シナリオ1：VPNゲートウェイと仮想サーバーインスタンスが同じサブネットにある

このシナリオでは、VPNゲートウェイと仮想サーバ・インスタンスの両方がVPCの同じサブネット内に存在し、共有NACLによって保護されます。 このセットアップでは、両方のリソースに一貫したルールを適用することで、ネットワーク制御を簡素化することができる。

これらの手順は、以下の図に示すように、共有NACLサブネット・ペアを通るパケット・フローを記述する。

1. 暗号化されたトラフィックは、オンプレミス（ピア）ゲートウェイと共有サブネットの間を流れ、暗号化されたドメイン（オンプレミスプライベートCIDR、VPC CIDR）の一部である双方のIP範囲をカバーします。
2. パケットはVPC VPNゲートウェイに到達した後、復号化され、同じサブネット内の仮想サーバー・インスタンスに転送される。
3. オンプレミス・ネットワークへのレスポンス・パケットはVPNゲートウェイに戻る。
4. 最後に、パケットは暗号化され、共有サブネットからオンプレミス・ゲートウェイに返される。

VPNゲートウェイと仮想サーバーインスタンスが共有サブネットにあり、共有NACLを作成する場合、オンプレミスのゲートウェイと共有サブネットのNACLペア間の双方向トラフィックフローのために、以下のルールを追加する必要があります。 詳しくは、ネットワーク ACL のセットアップを参照してください。

1. 表の最初のインバウンドルールとアウトバウンドルールのペアは、管理トラフィックを許可する。 このトラフィックは、オンプレミス・ゲートウェイとVPNゲートウェイ間のVPN接続の確立と維持にIKEとIPsecプロトコルを使用します。
2. 2つ目のインバウンド・ルールとアウトバウンド・ルールのペアはVPNトンネルのトラフィックを許可し、確立されたVPNトンネルを通してオンプレミス・ネットワークとVPC CIDRの間を流れます。
3. オプション：最後のインバウンドルールは、到達性チェックやトラブルシューティングのためにVPNゲートウェイやVPC仮想サーバーインスタンスにpingを打つなど、接続性テストのためのトラフィックを許可します。

例えば、次の表は、インバウンドルールとアウトバウンドルールのソースIPアドレスとデスティネーションIPアドレスを示している。 この例では、VPN ゲートウェイと仮想サーバーインスタンスの両方が共有サブネット CIDR 10.240.0.0/24 にあります。 VPNゲートウェイのCIDR IPアドレスは 10.240.0.4/32。

シナリオ2：VPNゲートウェイと仮想サーバーインスタンスが同じVPC内の異なるサブネットにある

このシナリオでは、VPNゲートウェイと仮想サーバー・インスタンスは同じVPC内の異なるサブネットに存在し、両者間のトラフィックを管理するために共有NACLが適用されます。 このコンフィギュレーションでは、サブネット間のトラフィックのルーティングを考慮する必要がある。

これらのステップは、以下の図に示すように、共有NACLと異なるサブネットを通過するパケット・フローを記述する。

1. 暗号化されたトラフィックは、オンプレミス（ピア）ゲートウェイとVPNゲートウェイのサブネット間を流れ、暗号化されたドメイン（オンプレミスプライベートCIDR、VPC CIDR）の一部である双方のIP範囲をカバーします。
2. パケットはVPC VPNゲートウェイに到達した後、復号化され、VPNサブネットからVPC仮想サーバーサブネットに転送されます。
3. オンプレミス・ネットワークへのレスポンス・パケットは、VPNサブネットに戻る。
4. 最後に、パケットは暗号化され、VPNサブネットからオンプレミス・ゲートウェイに返される。

VPNゲートウェイと仮想サーバーインスタンスが異なるサブネットにあり、共有NACLを作成する場合、オンプレミス・ゲートウェイと異なるサブネット間の双方向トラフィックフローのために、以下のルールを追加する必要があります。

例えば、次の表は、インバウンドルールとアウトバウンドルールのソースIPアドレスとデスティネーションIPアドレスを示している。 こ の例では、VPN ゲー ト ウ ェ イ はサブネ ッ ト CIDR 10.240.0.0/24 、仮想サーバ・インスタンスはサブネッ ト CIDR 10.240.2.0/24。

シナリオ1：VPNゲートウェイと仮想サーバーインスタンスが異なるサブネットにあり、別々のNACLを使用している場合

VPNゲートウェイと仮想サーバーインスタンスが異なるサブネットにあり、VPNゲートウェイのサブネットに接続されたNACLと仮想サーバーのサブネットに接続されたNACLの2つのNACLを作成する場合、オンプレミスのゲートウェイと異なるサブネット間のトラフィックフローのために以下のルールを追加する必要があります。

暗号化されたトラフィックは、オンプレミスのゲートウェイとVPNゲートウェイのサブネット間を流れ、暗号化されたドメイン内のオンプレミスとVPCの両方のIP範囲をカバーします。 パケットはVPC VPNゲートウェイに到達した後、復号化されてVPC仮想サーバー・サブネットに転送されます。 レスポンス・パケットはその後、VPNサブネットを経由して送り返され、そこで再び暗号化されてオンプレミス・ゲートウェイに戻される。

シナリオ2：異なるVPC内のVPNゲートウェイと仮想サーバーインスタンスがトランジットゲートウェイを介して接続されている場合

このシナリオでは、VPNゲートウェイと仮想サーバーインスタンスは、トランジットゲートウェイで接続された異なるVPC内の異なるサブネットに存在します。 このコンフィギュレーションでは、前述のシナリオと同じ手順で、異なるVPCのサブネットを通じてパケットを転送する。

1. 暗号化されたトラフィックは、オンプレミス・ゲートウェイとVPNゲートウェイのサブネット間を流れます。
2. パケットはVPC VPNゲートウェイに到達した後、復号化されてVPC仮想サーバー・サブネットに転送されます。
3. レスポンス・パケットはその後、VPNサブネットを経由して送り返され、そこで再び暗号化されてオンプレミス・ゲートウェイに戻される。
4. Transit Gateway 2つのVPCを相互接続し、VPC間でパケットを転送する役割を担う。

VPNゲートウェイと仮想サーバーインスタンスが、異なるサブネットと異なるNACLを持つ異なるVPCにある場合、オンプレミスのゲートウェイと異なるVPCのサブネット間のトラフィックフローについて、以下のルールを追加する必要があります。