Transit Gatewayを利用したCloud GatewayとVPCの閉塞ネットワーク接続

Transit Gatewayを利用したCloud GatewayとVPCの閉塞ネットワーク接続 An architecture diagram generated by Archify. Konnect Control Plane · Gateway Service／Route の設定 · Kong Konnect（SaaS・US geo） Konnect Control Plane Gateway Service／Route の設定 Kong 側 TGW アタッチメント · cidr_blocks: 10.1.0.0/24・10.2.0.0/24 · Kong 管理 AWS アカウント（ap-northeast-1） › Cloud Gateway ネットワーク 10.0.0.0/23 Kong 側 TGW アタッチメント cidr_blocks: 10.1.0.0/24・10.2.0.0/24 Dedicated Cloud Gateway · api_access = private · Kong 管理 AWS アカウント（ap-northeast-1） › Cloud Gateway ネットワーク 10.0.0.0/23 Dedicated Cloud Gateway api_access = private Transit Gateway · RAM 共有・自動承認 · 自 AWS アカウント（ap-northeast-1） Transit Gateway RAM 共有・自動承認 Route 53 Private Hosted Zone · gateways.konghq.com → DP の private IP · 自 AWS アカウント（ap-northeast-1） Route 53 Private Hosted Zone gateways.konghq.com → DP の private IP VPC アタッチメント · RT: 10.0.0.0/23 → TGW · 自 AWS アカウント（ap-northeast-1） › test-vpc 10.2.0.0/24 VPC アタッチメント RT: 10.0.0.0/23 → TGW テストタスク（手動実行） · ECS Fargate・curl / Locust · 自 AWS アカウント（ap-northeast-1） › test-vpc 10.2.0.0/24 テストタスク（手動実行） ECS Fargate・curl / Locust VPC アタッチメント · RT: 10.0.0.0/23 → TGW · 自 AWS アカウント（ap-northeast-1） › app-vpc 10.1.0.0/24 VPC アタッチメント RT: 10.0.0.0/23 → TGW 内部 ALB · HTTP :80・internal · 自 AWS アカウント（ap-northeast-1） › app-vpc 10.1.0.0/24 内部 ALB HTTP :80・internal httpbin · ECS Fargate :80 · 自 AWS アカウント（ap-northeast-1） › app-vpc 10.1.0.0/24 httpbin ECS Fargate :80 アタッチ アタッチ アタッチ（Kong 作成） 設定の配信 ① 名前解決 ② HTTPS /echo（TGW 経由） ③ HTTP :80 /anything（TGW 経由） ④ :80 Kong Konnect（SaaS・US geo） Kong 管理 AWS アカウント（ap-northeast-1） Cloud Gateway ネットワーク 10.0.0.0/23 自 AWS アカウント（ap-northeast-1） test-vpc 10.2.0.0/24 app-vpc 10.1.0.0/24

線の見方

  • • 破線＝アタッチメント（静的な接続。矢印は接続先を示し、通信の向きではない）。太線＝テスト時のrequest。
  • • ②③は必ずTGWとアタッチメントを通る。応答は同じ経路を逆にたどる。

閉塞の範囲

  • • DCGWはapi_access = privateで、Internetからの入口はない。各VPCのNAT経由の外向き通信は省略。
  • • test-vpcとapp-vpcの間に直接のルートはない。

前提

  • • 2段階のapply完了後の状態。
  • • CP–DP間の管理の経路はKongが管理し、TGWは通らない（repoに記載がないため一般知識による）。