SOLG System Blog

最近では、WebホスティングにAmazon Web Service(以下AWS)の採用はある意味定番の域に達してきた感があります。
弊社でもいくつかのサーバーはAWSを利用して運用しています。

このAWS、使い方を間違えると
・性能の割に結構高い
・よく分からない用語ばかりがある
・俺はホームページを公開したいだけなんだ
といった感じで、あんまりな状態になります。

AWSは利用時間による従量制のため、24時間フルタイムで使っていると、他の会社のホスティングサービスのほうがお値打ちになります。

例えば
某社のメモリ1GBプランは896円です。
http://www.onamae-server.com/vps/

それと同レベルのAWSのプラン(m1.small)は1時間の利用で0.044ドルですので1日1.056ドル
一ヶ月で32.736ドルです。
つまり、約3,300円です。
http://aws.amazon.com/jp/ec2/pricing/

つまりAWSは、通常のホスティングサーバのサービスではなく、AWSの良さはそこにはないんです。

AWSの良さは
1.瞬間的にすごくたくさんのコンピュータで計算できる
　(時間単位の支払いだからね)
2.簡単に保守性の高いサーバを構成できる
　(バックアップ機能からロードバランサまで一式揃っているからね)
という点です。

つまり、今までは大手のSIer以外は、実現できなかった大規模構成のマシンを、簡単に少額で実現できる点にあります。
(まぁ、AWSを知っている人ならば当たり前の当たり前のことですけどね。)

で、今回は2.の「簡単に保守性の高いサーバを構成できる」って、メリットを活かして、業務の改善を行ったわけです。

弊社は静岡、浜松、沼津の三拠点があり、それぞれをVPNで社内LAN接続しています。
この社内LANにはドメインコントローラーや共有サーバ、売上管理システム等があり、どの拠点にいても同じデータが見れます。
しかし、これらのサーバ・システムは静岡本社の社内ネットワークに物理的に配置されているため、物理的な故障等のリスクが常にあります。
そこでこれらのサーバ・システムを仮想化して、保守性の高いクラウドに再配置しようと考えたわけです。

ちなみにウチは開発中心なので、サーバ管理はそこまで専門じゃないはずなので、外部のパートナーさんにお願いしようとしたのですが、某システムの保証期限という時間的な制約のため、半泣きになってやったわけです。（泣）

AWSにはVPCというサービスが有り、これはAWS内に仮想的なローカルネットワークを作るサービスです。
つまり、インターネット公開されていない、特別なネットワークを作ることができるわけです。

なんのメリットが有るの?と、言われれば、例えば先程の1.の「瞬間的にすごくたくさんのコンピュータで計算できる」は、インターネット公開する必要はないわけで、むしろ、公開されてしまっては困るわけです。また、データベースだけは公開したくない。という要望もあるわけです。

今回の要求ではこの仮想的なローカルネットワークを構築し、ここへ弊社のサーバ・システムを移設し、弊社の社内LANへ接続するという野望なわけです。

まずはVPCのセットアップ画面で「Start VPC wizard」を選択します。


今回の要件では一番下の「VPC with aPrivate Subnet Only and Hardware VPN Access」を選択します。
※これが標準のウイザードで用意されているのがすごい!!


次はVPC nameを任意で入れて、あとは基本そのままでよいです。


ここではCustomer Gateway IPにこちらのルーターのグローバルIPをセットします。
Routing TypeはBGPが使えるならば、BGPをセットしましょう。


で「CreateVPC」ボタンを押せば、AWS側では用意完了です。
途中でFWの設定がありますが、これはとりあえず、RDP(リモートデスクトップ)とSSH(22)のみ通しておきます。
しばらく待つとイイ感じの設定でVPCと一連の設定を作ってくれます。

次は社内のルーターの設定をいじります
VPN connectionsから当該の設定を選択し、「Download Configuration」を押すと、ルーターに設定するファイルをダウンロードできます。


