発生する固定費について補足1_VPCルートテーブルでNFWエンドポイントをターゲットに指定する際の表記方法について補足2_スタック削除時にNFWルールグループが削除できないエラーが発生した場合の対処方法について感想CR課の前田です。Firewall関連の記事になります。Gateway(以降、TGWと表記)で複数の被検査VPCが接続される環境を作成する機会がありました。同様の環境を再現して色々と検証をしていたのですが、下記の点に課題を抱えていました。環境の構成が複雑で作成に時間がかかる検査用VPCに被検査VPCの通信をルーティングするためには、VPC内部ルートテーブルやTGWルートテーブルを細かく設定する必要があり時間をとられます。高額な利用料金が発生するため検証環境を維持できないNFWエンドポイントやTGWアタッチメントには高額な固定費が発生します。そのため検証したらすぐ削除し、また検証したいことが発生したら時間をかけて作成...ということをしなければなりませんでした。上記の課題を解決するためにCloudFormationテンプレートを作成したので、同じような課題を抱えている方向けに役立てたらと思い記事にしました。Gistに記載しています。...検査用VPCです。被検査VPCが被検査VPC内部以外と通信を行う場合は必ずこのVPCのNFWを通るようにルーティング設定を施しています。Gatewayも集約しています。vpc-Spoke1、vpc-Spoke2...被検査VPCです。vpc-Spoke2へ向かう通信・インターネットへ向かう通信)は必ず検査用VPCのNFWを通ります。各VPCには検証用EC2とセッションマネージャ用VPCエンドポイントを配置しており、セッションマネージャでログインすることが出来ます。※CloudFormationテンプレートにて、各VPC/サブネットCIDRには10.0.X.0/XXを採番していますが、ご自身のAWSアカウントの既存VPC/サブネットCIDRと重複している場合はパラメータ指定画面にて別のCIDRをご指定下さい。Firewall設定デフォルトでは通信を拒否。特定の通信のみルールで評価し、アラートログを出力した上で許可する方式を取っています。検査ルールには「被検査VPC同士の通信の許可&アラートログを出力するルール」「被検査VPCからインターネットへの通信の許可&アラートログを出力するルール」と大きく分けて2つ設定しています。(個人的な理由で申し訳ございませんが、私が検証していた時に2つに分かれていた方が都合が良かったため、今回もこのように設定しています。)上記設定を反映すると下図のようなフローで検査が行われます。発生する固定費について2024年6月時点のAWS価格設定では約$1.1/時間の固定費が発生しますので、検証後は速やかにCloudFormationスタックの削除を行うことをお勧めします。AttachmentはENI単位ではなくアタッチメント単位で課金が発生します。Gateway1個の料金は相殺されるため$0です。1.1048補足1_VPCルートテーブルでNFWエンドポイントをターゲットに指定する際の表記方法について下記のようにVPCルートテーブルでNFWエンドポイントをターゲットに指定する際、何やら複雑な指定方法をしていますがこの理由について補足いたします。]2024年6月現在、Fn::GetAttで複数のAZに存在するNFWエンドポイントを指定してもAZ順でソートされたものが返りません。そのため、例えばap-northeast-1a用のルートテーブルでap-northeast-1cに存在するNFWエンドポイントをターゲットに指定してしまい、上手く検査できなくなってしまうことが起こり得ます。Kallberg氏のブログ記事記載の解決策を流用させていただきました。補足2_スタック削除時にNFWルールグループが削除できないエラーが発生した場合の対処方法についてCloudFormationスタック削除時、NFWルールグループ「InternetEgressStatefulRuleGroup」と「InternalStatefulRuleGroup」が使用中のため削除できない旨のエラーが発生してスタック削除が失敗することがあります。その時は、しばらく間を置いてから再びスタック削除操作を行えば削除に成功します。感想CloudFormationテンプレートは一回作ってしまえば楽ですが、作るまでが大変でなかなか腰が重くなりがちかなと思います。同じような悩みを抱えた方々の一助になれば幸いです。2009-引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。