Лабораторная работа — ANS-C01 AWS Certified Advanced Networking Specialty

Обзор

Предварительные требования

Шаги

1. 1.Выбираем версию Terraform и регион AWS

   Стандартное начало. Transit Gateway является региональным — все подключения должны находиться в том же регионе, где находится TGW. Для межрегионального подключения вы бы добавили пиринг TGW (выходит за рамки v1). Мы по умолчанию используем us-east-1.

   Копировать

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       aws = {
         source  = "hashicorp/aws"
         version = "~> 5.60"
       }
     }
   }
   
   provider "aws" {
     region = "us-east-1"
   
     default_tags {
       tags = {
         Project   = "certlabpro-ans-c01"
         ManagedBy = "terraform"
       }
     }
   }
   
   data "aws_availability_zones" "available" {
     state = "available"
   }

2. 2.Создаем VPC #1 как двухстековую VPC (IPv4/IPv6)

   Создаваемые ресурсы:

   • Amazon VPC

   ANS-C01 специально тестирует двухстековые VPC — AWS теперь по умолчанию назначает IPv6 /56 каждой новой VPC, если вы установите assign_generated_ipv6_cidr_block = true. Область Network Design экзамена проверяет как математику планирования IPv4 CIDR (неперекрывающиеся /16, если вы хотите выполнить пиринг или подключение TGW), так и вывод подсетей IPv6 (каждая подсеть получает /64, выделенную из /56 VPC).

   Мы назначаем IPv4 10.0.0.0/16 и автоматически сгенерированный AWS IPv6 /56. Единственная подсеть здесь использует блок IPv4 /24 и блок IPv6 /64, выделенный из /56 VPC — cidrsubnet — это встроенная функция Terraform для этой математики. Интернет-шлюз по умолчанию является двухстековым в современных регионах AWS.

   Копировать

   resource "aws_vpc" "primary" {
     cidr_block                       = "10.0.0.0/16"
     assign_generated_ipv6_cidr_block = true
     enable_dns_hostnames             = true
   
     tags = { Name = "certlabpro-ans-c01-primary" }
   }
   
   resource "aws_subnet" "primary_a" {
     vpc_id                          = aws_vpc.primary.id
     cidr_block                      = "10.0.1.0/24"
     ipv6_cidr_block                 = cidrsubnet(aws_vpc.primary.ipv6_cidr_block, 8, 1)
     availability_zone               = data.aws_availability_zones.available.names[0]
     assign_ipv6_address_on_creation = true
   
     tags = { Name = "certlabpro-ans-c01-primary-a" }
   }
   
   resource "aws_internet_gateway" "primary" {
     vpc_id = aws_vpc.primary.id
   }

3. 3.Создаем VPC #2 в неперекрывающемся пространстве CIDR

   Создаваемые ресурсы:

   • Amazon VPC

   Мы создаем вторую VPC с 10.1.0.0/16 — намеренно непересекающуюся с 10.0.0.0/16 VPC #1. ANS-C01 акцентирует внимание на этом правиле проектирования, потому что в тот момент, когда вы хотите соединить две VPC (пиринг, TGW, что угодно), перекрывающиеся CIDR запрещают это на уровне API AWS. Вы не можете маршрутизировать к CIDR, который также заявлен локально.

   VPC #2 также получает свой собственный автоматически сгенерированный AWS IPv6 /56 (каждая VPC получает глобально уникальный блок, поэтому по умолчанию нет риска перекрытия IPv6). Математика выделения подсетей имеет ту же форму, что и в Шаге 2.

   Копировать

   resource "aws_vpc" "secondary" {
     cidr_block                       = "10.1.0.0/16"
     assign_generated_ipv6_cidr_block = true
     enable_dns_hostnames             = true
   
     tags = { Name = "certlabpro-ans-c01-secondary" }
   }
   
   resource "aws_subnet" "secondary_a" {
     vpc_id                          = aws_vpc.secondary.id
     cidr_block                      = "10.1.1.0/24"
     ipv6_cidr_block                 = cidrsubnet(aws_vpc.secondary.ipv6_cidr_block, 8, 1)
     availability_zone               = data.aws_availability_zones.available.names[0]
     assign_ipv6_address_on_creation = true
   
     tags = { Name = "certlabpro-ans-c01-secondary-a" }
   }

4. 4.Развертываем Transit Gateway и подключаем обе VPC

   Создаваемые ресурсы:

   • AWS Transit Gateway

   Transit Gateway — это хаб. Он масштабируется до тысяч подключений VPC, поддерживает совместное использование между учетными записями через AWS Resource Access Manager (RAM) и предоставляет вам единую таблицу маршрутизации для работы вместо N² пиринговых соединений. ANS-C01 тестирует выбор архитектуры "звезда" вместо пиринга VPC всякий раз, когда вопрос упоминает "более трех VPC" или "по мере роста нашей сети".

   Мы создаем TGW с отключенными ассоциацией и распространением таблиц маршрутизации по умолчанию — это более проверяемый шаблон ANS-C01, потому что он заставляет вас быть явными в отношении того, какие подключения заполняют какие таблицы маршрутизации. Автоматическая ассоциация — это настройка для удобства; ручная — для аудита.

   Ресурс-присоединение — это мост для каждой VPC. Когда обе VPC присоединены, TGW знает об их CIDR; нам все еще нужно добавить маршруты из основной таблицы маршрутизации каждой VPC, указывающие на TGW (Шаг 5).

