルータ情報とルーティングを選択
静的
(スタティック)
動的
(BGP)

18. 18
作成完了！

19. 19
VPNルータの設定をダウンロード
ネットワーク担当者に
渡して設定してもらいましょう

20. 20
拠点側のルータに設定

21. 21
VPN接続完了

22. 22
VPNの価格
https://aws.amazon.com/jp/vpc/pricing/
1 時間当たり 0.048 USD/VPN 接続（東京リージョンへの接続）
1ヶ月あたり35.14 USD ≒ ￥4,000
1 時間当たり 0.048 USD/VPN 接続（東京リージョンへの接続）
AWSから拠点へのデータ転送量
1 GB当たり ~0.09USD（東京リージョン)
＋
このデータ転送量

23. 23
アジェンダ
VPNを接続してみる
専用線を接続してみる
いろいろなネットワーク接続
よくあるご質問
まとめ

24. 24
社内のいろんなプロジェクトでAWSが
使われ始めて、重要なシステムも稼働
するようになってきた。
トラフィックも増えてきてるし、
可用性も心配。
このままVPNを使っていくべき？
ネットワーク管理者

25. 25
社内のいろんなプロジェクトでAWSが
使われ始めて、重要なシステムも稼働
するようになってきた。
トラフィックも増えてきてるし、
可用性も心配。
このままVPNを使っていくべき？
ネットワーク管理者
専用線(Direct Connect)に切り替えましょう！

26. 26
AWSのDirect Connectを使えば
一貫性のあるネットワークアクセスでAWSに
アクセス可能！
安定・大容量の帯域が必要な
サービスに！
オフィス
Web
サーバ
切替

27. 27
専用線(AWS Direct Connect)とは？
お客様
AWS Cloud
EC2, S3などの
Public サービス
Amazon VPC
相互接続ポイント
専用線
サービス
AWSとお客様設備（データセンター、オフィス、またはコロケーション）
の間に専用線を利用したプライベート接続を提供するサービス
東京リージョンの場合、
エクイニクス様
TY2(東京)、OS1(大阪)

28. 28
Direct Connectの物理接続
Equinix様のデータセンターでコロケーション契約を行い、
AWSのルータが設置されているラックと構内配線で
物理接続を行なう
東京(TY2)大阪(OS1)
相互接続ポイント（Equinix様の東京(TY2)/大阪(OS1)の
データセンター）にあるAWSルータと物理的な接続が必要

29. 29
Direct Connectの構成
or
専用線
拠点
拠点
拠点
広域網
拠点
AWS
ルータ
ネットワーク
機器
AWSユーザユーザ 回線事業者
相互接続ポイント

30. 30
相互接続ポイントではAWSがデータセンター内に
ルータを設置して、物理ポートをユーザ向けに提供
or
専用線
拠点
拠点
拠点
広域網
拠点
AWS
ルータ
ネットワーク
機器
AWSユーザユーザ 回線事業者
相互接続ポイント
AWSが物理ポートを準備している

31. 31
ユーザも同じデータセンターに機器を設置し、
構内配線でAWSルータと物理的に接続する
or
専用線
拠点
拠点
拠点
広域網
拠点
AWS
ルータ
ネットワーク
機器
AWSユーザユーザ 回線事業者
相互接続ポイント
ユーザが機器を用意して
AWSルータへ接続する
(ラックも準備)

32. 32
各拠点への引き込みは従来の回線事業者の専用線や
広域網を利用
or
専用線
拠点
拠点
拠点
広域網
拠点
AWS
ルータ
ネットワーク
機器
AWSユーザユーザ 回線事業者
相互接続ポイント
拠点への引き込みは従来の専用線と
広域網などの回線事業者のサービスを利用

33. 回線を引くだけのために相互接続ポイントに
新規で設備を準備（ラック借用、機器設置、etc…)は
非常に大変

34. 34
拠点からAWSへの接続をまとめて
パートナーに依頼することが可能
or
専用線
拠点
拠点
拠点
広域網
拠点
AWS
ルータ
ネットワーク
機器
AWSユーザ パートナー
相互接続ポイント
パートナーがサービスとして提供

35. 35
相互接続ポイント(Equinix TYx/OS1など)
にすでに設備を保有している、
または保有する予定があるか？
パートナーのサービスを利用
相互接続ポイント内の
構内配線でDirect Connect
を接続
自社でやるか？パートナーにまかせるか？
Yes No

