---
title: AWS Site-to-Site VPN with IKEv2 from CGW under NAT and served with PrivateLink.
tags: 
author: [難波和生](https://www.docswell.com/user/4944428)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/2EVMGNDYEQ.jpg?width=480
description: JAWS SONIC 2020 &amp; MIDNIGHT JAWS 2020 https://jawssonic2020.jaws-ug.jp/2020/08/12/post-165/
published: May 04, 23
canonical: https://www.docswell.com/s/4944428/Z98V4W-SONIC2020
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/2EVMGNDYEQ.jpg)

JAWS SONIC 2020
週末趣味のAWS
NAT配下のCGWからIKEv2でサイト間VPN接続
Private Link を添えて


# Page. 2

![Page Image](https://bcdn.docswell.com/page/57GG8KYW7L.jpg)

免責事項
本資料並びにセッションでの発言は私個人の調査や情報
収集および実践に基づいて構成したものです
したがって所属企業やAWS等、私個人以外の如何なるも
のの意見を代表するものではありません
本セッションでの内容に起因して損害が生じた場合におい
ても、発表者はその責任を負うことができません


# Page. 3

![Page Image](https://bcdn.docswell.com/page/4EQX9NMQ7P.jpg)

氏名：難波 和生＠岡山支部
株式会社リゾーム 所属
Twitter:@kazu_0
職業：情報システム部 管理者
：サーバ・ネットワークのインフラ担当
電気通信主任技術者(伝送交換・線路)
第一級陸上特殊無線技士
テクニカルエンジニア(ネットワーク)
好きなAWSサービス
：Transit Gateway/VPC/DX
：Global Accelerator


# Page. 4

![Page Image](https://bcdn.docswell.com/page/KJ46XGVY71.jpg)

Today&#039;s Agenda
• NAT配下のカスタマーゲートウェイからAWSへVPN接続
• EC2が提供するサービスへPrivate Link 経由でアクセス
• オンプレミス側からのPrivatelink エンドポイント 名前解決
• まとめ
• 本セッションでお話しできない事
• マネジメントコンソールからの詳細な設定方法


# Page. 5

![Page Image](https://bcdn.docswell.com/page/LE1VND3N7G.jpg)

System overview
Amazon Route 53
Private
VPC Hosted zone
VPC
AWS Site-to-Site VPN
Security
group
Corporate
data center
Flow logs
Endpoint Services
Network load balancer
Amazon EC2
Security
group
Endpoint
Simple AD
VPN gateway
Tunnel2-IKEv1
VPN connection
AWS PrivateLink
AWS Systems Manager
DNS
server
Tunnel1-IKEv2
Router
Customer
gateway
Client


# Page. 6

![Page Image](https://bcdn.docswell.com/page/GEWL4YXM72.jpg)

NAT配下のカスタマーゲートウェイから
AWSへVPN接続


# Page. 7

![Page Image](https://bcdn.docswell.com/page/47ZM2X6ME3.jpg)

AWS Site-to-Site VPNとは
• Amazon Virtual Private Cloud (VPC) とオンプレミス拠点を
閉域網で接続するインターネットVPNサービス
• プロトコル： IPSec
• AWS側
：仮想プライベートゲートウェイ（VGW）
• オンプレ側：カスタマーゲートウェイ（CGW） VPNルータ


# Page. 8

![Page Image](https://bcdn.docswell.com/page/YJ6NV425JV.jpg)

AWS Site-to-Site VPNとは
• どんな時につかうの？
• AWS VPCと自社データセンターなどを暗号化されたトンネルで接続
• 機微な情報をAWS とオンプレ間で転送
• 経路制御は静的ルートとBGP
• 2本のVPNトンネルを作成できる
• 今回は2本のトンネルそれぞれを
IKEv1 と IKEv2 で構築
https://docs.aws.amazon.com/ja_jp/vpn/latest/s2svpn/VPNTunnels.htm


# Page. 9

![Page Image](https://bcdn.docswell.com/page/GJ55DQ2GJ4.jpg)

