これは何？

AWS VPC とオンプレミスネットワーク間のVPN接続であるSite-to-Site VPN接続（サイト間VPN）についてTerraformで構築をしたので、構築手順をご紹介したいと思います。

注意点

  • こちらの記事では動的ルーティングではなく静的ルーティングを利用する場合の構築手順をご紹介します
  • サイト間VPNについてはトンネルに関して細かい設定ができますが、今回はトンネル設定はすべてデフォルトとしました

構成図

構築手順

AWSドキュメントに沿って、下記の手順で作成します。

  • ステップ 1: カスタマーゲートウェイを作成する
  • ステップ 2: ターゲットゲートウェイを作成する
  • ステップ 3: ルーティングを設定する
  • ステップ 4: セキュリティグループを更新する
  • ステップ 5: VPN 接続を作成する
  • ステップ 6: 設定ファイルをダウンロードする
  • ステップ 7: カスタマーゲートウェイデバイスを設定する

Terraformで構築した、ステップ1〜5までの手順について、コード付きで詳細を記載します。

ステップ 1: カスタマーゲートウェイを作成する

オンプレミス側のネットワーク内のゲートウェイである、カスタマーゲートウェイを作成します。
Terraformのaws_customer_gatewayリソースについてはこちら

今回はオンプレ側のASNは65000と指定があったため、bgp_asnは65000で設定しています。

# Customer gateway
resource "aws_customer_gateway" "cgw" {
  bgp_asn    = 65000
  ip_address = var.site-to-site_vpn.onpre_ip_01 //オンプレ側のIPをvariables.tfで定義
  type       = "ipsec.1"
}

なおvariables.tfの、オンプレ側のIP・CIDRは次のように設定しています。

# -----------------------------
# Site-to-Site VPN
# -----------------------------
variable "site-to-site_vpn" {
  type = map(string)
  default = {
    onpre_ip_01   = "XXX.XXX.XXX.XXX" // オンプレ側ルーターのIP。
    onpre_cidr_01 = "YYY.YYY.YYY.YYY/24" // オンプレ側ネットワークCIDR。
  }
}

ステップ 2: ターゲットゲートウェイを作成する

ターゲットゲートウェイは、仮想プライベートゲートウェイまたは Transit Gatewayを使用します。
今回は仮想プライベートゲートウェイ(VGW)を構築します。
Terraformのaws_vpn_gatewayリソースについてはこちら

AWS側のASNは65007を指定しています。

resource "aws_vpn_gateway" "vgw" {
  vpc_id          = aws_vpc.vpc.id
  amazon_side_asn = "65007"
}

ステップ 3: ルーティングを設定する

動的ルーティングを利用する場合は、ルート伝播を有効に設定することで、Site-to-Site VPN ルートを自動的に伝播します。
ルート伝播設定のためのTerraformのaws_vpn_gateway_route_propagationリソースについてはこちら

今回は静的ルーティングでの構築であり、オンプレ側ネットワークCIDRを静的ルートとしてルートテーブルに手動で入力しておけば、ルート伝播を有効にする必要はありません。
今回はルート伝播は無効とし、VPCサブネットのルートテーブルにオンプレ側ネットワークCIDRとVGWとのルートを設定しました。

Terraformのaws_route_tableリソースについてはこちら

resource "aws_route_table" "rt_private" {
  vpc_id = aws_vpc.vpc.id

  route {
    cidr_block     = "0.0.0.0/0"
    nat_gateway_id = aws_nat_gateway.natgw.id
  }

  route {
    cidr_block = var.site-to-site_vpn.onpre_cidr_01 //オンプレ側のIPをvariables.tfで定義
    gateway_id = aws_vpn_gateway.vgw.id //仮想プライベートゲートウェイを指定
  }
}

ステップ 4: セキュリティグループを更新する

オンプレと接続するインスタンスに適用するセキュリティグループに対して、オンプレ用IPアドレスの接続を許可するルールを追加します。
Terraformのaws_security_groupリソースについてはこちら

オンプレ側ネットワークCIDRからの通信について、双方向かつ全ポートに許可しています。

resource "aws_security_group" "instance" {
  name        = "instance-sg"
  vpc_id      = aws_vpc.vpc.id

  ingress {
    description = "local"
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = [var.vpc.cidr]
  }

  ingress {
    description = "Site-to-Site VPN"
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = [
      var.site-to-site_vpn.onpre_cidr_01 //オンプレ側のIPをvariables.tfで定義
    ]
  }

  egress {
    description = "local"
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = [var.vpc.cidr]
  }

  egress {
    description = "Site-to-Site VPN"
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = [
      var.site-to-site_vpn.onpre_cidr_01 //オンプレ側のIPをvariables.tfで定義
    ]
  }
}

ステップ 5: VPN 接続を作成する

オンプレ側CGWとAWS側VGWを接続するためのVPN接続を作成していきます。
Terraformのaws_vpn_connectionリソースについてはこちら
local_ipv4_network_cidrにローカル（オンプレ）側のCIDR、remote_ipv4_network_cidrにリモート（AWS VPC）側のCIDRを設定しています。
今回は静的ルーティングのため、static_routes_onlyをtrueに設定しています。

# Site-to-site connection
resource "aws_vpn_connection" "vpnc" {
  vpn_gateway_id           = aws_vpn_gateway.vgw.id
  customer_gateway_id      = aws_customer_gateway.cgw.id
  local_ipv4_network_cidr  = var.site-to-site_vpn.onpre_cidr_01
  remote_ipv4_network_cidr = var.vpc.cidr
  static_routes_only       = true
  type                     = "ipsec.1"

}

また、今回は静的ルーティングのため、VPN接続とCGWとの間の静的ルートを別途aws_vpn_connection_routeで設定します。
Terraformのaws_vpn_connection_routeについてはこちら

resource "aws_vpn_connection_route" "onpre" {
  destination_cidr_block = var.site-to-site_vpn.onpre_cidr_01
  vpn_connection_id      = aws_vpn_connection.vpnc.id
}

構築結果

マネジメントコンソールから、Terraformで設定した通りに構築されていることを確認しました。

終わりに

今回はサイト間VPNをTerraformで構築する手順についてご紹介しました。
構築される際の参考になれば幸いです。