36. パートナーに依頼するとなった場合、
どのパートナーのどのサービスを
選択するのがいいの？

37. 37
キーワードは・・・
占有型 共有型と

38. 38
Direct Connectの物理接続と論理接続の関係
VLAN200
VLAN100
VLAN300
Connection
Virtual Interface
Virtual Interface
Virtual Interface
Connectionと言われる物理接続の中に、Virtual Interfaceという論理接続が
存在している。Virual InterfaceはVLANと同じ扱い。
Virtual InterfaceはひとつのVPCの仮想プライベートゲートウェイのみに接続

39. 39
マネージメントコンソール上で
ConnectionsとVirtual Interfacesとして確認可能

40. 40
サービス選定のポイントは
物理か論理のどちらの単位で契約するか？
VLAN200
VLAN100
VLAN300
Connection
Virtual Interface
Virtual Interface
Virtual Interface
Connection(物理接続)単位で契約するか？
Virtual Interface(論理接続)単位で契約するか？

41. 41
占有型と共有型の違い
VLAN200
VLAN100
VLAN300
Connection
Virtual Interface
Virtual Interface
Virtual Interface
Connection(物理接続)単位で契約するか？
Virtual Interface(論理接続)単位で契約するか？
物理回線をユーザ自身が
で占有するので占有型
物理回線を他のユーザと
共有するので共有型

42. 占有型と共有型はどういうときに
選べばいいの？

43. 43
利用予定のVPCの数で判断
VPCが多数存在する場合、占有型の方がコスト効率が良い
Connectionを契約
Virtual Interfaceを
複数作っても
価格は一定
Connectionはパートナー
Virtual Interfaceごとに
契約が必要
VPCが増える毎に価格も
増加
占有型 共有型

44. 44
ラストワンマイル（拠点接続）の接続で判断
回線事業者広域網
広域網サイト間ポイントツーポイント
占有型/共有型
の両方対応
共有型のみ対応
(※)
※:詳細はパートナー様にお問い合わせください。

45. 45
占有型と共有型の違い
占有型 共有型
物理接続の
管理
エンドユーザのAWSアカウ
ントでConnection
(物理接続)を管理する
パートナーのAWSアカウントで
Connection(物理接続)を
管理する
契約単位 Connection(物理接続) Virtual Interface(論理接続)
帯域 1Gbps or 10Gbps 50M,100M,200M,
300M,400M,500M,1Gbps(※)
BGP設定 ユーザ自身が決定できる パートナーが決定
納期 イニシャルは拠点までのラストワンマイルはほぼ同じ
納期
(Virtual Interface)
自前でVirtual Interfaceが
作成できるため早い
パートナーに発注が必要なため
占有型と比べ遅い
パブリック接続 可能 事業者に要確認
※: Sub-1Gを利用しているパートナーから提供

46. 46
Sub-1G共有型のサービス提供（パートナー向け情報）
A株式会社
B株式会社
C株式会社
自社
回線サービス
Connections
(物理接続)
Virtual Interface
Sub-1Gを契約したパートナーは、帯域が
選択できるVirtual Interfaceを作成する
ことが可能
パートナー様のメリット
・ポート料金をエンドユーザ課金に
することが可能
エンドユーザのメリット
・1Gbps以下の帯域を選択可能

47. 47
こんなときは占有型、共有型どっち？
1Gbps~10Gbpsの広帯域を利用予定
たくさんのVPCをすべて社内の
データセンターと接続
すでに拠点間接続で広域網が整備されていて、
AWSのVPCも拠点のひとつとして扱う 共有型
占有型
占有型

48. 48
Direct Connectを提供しているパートナー
http://aws.amazon.com/jp/directconnect/partners/
リストに掲載されていないパートナー様も
いらっしゃるため、詳細は営業・SAに
お問い合わせください。
アルテリア・ネットワークス株式会社(※)
Coltテクノロジー株式会社(※)
野村総合研究所(NRI)
NTTコミュニケーションズ株式会社
NTTPCコミュニケーションズ株式会社
ソフトバンク株式会社
株式会社TOKAIコミュニケーションズ(※)
※：占有型をご提供いただいているパートナー

49. 49
Direct Connectの実現パターンはこの３つ！
占有型をパートナーに依頼する
共有型をパートナーに依頼する
自前で相互接続ポイントに設備を置く

