ANS-C01 練習問題 12

ある企業の AWS 環境には、Transit Gateway で接続された複数の VPC が含まれています。企業は、オンプレミスネットワークと AWS 環境の間の接続を確立するために AWS Site-to-Site VPN を使用することを決定しました。 企業のオンプレミスネットワークには静的なパブリック IP アドレスがありません。ネットワークエンジニアは、AWS 環境からオンプレミスネットワークへのトラフィックについて、AWS 側から VPN 接続を開始するソリューションを実装する必要があります。 Transit Gateway とオンプレミスネットワークの間で VPN 接続を確立するために、ネットワークエンジニアが取るべき手順の組み合わせはどれですか?(3 つ選択)

【正解】B、C、F

【0からの解説】
通常の Site-to-Site VPN では、カスタマーゲートウェイ(オンプレミス側ルーター)に 静的なパブリック IP を指定し、AWS 側はその IP に向けてトンネルを確立します。しかし本問ではオンプレミスに静的パブリック IP がありません。この場合、AWS は「証明書ベースの認証」と「IP アドレスを指定しないカスタマーゲートウェイ」を使う構成をサポートしており、これにより AWS 側からトンネルを開始(initiate)できます。

必要な 3 要素は次の通りです。
・B(IKEv2): 静的 IP を持たないカスタマーゲートウェイ(証明書ベース認証)は IKEv2 を必須とします。IKEv1 では対応できません。
・C(プライベート CA の証明書): 事前共有キー(PSK)の代わりに、AWS Private Certificate Authority のプライベート CA で発行した証明書を相互認証に使用します。AWS Certificate Manager 経由でカスタマーゲートウェイにこの証明書を関連付けます。
・F(IP を指定しないカスタマーゲートウェイ): オンプレミスの IP が動的/不定なので、カスタマーゲートウェイ作成時に IP アドレスを指定しません。これにより AWS は相手 IP に縛られず、証明書 ARN によって相手を識別してトンネルを確立できます。

【誤りの選択肢】
A：IKEv1 は、静的 IP を持たない(証明書ベース)カスタマーゲートウェイ構成をサポートしないため誤り。IKEv2 が必須。
D：AWS Private Certificate Authority で作成するのはプライベート CA であり、「パブリック CA」という指定は誤り(本ユースケースではプライベート CA 証明書を使う)。
E：「現在の動的 IP アドレスを指定する」と固定 IP を前提とした構成になり、IP が変わると接続が破綻する。動的 IP のケースでは IP を指定しない構成にすべきで誤り。

【参考】
証明書ベース認証の Site-to-Site VPN(IP を指定しないカスタマーゲートウェイ)
Site-to-Site VPN のトンネル認証オプション(プライベート証明書)