{VPN}Site-to-Site VPN 接続の高速化

AWS GCP

 

https://docs.aws.amazon.com/ja_jp/vpn/latest/s2svpn/accelerated-vpn.html


デフォルトでは、Site-to-Site VPN 接続を作成すると、アクセラレーションは無効になります。
トランジットゲートウェイ上に新しいSite-to-Site VPN アタッチメントを作成する際に、オプションでアクセラレーションを有効にすることができます。


前提: 
AWS側の作業OS: Amazon Linux2(EC2)
GCP側の作業OS: CentOS7(オンプレ)
AWS側の作業ユーザ: ec2-user
GCP側の作業ユーザ: testuser

AWS側のASN: 64512
GCP側のASN: 64513

IPSec tunnel使用本数: 1本

AWS側のサブネット: 10.0.0.0/24
GCP側のサブネット: 10.1.0.0/24

AWS側のリージョン: ap-northeast-1 東京
GCP側のリージョン: us-east5 オハイオ州コロンバス

 

-- 1. 事前準備【AWS】

-- 1.1 aws cli version 2 インストール

curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install
aws --version

 

-- 1.2 jqインストール
sudo yum -y install jq

 

-- 2. gcloudコマンドのインストール【GCP】

 

curl https://sdk.cloud.google.com | bash

source ~/.bash_profile
gcloud --version

 


gcloud init

※コンソールで実行

 

 

-- 3. VPC、サブネット作成【AWS】

-- 3.1 VPC(10.0.0.0/16)を作成する

aws ec2 create-vpc \
--cidr-block 10.0.0.0/16 \
--instance-tenancy default \
--tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=vpc01}]' 


aws ec2 describe-vpcs
aws ec2 describe-vpcs | jq -r '.Vpcs.VpcId'


-- 3.2 サブネット(10.0.0.0/24)を作成する


aws ec2 create-subnet \
--availability-zone ap-northeast-1a \
--cidr-block 10.0.0.0/24 \
--vpc-id vpc-11111111111111111 \
--tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=subnet01}]' 

 

aws ec2 describe-subnets
aws ec2 describe-subnets | jq -r '.Subnets.SubnetId'


-- 3.3 インターネットゲートウェイを作成する


aws ec2 create-internet-gateway \
--tag-specifications 'ResourceType=internet-gateway,Tags=[{Key=Name,Value=igw01}]' 


aws ec2 describe-internet-gateways
aws ec2 describe-internet-gateways | jq -r '.InternetGateways.InternetGatewayId'


-- 3.4 インターネットゲートウェイをVPCにアタッチする
aws ec2 attach-internet-gateway \
--internet-gateway-id igw-22222222222222222 \
--vpc-id vpc-11111111111111111


-- 3.5 ルートテーブルのデフォルトゲートウェイとしてインターネットゲートウエイを指定する

aws ec2 describe-route-tables
aws ec2 describe-route-tables | jq -r '.RouteTables.RouteTableId'

aws ec2 create-route \
--destination-cidr-block 0.0.0.0/0 \
--gateway-id igw-22222222222222222 \
--route-table-id rtb-33333333333333333

 

 


-- 4. VPC、サブネット作成【GCP】

-- 4.1 プロジェクトの作成

gcloud projects list


gcloud projects create project01-9999999 \
--name="project01"

gcloud projects describe project01-9999999

-- 4.2 プロジェクトを請求先アカウントに紐づける(GUIから実施)

-- 4.3 プロジェクト設定

gcloud config list
gcloud config set project project01-9999999
gcloud config list


-- 4.4 Compute Engineの有効化
gcloud services enable compute.googleapis.com

 

-- 4.5 VPCを作成する


gcloud compute networks create vpc11 \
--subnet-mode=custom \
--mtu=1460 \
--bgp-routing-mode=regional


gcloud compute networks list

gcloud compute networks describe vpc11


-- 4.6 サブネット(10.1.0.0/24)を作成する

 

gcloud compute networks subnets create subnet11 \
--range=10.1.0.0/24 \
--stack-type=IPV4_ONLY \
--network=vpc11 \
--region=us-east5

gcloud compute networks subnets list


gcloud compute networks subnets describe subnet11 \
--region=us-east5

 

