第14回JAWS-UG札幌勉強会の発表資料

1. 2015/2/26 Kazunori Inaba
2015.2.26
第14回 JAWS-UG札幌 勉強会
Windows Server + VPNのAWS移行事例
稲葉 一紀＠札幌
1

2. 2015/2/26 Kazunori Inaba
稲葉 一紀 (Kazunori Inaba)
サーバーインフラ専門のフリーランスエンジニア＠札幌
屋号：稲葉サーバーデザイン
http://inaba-serverdesign.jp/
おもにアプリ開発企業・エンジニア向けに
セキュリティ・可用性・性能・拡張性を考慮した
ちょっと気の利いた
サーバーインフラ構成設計・設定・や既存システムの性能改善調査・支援
を行います。
2
自己紹介(1)

3. 自己紹介(2)
2015/2/26 Kazunori Inaba
IaaSクラウドの比較調査など
• IaaSクラウド比較'14
http://www.slideshare.net/kazunoriinaba/20140411-iaascloud
• NAVERまとめ【クラウドサーバーサービス(IaaS)比較まとめ】
http://matome.naver.jp/odai/2141128309524837601
3

4. 2015/2/26 Kazunori Inaba
• 札幌ライブ情報 公開中
http://seesaawiki.jp/w/sapporo_rock_live/
明日の札幌で
やるライブ
4
自己紹介(3)

5. はじめに
2015/2/26 Kazunori Inaba
• オンプレミスのWindows Server + VPN環境をAWSに移行した事例をご紹介しま
す。
• スライドは後日SlideShareにアップします。
http://www.slideshare.net/kazunoriinaba/
5

6. 移行前の構成（オンプレミス）
2015/2/26 Kazunori Inaba 6
• 商品取引システム
• データセンターにWindows Server 1台
• IIS + Webアプリケーション + SQL Server

7. 移行前の構成（オンプレミス）
2015/2/26 Kazunori Inaba 7
• お客様拠点とデータセンターはVPN Site-to-Site接続
インターネットにアクセスできないクローズドネットワーク環境

8. 移行前の問題
2015/2/26 Kazunori Inaba
• プレスリリースに伴うアクセス増に耐えられない（かも）。
• サーバーが1台で冗長性がない。
⇒ AWSに移行したい！
8

9. 移行後の構成（AWS）
2015/2/26 Kazunori Inaba 9
• WebサーバーはELB + EC2 x 2台で冗長化。

10. 移行後の構成（AWS）
2015/2/26 Kazunori Inaba 10
• DBはRDS for SQL Serverを使用。
• 東京リージョンではSQL Serverの
Multi-AZは非対応なのでシングル構
成。

11. 移行後の構成（AWS）
2015/2/26 Kazunori Inaba 11
• 画像はS3から配信してWebサーバーへの
アクセス負荷を軽減。

12. 移行後の構成（AWS）
2015/2/26 Kazunori Inaba 12
• お客様本社とAWS VPCをVPN接続。

13. 移行後の構成（AWS）補足
2015/2/26 Kazunori Inaba
• Webサーバーのバックアップは、クラスメソッド製「ソンナコトモアロウカト」を
使用。
• Developers.IO 1クリックで毎日スナップショットを自動取得 ソンナコトモアロウカト編
http://dev.classmethod.jp/cloud/aws/aws-cfn-advent-calendar-2013-snapshot/
• お客様本社とAWS VPCをVPN接続。
• 営業所からはNTT Com. VPNで本社を経由してAWSにアクセスできるので、すべての拠点と
AWSをVPN接続する必要はない。
13

14. 新たに用意したもの・依頼したこと
2015/2/26 Kazunori Inaba
• AWSアカウントとAWSサーバー環境
• お客様環境とAWS VPCをVPN接続するための機器・回線
• お客様社内に設置するVPNルーター Yamaha RTX1200
• お客様インターネット接続環境（フレッツ光など）
• お客様インターネット接続プロバイダ＋固定IPアドレス
• お客様環境 NTT Com. VPNルーターの設定変更
• Static Routingの追加
Dst: AWS側 172.16.0.0/16 → GW: Customer Gateway 192.168.1.250
14

15. VPN接続設定
2015/2/26 Kazunori Inaba
• AWS VPC Connectionの設定
• AWS Management Consoleのウィザードに従って設定。
• Route Tableの追加
• Dst: お客様ネットワーク 192.168.0.0/16 → GW: Virtual Private Gateway
• ルータ機種を指定してルータ機器に合わせたConfigをダウンロードできる。
→必要に応じて変更し、ルーターに適用する。
• VPN接続は、AWS Documentほかネット上に多くの情報があるので難しくない。
• ルータ実機がない場合は、さくらのクラウドやIDCFクラウドなどのソフトウェアルーターVyOS
と接続して実験することも可能。
15