   Копировать

   resource "aws_ec2_transit_gateway" "hub" {
     description                     = "certlabpro-ans-c01 hub"
     default_route_table_association = "disable"
     default_route_table_propagation = "disable"
     multicast_support               = "disable"
   
     tags = { Name = "certlabpro-ans-c01-tgw" }
   }
   
   resource "aws_ec2_transit_gateway_route_table" "main" {
     transit_gateway_id = aws_ec2_transit_gateway.hub.id
   
     tags = { Name = "certlabpro-ans-c01-tgw-rt" }
   }
   
   resource "aws_ec2_transit_gateway_vpc_attachment" "primary" {
     transit_gateway_id = aws_ec2_transit_gateway.hub.id
     vpc_id             = aws_vpc.primary.id
     subnet_ids         = [aws_subnet.primary_a.id]
   
     transit_gateway_default_route_table_association = false
     transit_gateway_default_route_table_propagation = false
   }
   
   resource "aws_ec2_transit_gateway_vpc_attachment" "secondary" {
     transit_gateway_id = aws_ec2_transit_gateway.hub.id
     vpc_id             = aws_vpc.secondary.id
     subnet_ids         = [aws_subnet.secondary_a.id]
   
     transit_gateway_default_route_table_association = false
     transit_gateway_default_route_table_propagation = false
   }
   
   resource "aws_ec2_transit_gateway_route_table_association" "primary" {
     transit_gateway_attachment_id  = aws_ec2_transit_gateway_vpc_attachment.primary.id
     transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.main.id
   }
   
   resource "aws_ec2_transit_gateway_route_table_association" "secondary" {
     transit_gateway_attachment_id  = aws_ec2_transit_gateway_vpc_attachment.secondary.id
     transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.main.id
   }
   
   resource "aws_ec2_transit_gateway_route_table_propagation" "primary" {
     transit_gateway_attachment_id  = aws_ec2_transit_gateway_vpc_attachment.primary.id
     transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.main.id
   }
   
   resource "aws_ec2_transit_gateway_route_table_propagation" "secondary" {
     transit_gateway_attachment_id  = aws_ec2_transit_gateway_vpc_attachment.secondary.id
     transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.main.id
   }

5. 5.Добавляем меж-VPC маршруты и включаем VPC Flow Logs для наглядности

   Создаваемые ресурсы:

   • Amazon VPC
   • Amazon CloudWatch Logs

   TGW из Шага 4 знает об обеих VPC, но собственная таблица маршрутизации каждой VPC до сих пор не знает, как достичь другой. Мы добавляем явные маршруты в обоих направлениях: таблица маршрутизации VPC #1 отправляет трафик 10.1.0.0/16 в TGW, и наоборот. Экзамен неоднократно проверяет это требование двусторонней связи — вопрос "Я подключил обе к TGW, почему они не пингуются?" почти всегда связан с отсутствующим маршрутом обратного пути.

   Наконец, VPC Flow Logs. Область Network Monitoring ANS-C01 тестирует их как единственный способ увидеть, какие пакеты фактически проходят через вашу сеть — принятые, отклоненные и только метаданные (кортеж из 5 элементов + байты + пакеты + результат). Мы включаем их для основной VPC, при этом логи направляются в выделенную группу логов CloudWatch. Роль IAM, которую мы прикрепляем, — это роль, которую Flow Logs принимает для записи в группу логов.

   С установленными маршрутами и работающими Flow Logs магистраль завершена. Две двухстековые VPC, соединенные через TGW с явной (удобной для аудита) маршрутизацией, с видимостью на уровне пакетов на основной стороне. Каждый дополнительный шаблон ANS-C01 (Direct Connect Gateway, TGW peering, NAT, PrivateLink, конечные точки VPC) прикрепляется к этой базе.

   Копировать

   resource "aws_route" "primary_to_secondary" {
     route_table_id             = aws_vpc.primary.main_route_table_id
     destination_cidr_block     = "10.1.0.0/16"
     transit_gateway_id         = aws_ec2_transit_gateway.hub.id
   
     depends_on = [aws_ec2_transit_gateway_vpc_attachment.primary]
   }
   
   resource "aws_route" "secondary_to_primary" {
     route_table_id             = aws_vpc.secondary.main_route_table_id
     destination_cidr_block     = "10.0.0.0/16"
     transit_gateway_id         = aws_ec2_transit_gateway.hub.id
   
     depends_on = [aws_ec2_transit_gateway_vpc_attachment.secondary]
   }
   
   # ── VPC Flow Logs ─────────────────────────────────────────────
   resource "aws_cloudwatch_log_group" "vpc_flow" {
     name              = "/aws/vpc-flow/certlabpro-ans-c01-primary"
     retention_in_days = 30
   }
   
   resource "aws_iam_role" "vpc_flow" {
     name = "certlabpro-ans-c01-vpc-flow"
   
     assume_role_policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect    = "Allow"
         Principal = { Service = "vpc-flow-logs.amazonaws.com" }
         Action    = "sts:AssumeRole"
       }]
     })
   }
   
   resource "aws_iam_role_policy" "vpc_flow" {
     name = "write-flow-logs"
     role = aws_iam_role.vpc_flow.id
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Effect = "Allow"
         Action = [
           "logs:CreateLogGroup",
           "logs:CreateLogStream",
           "logs:PutLogEvents",
           "logs:DescribeLogGroups",
           "logs:DescribeLogStreams",
         ]
         Resource = aws_cloudwatch_log_group.vpc_flow.arn
       }]
     })
   }
   
   resource "aws_flow_log" "primary" {
     vpc_id                   = aws_vpc.primary.id
     traffic_type             = "ALL"
     log_destination_type     = "cloud-watch-logs"
     log_destination          = aws_cloudwatch_log_group.vpc_flow.arn
     iam_role_arn             = aws_iam_role.vpc_flow.arn
     max_aggregation_interval = 60
   }

Очистка ресурсов