実務メモ：AWS VPC Peering接続の勘所と注意点

What is VPC peering?

A VPC peeringとは、2つのVPC間で、プライベートIPv4またはIPv6アドレスを使用して通信できるようにする接続

無料（Free）
- VPC peering connectionを作るだけなら無料
- 同一アベイラビリティゾーン (AZ) 内でのデータ転送
  - たとえ異なるAWSアカウント間でも、同一AZ内なら通信コストは無料
課金されるケース
- 異なるアベイラビリティゾーン (AZ) 間の通信
  - 例：東京リージョンの ap-northeast-1a と ap-northeast-1c 間
- 異なるリージョン間の通信（Inter-Region VPC Peering）
  - 東京リージョン ap-northeast-1 と大阪リージョン ap-northeast-3

設定の流れは公式ドキュメントを参考にする

ドキュメントで重要そうなこと

VPC A ↔ VPC B がピアリング接続されていて、かつ同じリージョンにあるとき、
1. VPC A のセキュリティグループの設定で、「通信を許可する相手」として、VPC B 内のセキュリティグループを直接指定できる。
Public DNS ホスト名（例：ec2-xx-xx-xx-xx.compute.amazonaws.com）で相手を指定すると、その名前は Public IP アドレスに解決される
1. よって、VPC ピアリング経由ではなく、インターネット経由になる可能性がある。
2. DNS hostname resolutionを有効にすることで
  1. Public DNS ホスト名からPrivate IPアドレスに解決されVPC ピアリング経由になる。

手動で設定してみた感じ

前提として繋げたいVPC（VPC-A, VPC-B）はすでに存在するものとします。

EC2 > Peering Connections に移動
[Create Peering Connection]ボタンを押す
1. 必要な項目（Requester、Accepter、VPC IDなど）を設定して作成
2. Accepter VPC側は、Peering Connectionsページで該当リクエストの [Actions] → [Accept Request] を実行して承認
Route Tablesの設定
1. VPC-A 側のルートテーブルにレコード追加
  - Destination: VPC-BのCIDR
  - Target: 作成した Peering Connection（pcx-xxxxxxx）を選択
2. VPC-B 側も同様に設定
  - Destination: VPC-AのCIDR
  - Target: Peering Connection
必要な設定は以上です。
- 通信できない場合は、各EC2のSecurity Groupが相手VPCのCIDRからのトラフィックを許可しているか確認してください。

VPC Peering Lifecycle

例えば、

Elastic Load BalancingでInternet-facingに関しては、Peering越しにアクセスはできないけど、internalならアクセスできる。

Peering越しに以下のサービスは使えない。

VPC 所有者のみがピアリング接続を操作（説明、作成、承認、拒否、変更、削除）できます。参加者はピアリング接続を操作できません。