16. 発覚した問題(1) – RDSの名前解決
2015/2/26 Kazunori Inaba
「お客様営業所PCのWindowsアプリからDBにアクセスできない」
16
■原因
• クローズドネットワーク環境
でDNSキャッシュサーバーに
アクセスできない
→RDS Endpointの名前解決
ができなかった。
xxx.ap-northeast-
1.rds.amazonaws.com
→ 172.16.9.x

17. 発覚した問題(1) – RDSの名前解決
2015/2/26 Kazunori Inaba
「お客様営業所PCのWindowsアプリからDBにアクセスできない」
17
■対処
• AWS VPC内にAmazon Linux
DNS キ ャ ッ シ ュ サ ー バ ー
(bind)を用意した。
• お客様営業所PCで、このDNSサー
バーを参照するよう設定。
• 冗長化のため2台用意。
• t2.micro x 2台で、月4,000円程
度。
※ お 客 様 本 社 ル ー タ ー
(192.168.1.250)をDNSサーバーと
して指定すればうまくいったかも。

18. 発覚した問題(2) – Windows Serverの不具合
2015/2/26 Kazunori Inaba
納品から3か月後、、、
「サーバーのうち1台をWindow Update後、再起動をかけたら起動しなくなった」
→サーバーは起動しているが「Instance Status Checks」がエラーの状態。
ネットワークが疎通していないもよう。
※Webサーバー2台で冗長化していたので、幸いにも商品取引システムはダウンしなかった。
18

19. 発覚した問題(2) – Windows Serverの不具合
2015/2/26 Kazunori Inaba
「Window Update後、再起動をかけたら起動しなくなった」
■原因
• EC2 Windows Server 2014 R2の不具合
Amazon EC2 インスタンス上で Windows Server 2012 R2 をご利用のお客様へ重要なご案内
http://aws.amazon.com/jp/windows/2012r2-network-drivers/
「2014/9/10より前に作成された Windows Server 2012 R2 AMIを使用した
インスタンスでは、EC2ネットワークドライバが無効化され、インスタンスを
再起動後にネットワーク接続が失われます。」
19

20. 発覚した問題(2) – Windows Serverの不具合
2015/2/26 Kazunori Inaba
「Window Update後、再起動をかけたら起動しなくなった」
■対処
• バックアップ（スナップショット）からの復旧
→ NG
このスナップショットはネットワークドライバが無効化されたサーバーのものなので、やはり
ネットワークが不通。
• 新しいWindows Server 2012 R2インスタンスを作成し、元のサーバーボリューム
をマウントしてデータを復旧。
• 残り1台のサーバーは、AWSが用意した不具合解消スクリプトで対処した。
※ 2014/9/10以前のWindows Server 2012 R2 AMIを使用したEC2インスタン
スで運用している方は注意してください！！
20

21. 発覚した問題(2) – Windows Serverの不具合
2015/2/26 Kazunori Inaba
（参考）
• Windows Serverのスナップショットからのリカバリー方法
• Windows ServerはスナップショットからAMIを作成できないことに注意。
• スナップショットからEBSボリュームを作成。
→新しいインスタンスを作成してから、EBSボリュームを付け替える。
• AWS Windows Serverのバックアップ自動化とリカバリー
http://inaba-serverdesign.jp/blog/20140326/aws_windows_server_backup.html
21

22. まとめ(1)
2015/2/26 Kazunori Inaba
• オンプレミスのWindows Server + VPN環境をAWSに移行した事例をご紹介しま
した。
• お客様拠点間接続で既にVPNサービスを利用していれば、それもうまく流用して複
数拠点からAWSへのVPNアクセスが実現できる。
• RDS Endpointの名前解決のため、DNSキャッシュサーバーが必要。
• EC2 Windows Server 2012 R2の不具合に注意。
• クラウドに移行してオンプレミス時と同じOS、同じバージョンのサーバーを用意しても、AWS
（やクラウドサービス各社特有）の問題はあり得る。
22

23. まとめ(2)
2015/2/26 Kazunori Inaba
• 設計、仕様については、AWSに問い合わせると担当の方が相談にのってくれる（は
ず）。
• 今回、ネットワーク構成やRDS Endpointの名前解決について、アドバイスをいただいた。
• AWSアカウント作成時に連絡が来ることもあるので、コネクションを作っておくとよい。
• 迅速な障害対応などは、AWSサポート契約が必要。
23