Transit Gateway で Direct Connect と VPN フェールオーバーを設定するにはどうすればよいですか？

解決方法

1. トランジットゲートウェイを作成します。

2. Amazon Virtual Private Cloud (Amazon VPC) をトランジットゲートウェイにアタッチします。

3. AWS Site-to-Site VPN を作成して、トランジットゲートウェイにアタッチします。
   **注:**静的 VPN を使用する場合は、定義した静的ルートが BGP の伝播ルートよりも限定的ではない CIDR を使用するようにしてください。同じ CIDR を使用するルートのルート評価順序に従い、Transit Gateway は BGP で伝播されるルートよりも静的ルートを優先します。

4. Direct Connect ゲートウェイをトランジットゲートウェイにアタッチします。また、Amazon VPC CIDR 範囲を、各 Amazon VPC アタッチメントの Direct Connect ゲートウェイで許可されるプレフィックスインタラクションに追加する必要があります。プレフィックスを追加すると、トランジット仮想インターフェイスを介してリモート側にアドバタイズされます。
   **注:**トランジット仮想インターフェイスでは、トランジットゲートウェイごとに最大 200 個のプレフィックスを AWS からオンプレミスにアドバタイズできます。200 を超える CIDR プレフィックスをアドバタイズするには、Service Quotas に従って 200 CIDR プレフィックス以下になるルートをまとめてください。ルートをまとめたら、許可されているプレフィックスインタラクションセクションに追加します。詳細については、「AWS Direct Connect のクォータ」を参照してください。

5. (オプション) AWS VPN Transit Gateway 関連のルートテーブルからアドバタイズされる VPC CIDR は、トランジット仮想インターフェイスでアドバタイズされる CIDR よりも具体的です。これにより、カスタマーゲートウェイは AWS Direct Connect 接続よりも VPN を優先することになるため、非対称ルーティングが発生する可能性があります。この問題を解決するには、次のステップを実行してください。
   注:「Direct Connect ゲートウェイで許可されるプレフィックス」フィールドで Amazon VPC CIDR の要約ルートを作成すると、オンプレミスへの AWS VPN は Amazon VPC CIDR をアドバタイズします。

6. Direct Connect ゲートウェイに関連付けられている要約ルートを、Transit Gateway のルートテーブルに関連付けられている VPN アタッチメントに追加してください。ルートテーブルのターゲットアタッチメントには、CIDR を持つ Amazon VPC を選択します。CIDR は、Site-to-Site VPN アタッチメントの Transit Gateway ルートテーブルへの集約されたルートの一部である必要があります。集約されたルートと特定のルートの両方を Site-to-Site VPN 経由でアドバタイズする必要があります。

7. VPN カスタマーゲートウェイから、サイト間 VPN 上でより具体的な CIDR プレフィックスをアドバタイズするルートを除外してください。カスタマーゲートウェイには、両方の接続で同じ集約されたルートが必要です。ゲートウェイは AWS Direct Connect 接続を優先します。

8. Transit Gateway のルートテーブルを作成し、すべてのアタッチメントのルート伝播を有効にします。
   **注:**Direct Connect トランジット仮想インターフェイスと Site-to-Site VPN の BGP セッションに同じプレフィックスのセットをアドバタイズします。

9. Amazon VPC コンソールを開きます。

10. ナビゲーションペインから、[Transit Gateways] を選択します。

11. トランジットゲートウェイの [デフォルト関連付けルートテーブル] 設定が False に設定されているかどうかを確認します。設定が True の場合は、次の手順に進みます。

12. [Transit Gateway ルートテーブル] を選択します。

13. [Transit Gateway ルートテーブルを作成] を選択します。

14. **[名前タグ]**に「Route Table A」と入力します。

15. [Transit Gateway ID] で、トランジットゲートウェイの Transit Gateway ID を選択します。

16. [Transit Gateway ルートテーブルを作成] を選択します。

17. [Route Table A] (またはトランジットゲートウェイのデフォルトルートテーブル) を選択し、[関連付け] を選択します。

18. 次に、[関連付けを作成] を選択します。

19. [関連付けるアタッチメントを選択] で、Amazon VPC の関連付け ID を選択し、[関連付けの作成] を選択します。Direct Connect ゲートウェイ、VPN、Amazon VPC のすべてが [関連付け] の下に表示されるまで、このステップを繰り返します。

20. [ルートテーブルの伝播] を選択します。

21. [伝播] を選択します。[伝播するアタッチメントを選択] で、Direct Connect ゲートウェイ、VPN、Amazon VPC を選択します。

22. Amazon VPC とアタッチメントサブネットに関連付けられているルートテーブルを設定します。

23. Amazon VPC コンソールを開きます。

24. ナビゲーションペインから、[ルートテーブル] を選択します。

25. アタッチメントサブネットにアタッチされているルートテーブルを選択します。

26. [ルート] タブを選択し、[ルートの編集] を選択します。

27. [ルートを追加] タブを選択します。

28. [宛先] には、オンプレミスネットワークのサブネットを選択します。

29. [ターゲット] で、トランジットゲートウェイを選択します。

30. [ルートを保存] を選択します。

注:****ルーティング更新イベントをよりよく把握するには、Transit Gateway Network Manager を有効にするのがベストプラクティスです。詳しくは、「ルーティング更新イベント」を参照してください。

8. 環境の冗長性をテストするには、Direct Connect Failover Test を使用して Direct Connect 接続をオフにします。詳細については、「Resiliency Toolkit による AWS Direct Connect Resiliency のテスト – フェイルオーバーテスト」を参照してください。

関連情報

AWS Transit Gateway へのハイブリッド接続