 

 


-- 5. Cloud HA VPN ゲートウェイ作成 【GCP】

gcloud compute vpn-gateways create vpn11 \
--region=us-east5 \
--network=vpc11 \
--stack-type=IPV4_ONLY

 

gcloud compute vpn-gateways list

gcloud compute vpn-gateways describe vpn11 \
--region=us-east5

 


-- 6. Cloud Router作成 【GCP】

 

gcloud compute routers create cr11 \
--region=us-east5 \
--network=vpc11 \
--asn=64513

gcloud compute routers list

gcloud compute routers describe cr11 \
--region=us-east5

 

-- 7. カスタマーゲートウェイ(CGW)作成【AWS】


aws ec2 create-customer-gateway \
--bgp-asn 64513 \
--type ipsec.1 \
--tag-specifications 'ResourceType=customer-gateway,Tags=[{Key=Name,Value=cgw01}]' \
--ip-address 192.0.2.1

※ip-addressはGCPCloud HA VPN ゲートウェイのid=0のアドレスを指定する


aws ec2 describe-customer-gateways

 


-- 8. Transit Gateway作成【AWS】


aws ec2 describe-transit-gateways

 

aws ec2 create-transit-gateway \
--options '{
  "AmazonSideAsn": 64512,
  "AutoAcceptSharedAttachments": "enable",
  "DefaultRouteTableAssociation": "enable",
  "DefaultRouteTablePropagation": "enable",
  "VpnEcmpSupport": "enable",
  "DnsSupport": "enable",
  "MulticastSupport": "disable"
}' \
--tag-specifications '[
  {
    "ResourceType": "transit-gateway",
    "Tags": [ {"Key": "Name", "Value" : "tgw01" } ]
  }
]'

-- 9. Transit Gatewayアタッチメントの作成【AWS】


aws ec2 describe-transit-gateway-attachments
aws ec2 describe-transit-gateway-vpc-attachments
aws ec2 describe-transit-gateway-peering-attachments
aws ec2 describe-transit-gateway-route-tables

aws ec2 create-transit-gateway-vpc-attachment \
--transit-gateway-id tgw-44444444444444444 \
--vpc-id vpc-11111111111111111 \
--subnet-ids subnet-55555555555555555 \
--options '{
  "DnsSupport": "enable",
  "Ipv6Support": "disable",
  "ApplianceModeSupport": "disable"
}' \
--tag-specifications '[
  {
    "ResourceType": "transit-gateway-attachment",
    "Tags": [ {"Key": "Name", "Value" : "tgwa01" } ]
  }
]'

 

 


-- 10. VPN接続の作成【AWS】

aws ec2 create-vpn-connection \
--customer-gateway-id cgw-99999999999999999 \
--type ipsec.1 \
--transit-gateway-id tgw-44444444444444444 \
--tag-specifications 'ResourceType=vpn-connection,Tags=[{Key=Name,Value=vpn01}]' \
--options '{ "EnableAcceleration": true }'


※ '{ "EnableAcceleration": true }'でアクセラレーションの有効化

 


aws ec2 describe-vpn-connections


aws ec2 get-vpn-connection-device-types
aws ec2 get-vpn-connection-device-types | grep -C 5 "Generic"


aws ec2 get-vpn-connection-device-sample-configuration \
--vpn-connection-id vpn-88888888888888888 \
--vpn-connection-device-type-id 9005b6c1 \
--internet-key-exchange-version ikev1 \
--output text

 

-- 11. ピアVPNゲートウェイ作成【GCP】


gcloud compute external-vpn-gateways create pvg11 \
--interfaces 0=192.0.2.2

※ipアドレスはAWS側Tunnel 1の外部IPアドレス

 

gcloud compute external-vpn-gateways list

gcloud compute external-vpn-gateways describe pvg11

 

-- 12. VPNトンネル作成【GCP】

 

gcloud compute vpn-tunnels create tun11 \
--shared-secret=AAdwdGT5grQwjsXXeDkb5r7zpypLnXx3 \
--peer-external-gateway=pvg11 \
--vpn-gateway=vpn11 \
--ike-version=1 \
--interface=0 \
--peer-external-gateway-interface=0 \
--region=us-east5 \
--router=cr11 \
--router-region=us-east5


