AWS VPN Gateway とのBGP 及びVPN 接続

【案件概要】
AWS VPN Gateway とのBGP 及びVPN 接続
【サマリー】
AWS 上に新規システムを構築したが、現状ではシステム操作の手段がAWS マネジメントコンソール(Web ブラウザベースの管理コンソール)経由のみであり、システムの保全性、操作性を考慮すると、別の接続手段を用意したい。既存の別システムで使用している回線/ルータがあるので、これを併用してAWS へBGP 及びVPN による接続を行い、操作環境を整えたい、というのが今回の要件。
なお、AWS 側(AWS VPN Gateway)の設計についてはクライアント側で行うため、既存ルータに対する設定変更のみが作業スコープとなる。また、既存ルータはシングル構成だが、コールドスタンバイの予備機があり、予備機に対する設定変更も合わせて行うこととなった。
【予算感とスケジュール】
スポット対応/10 人日(事前調整、ルータConfig 作成、当日作業)
【エンジニアスキル】
CCNP、ネットワークスペシャリスト資格


本案件は、作業対象が保守拠点のネットワークのみであり、システム自体の稼働に直接影響を与えるものではないため、比較的リスクの低い案件であった。
ただし、接続先となるAWS 側についてはクライアントの設計範囲であり、作業当日の状態確認も即座に行えない環境であることから、疎通の失敗、さらには切り分けも困難な状況となることが懸念される。その上、ルータについても、設計担当者が既にプロジェクトを離任し
ており、長らくメンテナンスされていないことも分かった。
このことから、クライアント側にはあらかじめ「作業当日はトライ&エラーで進めていくこと」、「切り分けの過程でAWS 側設定の不備と判断できた場合は作業を中断し、切り戻しを行うこと」を了承頂いた上で作業にあたった。

作業当日。
ルータの設定変更を完了し、状態確認を実施。しかし接続ができない・・・。
設定変更内容は事前に製品サポートに確認を取っており、問題はないはず。
ルータの状態から、BGP ネイバーが確立できていない模様。ログ出力から真因を探ると、BGPオプション設定(ケイパビリティ)の折衝でエラーが起きていることが分かった。しかし原因が分からない。

切り分けの中で、ソフトウェアのバージョンが著しく古いことが判明。ソフトウェアの不具合である可能性を考え、現行バージョンから最新バージョンのソフトウェア改修内容を追っていくと、ケイパビリティの処理に仕様変更が入っていることが分かった。
ソフトウェアの問題である可能性が高いが、その場でアップデートモジュールを用意することは困難である。どうしたものか考えている中、クライアントとの事前調整の中で、「予備機は本番機より数年遅れで購入している」という会話があったことを思い出す。
予備機のソフトウェアバージョンを確認したところ、比較的新しいバージョンであった。

クライアントに対し、下記について報告、了承を得る。

  • ソフトウェアバージョンが古いことによる接続失敗である可能性が高い
  • この場でのバージョンアップ対応は困難である
  • 予備機が比較的新しいソフトウェアであるため、予備機を本番機に昇格させた上でリトライさせてほしい

予備機を使用した再接続の結果、見事BGP ネイバー確立に成功、無事疎通確認を完了することができた。
結果として、目的は達成できたものの、予備機のソフトウェアバージョンが新しかったことはあくまで偶然であり、事前にバージョン把握ができていなかったことは反省点である。
しかし、トライアンドエラーで進めていくことを事前合意していたため、クライアントへ与える不安感は最小限で済んだこと、柔軟な対応により当日中にリカバリすることで、クライアントの今後の作業スケジュールを阻害せずに済んだことは非常に喜ばしいことだった。
後日、別件でネットワークに関する質問を受けるなど、クライアントとは良好な関係を維持できている。小規模な案件であっても、事前の調整や当日の立ち振る舞いにより信頼関係を築くことは可能であり、これを積み重ねていくことがお客様にとってもクラスアクトにとっても有益となることを改めて実感した。

powered by icons8