50. 50
占有型をパートナーに依頼する場合
マネージメント
コンソールで
Connection
作成
AWSの
確認メールに
返信
AWS側工事開始
（オプション)
LOA-CFAを
コンソールから
ダウンロード、
パートナーに
転送
LOA-CFAを元に
パートナー側で
構内配線工事
物理回線
開通！
マネージメント
コンソールで
Virtual Interface
作成
拠点側ルータ
設定
利用開始！
LOA-CFA: Letter of Authority and Connecting Facility Assignment
データセンター内のファシリティ間の接続許可証
パートナーに
回線利用
申込

51. 51
マネージメントコンソールでConnectionを作成
AWSマネージメントコンソールにログインし、”Tokyo”リージョンを選択。
[Services]-[Networking]-[Direct Connect]をクリック。
“Connections”の”Create Connection”をクリック。

52. 52
マネージメントコンソールでConnectionを作成
必要な項目を入力し、”Create”をクリック。
Connection Name: コネクション名（任意の文字列）
Location: Equinix TY2, Tokyo または OS1 Osaka
Port Speed: 1Gbps or 10Gbps

53. 53
追加情報の確認および返信(オプション)
追加の情報が必要な場合、AWSマネージメントコンソールの
メールアドレス宛にAWSから確認メールが送信されます。
7日以内に必要情報返信してください。
(7日以内に返信が無い場合、前の手順で作成したDirect Connectの
Connectionは自動的に削除されます。)

54. 54
LOA-CFAのダウンロード
AWS側の物理配線が完了し、72時間以内に相互接続ポイントの物理配線情報:
LOA-CFA(Letter of Authorizationand Connecting Facility Assignment)が
マネージメントコンソールからダウンロード可能。
LOA-CFAの情報をパートナー様もしくは相互接続ポイントのデータセンター事業者
へ送付し、構内の物理配線を依頼。
注意：配線完了後のメール連絡はありませんので、ご自身でご確認ください。
72時間以内にLOA-CFAができない場合、AWSサポートまでご連絡ください。

55. 55
物理配線完了！
配線が完了すると、AWSマネージメントコンソールの[Direct Connect]-
[Connections]から回線を確認することができます。

56. 56
マネージメントコンソールからVirtual Interfaceを作成

57. 57
拠点側ルータ設定
Virtual Interfaceの詳細画面からサンプルコンフィグ
(Cisco/Juniperのみ)をダウンロード可能

58. 58
開通！
BGPの設定が完了しBGPピアがupしたら、ステータスが”available”になる

59. 59
共有型をエンドユーザが利用する場合
マネージメント
コンソールで
Virtual Interfaceを
仮想プライベート
ゲートウェイに割当て
拠点側ルータ
設定
利用開始！
パートナーに
回線利用
申込
Virtual Interfaceを作成するのはパートナー

60. 60
パートナーがVirtual Interfaceを作成すると
ユーザのマネージメントコンソールで確認できる
Connectionを持っているパートナーが
Virtual Interfaceを作成
パートナーのコンソール
ユーザのコンソール
ユーザのコンソール上にVirtual
Interfaceが現れる
注：VLANやAS番号などの設定は
パートナーが決めるため
ユーザ側では設定できない

61. 61
拠点側ルータ設定は占有型と同じ、
でもサンプルコンフィグのダウンロードはできない
共有型の場合はパートナー側で設定する場合が多い
もし自社で設定するためにサンプルコンフィグが必要な場合はパートナーに連絡

62. 62
そして開通！
BGPの設定が完了しBGPピアがupしたら、ステータスが”available”になる

63. 63
自前で相互接続ポイントに設備を準備する場合
マネージメント
コンソールで
Connection
作成
AWSの
確認メールに
返信
AWS側工事開始
LOA-CFAを
AWSから受領、
Equinixに
工事申込
LOA-CFAを元に
Equnixで
構内配線工事
物理回線
開通！
マネージメント
コンソールで
Virtual Interface
作成
拠点側ルータ
設定
利用開始！
手順は占有型とほぼ同じ、配線は相互接続ポイントのデータセンターに依頼