※shared-secretはAWS側IPSec Tunnel #1のPre-Shared Key

 

gcloud compute vpn-tunnels list

gcloud compute vpn-tunnels describe tun11 \
--region=us-east5

 

-- 13. BGPセッションの構成【GCP】

gcloud compute routers add-interface cr11 \
--interface-name=bgp-interface11 \
--vpn-tunnel=tun11 \
--vpn-tunnel-region=us-east5 \
--ip-address=169.254.189.250 \
--mask-length=30 \
--region=us-east5


※ip-addressはAWS側IPSec Tunnel #1のCustomer GatewayのInside IP Addresses

 


gcloud compute routers add-bgp-peer cr11 \
--interface=bgp-interface11 \
--peer-asn=64512 \
--peer-name=bgp-peer11 \
--advertisement-mode=DEFAULT \
--no-enable-ipv6 \
--peer-ip-address=169.254.189.249 \
--region=us-east5

※peer-ip-addressはAWS側IPSec Tunnel #1のVirtual Private GatewayのInside IP Addresses

 

 


-- 14. BGPステータス確認【AWS】

aws ec2 describe-vpn-connections

 

-- 15. 疎通確認

-- 15.1 GCP(10.1.0.0/24)への経路(ターゲットはTGW)をサブネットのルートテーブルに追加【AWS】

aws ec2 describe-route-tables
aws ec2 describe-route-tables | jq -r '.RouteTables.RouteTableId'

aws ec2 create-route \
--destination-cidr-block 10.1.0.0/24 \
--gateway-id tgw-44444444444444444 \
--route-table-id rtb-33333333333333333

 


-- 15.2 AWS側(10.0.0.0/16)へのルーティングが動的に設定されていることを確認【GCP】

 

 

-- 15.3 インスタンス作成(FW設定含む)【AWS】

aws ec2 run-instances \
--image-id ami-0404778e217f54308 \
--instance-type t3.nano \
--key-name key1 \
--tag-specifications 'ResourceType=instance,Tags=[{Key=Name,Value=instance01}]' \
--subnet-id subnet-55555555555555555 \
--associate-public-ip-address


10.1.0.0/24からのアクセス許可


aws ec2 authorize-security-group-ingress \
--group-id sg-66666666666666666 \
--protocol all \
--port all \
--cidr 10.1.0.0/24 \
--tag-specifications 'ResourceType=security-group-rule,Tags=[{Key=Name,Value=fw01}]' 


0.0.0.0/0からのSSH許可追加

aws ec2 authorize-security-group-ingress \
--group-id sg-66666666666666666 \
--protocol tcp \
--port 22 \
--cidr 0.0.0.0/0 \
--tag-specifications 'ResourceType=security-group-rule,Tags=[{Key=Name,Value=fw02}]' 

 

-- 15.4 インスタンス作成(FW設定含む)【GCP】

 

gcloud iam service-accounts list

gcloud compute instances create instance11 \
--zone=us-east5-a \
--machine-type=e2-micro \
--network-interface=subnet=subnet11 \
--maintenance-policy=MIGRATE \
--provisioning-model=STANDARD \
--service-account=000000000000-compute@developer.gserviceaccount.com \
--scopes=https://www.googleapis.com/auth/devstorage.read_only,https://www.googleapis.com/auth/logging.write,https://www.googleapis.com/auth/monitoring.write,https://www.googleapis.com/auth/servicecontrol,https://www.googleapis.com/auth/service.management.readonly,https://www.googleapis.com/auth/trace.append \
--create-disk=auto-delete=yes,boot=yes,device-name=instance11,image=projects/centos-cloud/global/images/centos-7-v20220621,mode=rw,size=20,type=projects/project01-9999999/zones/us-east5-a/diskTypes/pd-standard \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any


10.0.0.0/24からのアクセス許可

gcloud compute \
firewall-rules create fw11 \
--direction=INGRESS \
--priority=1000 \
--network=vpc11 \
--action=ALLOW \
--rules=all \
--source-ranges=10.0.0.0/24