S2S VPN System overview
Amazon Route 53
Private
VPC Hosted zone
VPC
AWS Site-to-Site VPN
Security
group
Corporate
data center
Flow logs
Endpoint Services
Network load balancer
Amazon EC2
Security
group
Endpoint
Simple AD
VPN gateway
Tunnel2-IKEv1
VPN connection
AWS PrivateLink
AWS Systems Manager
DNS
server
Tunnel1-IKEv2
Router
Customer
gateway
Client


# Page. 10

![Page Image](https://bcdn.docswell.com/page/9E2N8P4D7R.jpg)

AWS Site-to-Site VPNとは
• IPSecはNATやNAPTが苦手
• 基本的には固定グローバルIPがカスターマーゲートウェイに必要
• こういった要望は意外にあるのでは？
• VPN接続用の固定グローバルIPが残っていない
• 自宅から検証するためにAWSへVPN接続したい


# Page. 11

![Page Image](https://bcdn.docswell.com/page/D7YP65MM7M.jpg)

AWS Site-to-Site VPNとは
• NATトラバーサル（NAT-T）
• 暗号化されたパケットをUDPでカプセル化することで、NAT/NATP環
境のアドレス変換に対応
• UDP:4500 を使用
• 下記のアウトバウンド通信をFWやNATボックスで許可
• UDP:500 (IKE)
IPプロトコルNo:50 (ESP)
UDP:4500


# Page. 12

![Page Image](https://bcdn.docswell.com/page/VEN5ZNW3J8.jpg)

AWS Site-to-Site VPNとは
• IKEv2のVPN接続時の動作
• イニシエータ側（クライアント側）がオンプレ側NAT配下のCGW
• レスポンダー側（サーバ側）がAWS側のVGW
Responder
Initiator
AWS Site-to-Site VPN
VPN gateway
Router
VPN connection
Customer
gateway


# Page. 13

![Page Image](https://bcdn.docswell.com/page/Y79YZRXPE3.jpg)

AWS Site-to-Site VPNとは
• VPN トンネル IKE 開始の方向
• デフォルトでは、カスタマーゲートウェイデバイスが IKE ネゴシエー
ションプロセスを開始してトンネルを開始します。
• 代わりに AWS が IKE ネゴシエーションプロセスを開始するように指
定することもできます。
• VPN 接続の AWS 側からの IKE 開始は IKEv2 でのみサポートされています。
VPN トンネル IKE 開始オプション
https://docs.aws.amazon.com/ja_jp/vpn/latest/s2svpn/initiate-vpn-tunnels.html


# Page. 14

![Page Image](https://bcdn.docswell.com/page/G7861W2XJD.jpg)

AWS Site-to-Site VPNとは
• AWS マネジメントコンソールからダウンロードできるCGWの
設定はNAT-T やIKEv2の構成になっていない


# Page. 15

![Page Image](https://bcdn.docswell.com/page/L7L9QN2NER.jpg)

AWS Site-to-Site VPNとは
• AMCからダウンロードしたCGWの設定をNAT-T やIKEv2の構
成に編集
• AWS Site to Site VPN with NAT-T and IKEv2
https://qiita.com/kazu_0/items/fd5d1a4bb63468edc53b
Responder
Initiator
Tunnel1-IKEv2
AWS Site-to-Site VPN
VPN gateway
Tunnel2-IKEv2
VPN connection
Router
Customer
gateway


# Page. 16

![Page Image](https://bcdn.docswell.com/page/4EMZ1X8Q7W.jpg)

EC2で稼働するWebサービスへ
Private Link 経由で閉域接続


# Page. 17

![Page Image](https://bcdn.docswell.com/page/PER6LN5KJ9.jpg)

Privatelink とは
• 2017年11月発表
https://aws.amazon.com/jp/blogs/aws/new-aws-privatelink-endpoints-kinesis-ec2-systems-manager-and-elb-apis-in-your-vpc/


# Page. 18

![Page Image](https://bcdn.docswell.com/page/P7XMWNK5JX.jpg)