64. 64
Direct Connectの価格例(1Gbps：占有型)
1ヶ月あたり208.62 USD ≒ ￥24,000
1 時間当たり 0.285 USDのポート料金（東京リージョンへの接続）
拠点へのデータ転送料
1 GB当たり 0.042 USD（東京リージョン)
＋
https://aws.amazon.com/jp/directconnect/pricing/
パートナーの回線・サービス費用
＋

65. 65
Direct Connectを
検討するにあたり・・・
ネットワーク管理者をはじめの段階から巻き込みましょう！
Direct Connectに必要な技術的な知識
・BGPでの接続
・社内ネットワークとの接続
・ルータの設定
・etc…

66. 66
アジェンダ
VPNを接続してみる
専用線を接続してみる
いろいろなネットワーク接続
よくあるご質問
まとめ

67. 67
マルチVPCへのVPN接続
VPN
VPN
1台のパブリックIPアドレスで
複数のVPCの仮想プライベート
ゲートウェイに接続可能

68. 68
Direct ConnectとVPNで複数拠点を集約
大阪支店
東京本社
データセンター
Direct ConnectとVPCはひとつに
仮想プライベートゲートウェイに
接続し、ルーティング可能

69. 69
広域網による接続
回線事業者広域網
AWSに向けてデフォルト
ルートしか広告できない
or
経路集約できない
(AWSは100までしか受信
できない)
AS番号は回線事業者側で指定
冗長化する場合は複数契約
BGP属性値付与による経路
優先はできない
詳細はパートナー様にお問い合わせください。

70. 70
東京/大阪での高可用性Direct Connect接続
Equinix
TY2
(東京)
Equinix
OS1(大阪)
相互接続ポイント自体を冗長化することが可能
ポート料金、トラフィック料金は東阪どちらも同じ

71. 71
海外拠点の接続
Sinnet
(北京)
Equinix
TY2(東京)
国際
広域網 中国リージョン
アジアリージョン
事業者の国際広域網で接続
ルータ
中国支店
東京本社

72. 72
数百拠点の接続
サードパーティのルータを利用
・仮想プライベートゲートウェイでは
VPN接続数に制限がある(デフォルト10)
・VPN費用が高額になる
VPN
ルータ
Cisco
PaloAlto
Sophos

73. 73
数百拠点の接続(海外)
WaaS 中国リージョン
アジアリージョン
ルータ東京
POP
中国
POP
中国店舗
東京本社
専用線またはVPN 東京データセンター

74. 74
数百デバイスのVPN接続
サードパーティまたはオープンソースのルータを利用
VPN
ルータ
Cisco
OpenVPN
SSL-VPN
SSL-VPNは端末接続向け
IPsec-VPNは拠点間接続向け

75. 75
AWSクラウドとの接続(プロキシ利用)
AWSクラウドとは？
VPC上ではない、パブリックなIPアドレスで
構成されたサービスのエンドポイントが稼働
しているネットワーク
(例：S3, DynamoDB, SQS..)
プロキシ
VPC
エンドポイント
(S3)
プロキシを仲介してAWSクラウドにアクセス
プロキシ無しでVPCをホップしてアクセスできない

76. 76
AWSクラウドとの接続(パブリック接続利用)
Direct Connectのパブリック接続を使って
各リージョンのAWSクラウドのネットワークとピア接続
Direct Connect
パブリック接続

77. 77
アジェンダ
VPNを接続してみる
専用線を接続してみる
その他の接続
よくあるご質問
まとめ

78. 78
Q. Direct ConnectやVPNに接続されているVPCから
別のVPCにVPC Peering経由で通信できないの？
A. できません。
すべてのVPC(仮想プライベートゲートウェイ)に直接接続してください。

79. 79
Q. Direct Connectを契約したAWSアカウントとは
別のAWSユーザにも利用させたい
A. 可能です。
Connectionsを情シスのまとめアカウントで
作成して、Virtual Interfaceを利用アカウント
に振り分けることができます。

80. 80
Q. パートナーはどんなサービスを提供しているか？
A. VPN/Direct Connect関連でいろいろなサー
ビスを提供していただいています。
・占有型/共有型
・相互接続ポイントから拠点までの専用線、広域網
・相互接続ポイントでの機器設置、コロケーション
・拠点ルータのマネージドサービス
・Direct Connect/VPN(バックアップ)の接続サービス
・社内との接続も含めたネットワーク設計