こんな感じで親切設定がダウンロードできます。

# Amazon Web Services

# Virtual Private Cloud



# AWS utilizes unique identifiers to manage the configuration of 

# a VPN Connection. Each VPN Connection is assigned an identifier and is 

# associated with two other identifiers, namely the 

# Customer Gateway Identifier and Virtual Private Gateway Identifier.

#

# Your VPN Connection ID  		    : vpn-xxxx

# Your Virtual Private Gateway ID           : vgw-xxxx

# Your Customer Gateway ID 		    : cgw-xxxxx

#

#

# This configuration consists of two tunnels. Both tunnels must be 

# configured on your Customer Gateway.

#

# --------------------------------------------------------------------------------

# IPSec Tunnel #1

# --------------------------------------------------------------------------------





# #1: Internet Key Exchange (IKE) Configuration

#

# A policy is established for the supported ISAKMP encryption, 

# authentication, Diffie-Hellman, lifetime, and key parameters.

#

      tunnel select 1 

	ipsec ike encryption 1 aes-cbc

	ipsec ike group 1 modp1024

	ipsec ike hash 1 sha



# This line stores the Pre Shared Key used to authenticate the 

# tunnel endpoints.

#

でも、当社の場合、すでに各拠点でVPNを設定済みなので
これでは問題があります。
よってこの設定を別のtunnel番号で書き直します。

例えば、こんなかんじです。

      tunnel select 3 

 description tunnel Amazon-GW

	ipsec ike encryption 3 aes-cbc

	ipsec ike group 3 modp1024

	ipsec ike hash 3 sha



       ipsec ike pre-shared-key 3 text パスワード → ダウンロードデータのまま



        ipsec tunnel 203

        ipsec sa policy 203 3 esp aes-cbc  sha-hmac



     ipsec ike duration ipsec-sa 3 3600

        ipsec ike pfs 3 on



	ipsec tunnel outer df-bit clear



        ipsec ike keepalive use 3 on dpd 10 3



	ipsec ike local address 3 xxx.xxx.xxx.xxx → 社内のGateway IPアドレス

	ipsec ike remote address 3 xxx.xxx.xxx.xxx → ダウンロードデータのまま

	ip tunnel address xxx.xxx.xxx.xxx/30 → ダウンロードデータのまま

	ip tunnel remote address xxx.xxx.xxx.xxx → ダウンロードデータのまま



   ip tunnel tcp mss limit 1387

	tunnel enable 3

	tunnel select none

        ipsec auto refresh on





      tunnel select 4

	ipsec ike encryption 4 aes-cbc

	ipsec ike group 4 modp1024

	ipsec ike hash 4 sha



       ipsec ike pre-shared-key 4 text パスワード → ダウンロードデータのまま



        ipsec tunnel 204

        ipsec sa policy 204 4 esp aes-cbc  sha-hmac



     ipsec ike duration ipsec-sa 4 3600

 description tunnel Amazon-GW2

        ipsec ike pfs 4 on



	ipsec tunnel outer df-bit clear



        ipsec ike keepalive use 4 on dpd 10 3



	ipsec ike local address 4 xxx.xxx.xxx.xxx → 社内のGateway IPアドレス

	ipsec ike remote address 4 xxx.xxx.xxx.xxx → ダウンロードデータのまま

	ip tunnel address xxx.xxx.xxx.xxx/30 → ダウンロードデータのまま

	ip tunnel remote address xxx.xxx.xxx.xxx → ダウンロードデータのまま





   ip tunnel tcp mss limit 1387

	tunnel enable 4

	tunnel select none

        ipsec auto refresh on



ip route 10.0.0.0/16 gateway tunnel 3 keepalive 1 gateway tunnel 4 weight 0



ip keepalive 3 icmp-echo 1 5 xxx.xxx.xxx.xxx → ダウンロードデータのまま







	bgp configure refresh 

当社のルーターは安心の日本製Yamahaのルーターです。
こいつに上記の設定を加えます。

そうすると下記のように接続を確認できます。


さて、t1.microで適当なマシンを作成して疎通を確認します。
ネットワークグループにVPCで作成したグループを指定してインスタンスを作り起動します。
sshが通ってターミナルが見れればOKです。

これでひとまず社内LANは完成しました。

このあと作成した仮想的ローカルネットワークに弊社のサーバ・システムを移設するわけですが、
これが普通の方法ではありませんでした。(泣)

だって、あたりまえだけどAMIないし…

そこで、一度社内で仮想化して、AWSに転送する方法を取りました。
この方法については次回、ご説明したいと思います。

んがんぐ。