Transit Gateway のルーティングがもっと賢く！ポリシーベースルーティングがついに使えるようになったよ！

みんな、しぃちゃんだよ！今日はネットワーク周りのお知らせだよ。AWS Transit Gateway に、待ってた人も多そうな新機能が来たから紹介させてね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、AWS Transit Gateway が Policy-Based Routing(PBR)に対応し、一般提供(GA)になったことが発表されたよ。

これまでの Transit Gateway のルーティングは、宛先 IP アドレスだけを見て転送先を決めていたの。でも PBR を使うと、送信元 IP アドレス・宛先 IP アドレス・ポート番号・プロトコルまで組み合わせて、通信をどう転送するか細かく決められるようになったんだって。

今までどうだったの？

今までは宛先 IP アドレスだけでルーティングを決めるしくみだったから、条件ごとにトラフィックを振り分けたり、ワークロードを分離したりしたいときは、複数の VPC を組み合わせた構成を作って、余計なルーティングのホップを挟むしかなかったの。構成が複雑になるし、運用の手間も増えちゃう悩みどころだったんだよ。

これで何が変わるの？

PBR は Transit Gateway が元から持っているルーティング機能を拡張する形で提供されるから、追加のインフラを用意しなくても、トラフィックの分類と誘導をインラインでできるようになるの。

セキュリティ担当さんやエンタープライズのネットワークチームにとっては、通信経路の制御をシンプルに保ったまま、やりたいことを実現できるのがうれしいポイントだね。

深く潜ってみよう

PBR のしくみを整理しておくね。

• Transit Gateway のアタッチメントに「ポリシーテーブル」を関連付ける
• ポリシーテーブルには、順序付きのルールを定義する
• 各ルールが通信を分類して、条件に合致したパケットを指定したルートテーブルへ転送する(先に一致したルールが優先される first-match-wins ロジック)

想定されているユースケースも紹介されてたよ。

• 機密性の高いワークロードの通信を、AWS Network Firewall やサードパーティの検査アプライアンス経由に誘導する
• 送信元・ポート・プロトコルをもとに、アプリケーションの通信を AWS Direct Connect や AWS VPN の経路に振り分ける
• 本番環境と開発環境のルーティングドメインを分けて、横方向への侵入(ラテラルムーブメント)を防ぐ

対応リージョンと設定方法、料金についても書いておくね。

• Transit Gateway が使える商用 AWS リージョンなら、どこでも PBR を利用できる
• 設定は AWS マネジメントコンソール、AWS CLI、AWS SDK のいずれからでも可能
• PBR 自体に追加料金はなく、通常の Transit Gateway の料金だけで使えるよ

まとめ

今日のニュースをまとめておくね。

• Transit Gateway のルーティングが、宛先 IP だけでなく送信元 IP・ポート・プロトコルまで見て判断できるようになった
• ポリシーテーブルと順序付きルールの組み合わせで、ファイアウォール誘導や環境分離が追加インフラなしで組めるようになった
• 対応リージョンは Transit Gateway が使えるところ全部、追加料金もなし

複数の VPC を組み合わせた複雑なネットワーク構成を運用してきたセキュリティ・ネットワークチームには、かなり刺さるアップデートだと思うよ！