81. 81
Q. 大手キャリアの広域網サービスを契約中だが、
どのようにDirect Connectを接続すればいいか？
A. 大手のキャリア様に共有型のサービスをすでに
提供いただいています。
キャリアのご担当者にご確認ください。
VPCが多い、帯域が1Gbps以上必要な場合は主要拠点からの占有型
の接続もご検討ください。

82. 82
Q. Direct Connectを冗長化のために２本契約
したけど、AWS側は物理的に冗長化されている？
A. AWS側では、複数回線申し込んでいただいた
場合は物理的に冗長化されるようにポートを
アサインしています。
サポートに問い合わせをいただければ、物理接続が冗長化されて
いるか調査の上回答させていただきます。
マネージメントコンソールからconnectionのID”dxcon-xxxx”
を添えてケースを起票してください。

83. 83
Q. VPNからDirect Connectには簡単に移行できる？
A. できます。
VPNが接続されている仮想プライベートゲートウェイに、
Direct Connectをそのまま接続することができます。
Direct Connectが接続された場合、必ずDirect Connect側が
優先されるのでご注意ください。

84. 84
Q. 東京リージョンの相互接続ポイントからシンガポール
リージョンのVPCにDirect Connectで接続できますか？
A. リージョンをまたいで直接接続することは
できません。
各リージョンの相互接続ポイントから接続する必要があります。
東京からシンガポールの相互接続ポイントに国際の広域網
もしくはWaaSなどを利用して接続してください。
国際網をお持ちのパートナー(Level3様など)にご相談いただく
ことも可能です。

85. 85
Q. 拠点とAWSの間はL2接続は可能？
A. できません。
拠点とAWS間はL3のルーティングのみとなります。

86. 86
アジェンダ
VPNを接続してみる
専用線を接続してみる
その他の接続
よくあるご質問
まとめ

87. 87
まとめ
• 検証や監視/メンテナンス目的ではVPN、サービス
での利用は専用線(Dicrect Connect)がおすすめ
• Direct Connect接続は要件を整理して、占有型/
共有型どちらの接続が良いか事前にしっかり検討
• ネットワーク管理者やパートナーとの連携は必須

88. 88
参考資料
- 初心者Webinar AWS上でのネットワーク構築
http://www.slideshare.net/AmazonWebServicesJapan/webinar-aws-
43351630
- BlackBelt Tech Webinar –VPC-
http://www.slideshare.net/AmazonWebServicesJapan/aws-black-belt-tech-
amazon-vpc-47025202
- BlackBelt Tech Webinar -Direct Connect-
http://www.slideshare.net/AmazonWebServicesJapan/aws-black-belt-
tech-aws-direct-connect

89. 89
Q&A

90. 90
AWS専用線アクセス体験ラボ sponsored by Intel
http://aws.amazon.com/jp/dx_labo/
■事前に設定を確認したい
■フェイルオーバー時の動作を確認したい
■スループットがどれだけなのか実際に試してみたい
■自前のルータがDirect Connectに接続できるか確認したい
・・・などなど
お問い合わせは営業・SAまで！

91. 91
詳しくは、http://aws.amazon.com/training をご覧ください
メリット
• AWS について実習や実践練習を通じ
て学習できる
• AWS を熟知したエキスパートから直
接 AWS の機能について学び、疑問の
答えを得られる
• 自信をもって IT ソリューションに関
する決定を下せるようになる
提供方法
e ラーニングや動画
セルフペースラボ
クラスルーム
トレーニング
AWSトレーニングでは様々な学習方法をご提供しています

92. 92
公式Twitter/Facebook
AWSの最新情報をお届けします
@awscloud_jp
検索
最新技術情報、イベント情報、お役立ち情報、お得なキャンペーン情報などを
日々更新しています！
もしくは
http://on.fb.me/1vR8yWm

93. 93
AWS Black Belt Tech Webinar 2016
AWSのサービスをディープにご紹介
• 2月24日(水)18:00〜 Amazon WorkDocs & WorkMail
• 申し込みサイト
– http://aws.amazon.com/jp/about-aws/events/

94. 94
AWSの導入、お問い合わせのご相談
• AWSクラウド導入に関するご質問、お見積り、資料請
求をご希望のお客様は、以下のリンクよりお気軽にご相
談ください
https://aws.amazon.com/jp/contact-us/aws-sales/
※「AWS 問い合わせ」で検索してください

95. ご清聴ありがとうございました！