0.0.0.0/0からのSSH許可追加


gcloud compute \
firewall-rules create fw12 \
--direction=INGRESS \
--priority=1000 \
--network=vpc11 \
--action=ALLOW \
--rules=tcp:22 \
--source-ranges=0.0.0.0/0

 

インスタンスに公開鍵を設定する
ssh-keygen

gcloud compute instances add-metadata instance11 \
--zone=us-east5-a \
--metadata=ssh-keys="testuser:ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDPOfAbh3viQV5z8JtEfb4ruejb7LWI+5PLogAqrlAk4gJd70NTPROj1oIU4c8TDlV4Cb52dPdzjbzIV/KeDPyn03g4g6VWjev9ItJ3mHlP4hmtMujoslG8GaRQ63BSItB+ydX5zWmfDkCmRLbkFqqS2gSi5FlZeJMzl9s16nl73tG0Ge6E+SiIderNRWfViS3L0hX/+siXindfaB8jbMgYIQJ4ZCEhcRCw39LM1ESY7zhAj4BKfhqKoX3llHRZH4DZYvKYEeyHEWMSjVDcZqoOAPRNHgttpY3nx7lGNUcd2gADIe9mpXzAIPhWDLx3pnC9MH1DNAp+roxKbi9S8tih testuser@mmm127"

 

 


-- 15.5 pingで疎通確認【AWS】

ping 10.1.0.2

-- 15.6 pingで疎通確認【GCP】

ping 10.0.0.238


-- 16. 転送速度測定【AWS】

dd if=/dev/zero of=dummy.100M bs=100k count=1024

time scp -i id_rsa dummy.100M testuser@10.1.0.2:/tmp


高速化なしの場合↓

real    0m10.788s
user    0m0.387s
sys     0m0.230s


高速化ありの場合↓

real    0m11.695s
user    0m0.414s
sys     0m0.205s


改善なし。むしろやや悪化した

 

-- 17. クリーンアップ【GCP】

--プロジェクト削除

gcloud projects list

gcloud projects delete project01-9999999


-- 18. クリーンアップ【AWS】


-- インスタンス削除

aws ec2 describe-instances

aws ec2 terminate-instances \
--instance-ids i-77777777777777777

 

-- VPN接続削除


aws ec2 describe-vpn-connections

aws ec2 delete-vpn-connection \
--vpn-connection-id vpn-88888888888888888

 


-- Transit Gatewayアタッチメントの削除

aws ec2 describe-transit-gateway-attachments
aws ec2 describe-transit-gateway-vpc-attachments
aws ec2 describe-transit-gateway-peering-attachments
aws ec2 describe-transit-gateway-route-tables

aws ec2 delete-transit-gateway-vpc-attachment \
--transit-gateway-attachment-id tgw-attach-aaaaaaaaaaaaaaaaa

 

-- Transit Gatewayの削除

aws ec2 describe-transit-gateways

aws ec2 delete-transit-gateway \
--transit-gateway-id tgw-44444444444444444

 

-- カスタマーゲートウェイ削除

aws ec2 describe-customer-gateways

aws ec2 delete-customer-gateway \
--customer-gateway-id cgw-99999999999999999

 

-- インターネットゲートウェイ削除(VPCからデタッチしてから)

aws ec2 describe-internet-gateways
aws ec2 describe-internet-gateways | jq -r '.InternetGateways.InternetGatewayId'

aws ec2 detach-internet-gateway \
--internet-gateway-id igw-22222222222222222 \
--vpc-id vpc-11111111111111111

aws ec2 delete-internet-gateway \
--internet-gateway-id igw-22222222222222222


-- サブネット削除


aws ec2 describe-subnets
aws ec2 describe-subnets | jq -r '.Subnets.SubnetId'

 

aws ec2  delete-subnet \
--subnet-id subnet-55555555555555555

 

-- VPC削除

aws ec2  delete-vpc \
--vpc-id vpc-11111111111111111

aws ec2 describe-vpcs
aws ec2 describe-vpcs | jq -r '.Vpcs.VpcId'