AWS Cloud WAN が Flow Logs をサポートし、グローバルネットワークの可視化を強化

AWS Cloud WAN において、VPC Flow Logs のサポートが開始されました。これにより、コアネットワーク全体における IP トラフィックの可視視化が可能になります。ログは Amazon CloudWatch Logs、Amazon S3、Amazon Data Firehose へ出力可能です。Cloud WAN Flow Logs 自体の利用に追加料金は発生しませんが、出力先サービスには標準料金が適用されます。設定は、コアネットワーク全体、単一のエッジ、または個別の各アタッチメント単位で行えます。

ネットワーク管理の「バラバラ感」を解消する強力なアップデート

これまで、グローバルな AWS ネットワークを運用しているエンジニアにとって、リージョンやアカウントを跨ぐトラフィックの把握は非常に骨の折れる作業でした。複数の VPC Flow Logs を手動で集計・統合する必要があり、他チームへのログ取得依頼が必要になることも珍しくありませんでした。

解決される課題とメリット

• 一元的な可視化: VPC 間、リージョン間、さらには Direct Connect や VPN を介したオンプレミスとの通信を、Cloud WAN アカウントから直接確認できます。
• 詳細なメタデータ: IP やポートだけでなく、Cloud WAN 特有の「セグメント」や「サービス挿入ホップ」といった情報が含まれるため、ネットワーク構成に基づいたトラブルシューティングが格段に容易になります。
• パケット損失の把握: パケット損失カウンターが含まれているため、パフォーマンス低下の原因究明にも役立ちます。

日本国内の利用状況

リサーチの結果、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいて、AWS Cloud WAN および Flow Logs の利用が可能であることが確認されています。国内のグローバル展開を行うシステムにおいても、スムーズに導入検討が可能です。

運用上のアドバイス

• コスト管理: Flow Logs 自体の機能は無料ですが、出力先の S3 や CloudWatch Logs のストレージ・転送コストには注意が必要です。大量のトラフィックがある環境では、ライフサイクルポリシーによる S3 へのアーカイブを推奨します。
• セキュリティ: セグメント情報が含まれるれるため、ネットワーク分離の設計が正しく機能しているかをログから検証する運用フローを組み込むと良いでしょう。

次のアクション

まずは、既存の Cloud WAN 環境において、特定のアタッチメント単位で Flow Logs を有効化し、テストトラフィックを流して、どのようなメタデータが取得できるかを確認することから始めるのがおすすめです。

参照ドキュメント: AWS Cloud WAN Flow Logs ユーザーガイド https://docs.aws.amazon.com/network-manager/latest/cloudwan/cwan-flow-logs