Privatelink system overview
Amazon Route 53
Private
VPC Hosted zone
VPC
AWS Site-to-Site VPN
Security
group
Corporate
data center
Flow logs
Endpoint Services
Network load balancer
Amazon EC2
Security
group
Endpoint
Simple AD
VPN gateway
Tunnel2-IKEv1
VPN connection
AWS PrivateLink
DNS
server
Tunnel1-IKEv2
Router
Customer
gateway
Client


# Page. 19

![Page Image](https://bcdn.docswell.com/page/37KGVN5RED.jpg)

Privatelink とは
• 2種類あるVPC endpoint の一つ
• ゲートウェイ型
• インターフェース型


# Page. 20

![Page Image](https://bcdn.docswell.com/page/LJ3NMVKGJ5.jpg)

Privatelink とは
• 2種類あるVPC endpoint の一つ
• ゲートウェイ型
• AWS のサービスを宛先とするトラフィックのルートテーブルで、
ルートのターゲットとして指定するゲートウェイです。
• Amazon s3 と DynamoDB
• インターフェース型
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/vpc-endpoints.html


# Page. 21

![Page Image](https://bcdn.docswell.com/page/8JDW683NEG.jpg)

Privatelink とは
• 2種類あるVPC endpoint の一つ
• ゲートウェイ型
• AWS のサービスを宛先とするトラフィックのルートテーブルで、
ルートのターゲットとして指定するゲートウェイです。
• Amazon s3 と DynamoDB
• インターフェース型
• サポートされるサービスを宛先とするトラフィックのエントリポイ
ントとして機能するサブネットの IP アドレス範囲のプライベート
IP アドレスを持つ Elastic Network Interface （ENI）です。
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/vpc-endpoints.html


# Page. 22

![Page Image](https://bcdn.docswell.com/page/VEP9Y84N78.jpg)

Privatelink とは
• Elastic Network Interface （ENI）なので VPN接続した
オンプレミス拠点 からのアクセス可能
• VPC間の推移的なトラフィックにならない為
https://docs.aws.amazon.com/ja_jp/vpc/latest/peering/invalid-peering-configurations.html#edge-to-edge-vgw


# Page. 23

![Page Image](https://bcdn.docswell.com/page/27VMGNXY7Q.jpg)

Privatelink とは
• Elastic Network Interface （ENI）なので VPN接続した
オンプレミス拠点 からのアクセス可能
• VPC間の推移的なトラフィックにならない為
VPC
AWS Account B
Security
group
VPC
AWS Account A
Corporate
data center
Security
group
Network load balancer
Amazon EC2
Endpoint
VPN gateway
Customer
gateway
192.168.1.0/24
192.168.1.0/24
AWS PrivateLink
AWS Site-to-Site VPN
Client


# Page. 24

![Page Image](https://bcdn.docswell.com/page/5JGG8KVWJL.jpg)

Privatelink とは
• 異なるAWSアカウント間での接続（クロスアカウント）
• IPプリフィックスが重複するVPC間で使用可能
• Twice NAT の様な動き
VPC
AWS Account B
Security
group
VPC
AWS Account A
Corporate
data center
Security
group
Network load balancer
Amazon EC2
Endpoint
192.168.1.0/24
AWS PrivateLink
VPN gateway
Customer
gateway
192.168.1.0/24
AWS Site-to-Site VPN
Client


# Page. 25

![Page Image](https://bcdn.docswell.com/page/47QX9N6QJP.jpg)

Privatelink とは
• Endpoint から NLB 方向への通信は可能（ステートフル）
• NLB から Endpoint 方向への通信は不可
VPC
AWS Account B
Security
group
VPC
AWS Account A
Corporate
data center
Security
group
Network load balancer
Amazon EC2
Endpoint
VPN gateway
Customer
gateway
192.168.1.0/24
192.168.1.0/24
AWS PrivateLink
AWS Site-to-Site VPN
Client


# Page. 26

![Page Image](https://bcdn.docswell.com/page/KE46XG4YJ1.jpg)

