<aside> 💡 안녕하세요 서후아빠입니다. ^_^ 이번 세션은 인터넷 통신이 불가능한 서브넷에서 Datadog 수집 정보를 연결하는 방법에 대해서 실습을 해보겠습니다.

</aside>

1. 구성도

1) 아키텍처

datadog.drawio

2) 설명

• B계정의 EC2 내에 설치된 Datadog Agent가 수집 정보를 전송하기 위해 DNS 쿼리 요청
  • VPC(vpcB)의 .2 Resolver에 DNS 쿼리 → PHZ를 통하여 점선으로 연결된 A계정의 datadoghq.com으로 DNS 쿼리 요청
  • A계정의 datadoghq.com은 Alias로 연결된 datadog-endpoints의 IP를 회신
• B계정의 EC2에 설치된 Datadog Agent는 회신된 IP로 수집 정보를 전송
  • vpcB의 Route Table에 등록된 Peering으로 패킷 전달 → vpcA의 datadog-endpoints 도착

2. 실습

1) 조건

• Datadog에 연결되는 PrivateLink(VPC endpoint)는 무조건 us-east-1만 가능
  • us-east-1에 VPC 생성 (ex : vpcA)
  • 다른 리전에서 us-east-1로 VPC Peering or TGW 연결하고 통신되도록 라우팅 설정
• 각 VPC(ex : vpcB)는 enableDnsHostnames 및 enableDnsSupport 활성화
• Datadog Agent가 동작하는 EC2의 보안그룹 아웃바운드 허용 (ex : ec2-sg) : TCP 443/10513/10255/10250, UDP 123

2) VPC endpoint 생성 (us-east-1)

• VPC > Endpoints > Create endpoint

  • Subnet은 2개 이상의 AZ 선택 가능
  • 보안그룹 인바운드 허용(ex : datadog-sg) : TCP 443/10513/10255/10250, UDP 123

  구분	Endpoint settings	Service settings (리전 주의)	VPC, Subnets, Security groups	Policy
  Logs
  (Agent HTTP intake)	Name : datadog-logs-agent-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-025a56b9187ac1f63	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)
  Logs
  (User HTTP intake)	Name : datadog-logs-user-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-0e36256cb6172439d	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)
  API	Name : datadog-api-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-064ea718f8d0ead77	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)
  Metrics	Name : datadog-metrics-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-09a8006e245d1e7b8	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)
  Containers	Name : datadog-containers-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-0ad5fb9e71f85fe99	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)
  Process	Name : datadog-process-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-0ed1f789ac6b0bde1	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)
  Profiling	Name : datadog-profiling-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-022ae36a7b2472029	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)
  Traces	Name : datadog-traces-ep
  Service category : Find service by name	com.amazonaws.vpce.us-east-1.vpce-svc-0355bb1880dfa09c2	VPC : vpcA
  Subnet : private-sn-a, private-sn-c
  Security groups : datadog-sg	Full access
  (or Custom)

3) Privated Hosted Zone 생성 (us-east-1)

• Route 53 > 호스팅 영역 > 호스팅 영역 생성

  호스팅 영역 구성	호스팅 영역과 연결할 VPC
  도메인 이름 : datadoghq.com
  유형 : 프라이빗 호스팅 영역	리전 : us-east-1
  VPC ID : vpcA