Privatelink 環境構築
• NLBはInternal（内部）タイプで作成
• リスナーポートは HTTP（80）、HTTPS（443）、FTP（21・
PASVポート）
• 今回の構成はNLBのTLS Terminationは使用せず、TCP:443通
信をそのままターゲットグループのEC2へ転送しています
• Endpoint services でサービス提供するリソースが接続される
NLBを指定


# Page. 27

![Page Image](https://bcdn.docswell.com/page/L71VND4NJG.jpg)

Privatelink 環境構築
ELB 構築サンプル
ElasticLoadBalancingV2LoadBalancer:
Type: &quot;AWS::ElasticLoadBalancingV2::LoadBalancer&quot;
DeletionPolicy: Retain
Properties:
Name: &quot;privatelink-test&quot;
Scheme: &quot;internal&quot;
Type: &quot;network&quot;
Subnets:
- &quot;subnet-012345e33f13b124d&quot;
- &quot;subnet-01234538fb87ecbaf&quot;
IpAddressType: &quot;ipv4&quot;


# Page. 28

![Page Image](https://bcdn.docswell.com/page/G7WL4YZMJ2.jpg)

Privatelink 環境構築
• ネットワークロードバランサー（NLB) リスナー設定


# Page. 29

![Page Image](https://bcdn.docswell.com/page/4JZM2X1M73.jpg)

Privatelink 環境構築
ELB リスナー構築サンプル
ElasticLoadBalancingV2Listener:
Type: &quot;AWS::ElasticLoadBalancingV2::Listener&quot;
DeletionPolicy: Retain
Properties:
LoadBalancerArn: !Sub&quot;arn:aws:elasticloadbalancing:${AWS::Region}:${AWS::AccountId}:loadbalancer/net/privatelinktest/a12345bcc52a3aa4&quot;
Port: 21
Protocol: &quot;TCP&quot;
DefaultActions:
Order: 1
TargetGroupArn: !Sub &quot;arn:aws:elasticloadbalancing:${AWS::Region}:${AWS::AccountId}:targetgroup/ServiceFTP/123458a4a682ad8&quot;
Type: &quot;forward&quot;


# Page. 30

![Page Image](https://bcdn.docswell.com/page/YE6NV4L5EV.jpg)

Privatelink 環境構築
• NLB ターゲットグループ設定


# Page. 31

![Page Image](https://bcdn.docswell.com/page/GE55DQ1GE4.jpg)

Privatelink 環境構築
ELB ターゲットグループ 構築サンプル
AWSTemplateFormatVersion: &quot;2010-09-09&quot;
Metadata:
Generator: &quot;former2&quot;
Description: &quot;&quot;
Resources:
ElasticLoadBalancingV2TargetGroup4:
Type: &quot;AWS::ElasticLoadBalancingV2::TargetGroup&quot;
DeletionPolicy: Retain
Properties:
HealthCheckIntervalSeconds: 30
Port: 1024
• PASV Listenポートは1024
Protocol: &quot;TCP&quot;
HealthCheckPort: &quot;21&quot;
HealthCheckProtocol: &quot;TCP&quot;
• HealthCheckポートは21


# Page. 32

![Page Image](https://bcdn.docswell.com/page/972N8P1DJR.jpg)

Privatelink 環境構築
• Endpoint と Endpoint Services 構築
AWS PrivateLinkのアップデート –
お客様のアプリケーション&amp;サービス向けのVPCエンドポイント
https://aws.amazon.com/jp/blogs/news/aws-privatelinkupdate-vpc-endpoints-for-your-own-applications-services/


# Page. 33

![Page Image](https://bcdn.docswell.com/page/DJYP65ZMJM.jpg)

Privatelink とは
• Cloud Diagrams &amp; Notes
https://www.awsgeek.com/AWS-PrivateLink/


# Page. 34

![Page Image](https://bcdn.docswell.com/page/V7N5ZN33E8.jpg)

オンプレミス側からの
Privatelink エンドポイント 名前解決


# Page. 35

![Page Image](https://bcdn.docswell.com/page/YJ9YZR9P73.jpg)

DNS system overview
Amazon Route 53
Private
VPC Hosted zone
VPC
AWS Site-to-Site VPN
Security
group
Corporate
data center
Flow logs
Endpoint Services
Network load balancer
Amazon EC2
Security
group
Endpoint
Simple AD
VPN gateway
Tunnel2-IKEv1
VPN connection
AWS PrivateLink
DNS
server
Tunnel1-IKEv2
Router
Customer
gateway
Client


# Page. 36

![Page Image](https://bcdn.docswell.com/page/GJ861W9XED.jpg)

Privatelink DNS 環境構築
• 設定のシナリオ
• VPNを接続するVPCにSimpleADを作成
• Route53 resolver でもOKです
• Route53 へプライベートHosted Zoneを作成
• VPNを接続するVPCに関連付け
• endpoint の URL をALIASレコードとして登録
• オンプレミスのDNSサーバ へ条件付きフォワーダを設定


# Page. 37

![Page Image](https://bcdn.docswell.com/page/LJL9QNWN7R.jpg)

Privatelink DNS 環境構築
• オンプレミス側からPrivatelink のDNS 名前解決設定
Private Hosted zone
Endpoint のDNS名を
Aliasレコード登録
VPC
Amazon Route 53
VPC
Corporate
data center
条件付きフォワーダ
Simple AD
Security
group
DNS names
Network load balancer
Amazon EC2
Endpoint
VPN gateway
Customer
gateway
AWS Account A
AWS Account B
AWS PrivateLink
AWS Site-to-Site VPN
DNS
server
Client


# Page. 38

![Page Image](https://bcdn.docswell.com/page/47MZ1X9QJW.jpg)

Privatelink DNS 環境構築
• オンプレミス側からPrivatelink のDNS 名前解決設定
• オンプレミスネットワークとAWS間のDNS名前解決をAWS Directory
ServiceとAmazon Route 53を使用してセットアップする方法
https://aws.typepad.com/sajp/2016/02/how-to-set-up-dns-resolutionbetween-on-premises-networks-and-aws-using-aws-directory-serviceand-am.html
• オンプレミスネットワークとAWS間のDNS名前解決をAWS Directory
ServiceとMicrosoft Active Directoryを使用してセットアップする方法
https://aws.typepad.com/sajp/2016/02/how-to-set-up-dns-resolutionbetween-on-premises-networks-and-aws-using-aws-directory-serviceand-mi.html


# Page. 39

![Page Image](https://bcdn.docswell.com/page/P7R6LNGKE9.jpg)

Privatelink DNS 環境構築
• AWS re:Invent 2019: AWS PrivateLink deployments:
DNS mechanisms for routing &amp; resiliency (NET321)
https://www.youtube.com/watch?v=abOFqytVqBU


# Page. 40

![Page Image](https://bcdn.docswell.com/page/PJXMWNX5EX.jpg)

参考URL
◆AWS New York Summit 2018 - AWS PrivateLink: Fundamentals (SRV211)
https://www.youtube.com/watch?v=20RxEzAXG9o
◆AWS re:Invent 2018: Best Practices for AWS PrivateLink (NET301)
https://www.youtube.com/watch?v=85DbVGLXw3Y
◆Hybrid Cloud DNS Optionsfor Amazon VPC
https://d1.awsstatic.com/whitepapers/hybrid-cloud-dns-options-for-vpc.pdf


# Page. 41

![Page Image](https://bcdn.docswell.com/page/3JKGVNWR7D.jpg)

まとめ
◆NAT配下のカスタマーゲートウェイからAWSへVPN
接続
◆EC2で稼働するEC2へPrivate Link 経由で閉域接続
◆オンプレミス側からのPrivatelink エンドポイント
名前解決


# Page. 42

![Page Image](https://bcdn.docswell.com/page/LE3NMV1GE5.jpg)

AWS Site-to-Site VPN with IKEv2 from CGW
under NAT and served with PrivateLink
ご清聴ありがとうございました


