Amazon VPCの基本構成のシナリオ判断
Webサイトへ接続できないとき、通信ルールを広く開けるだけでは原因を直せない場合があります。ここではIPv4の二層Webシステムを例に、配置・経路・アドレス・通信許可を順番に確認し、必要な入口と出口を設計します。
この単元で学ぶこと
- IPv4接続障害を経路・アドレス・許可へ分けて調査できる
- 公開入口と内部からの出口を区別して設計できる
- AZ分散とサブネット配置の誤りを修正できる
本文解説
事例の構成 1つのVPCでWebサーバーとDBを運用します。Webはインターネットの利用者からHTTPSを受け、DBはWebからだけ呼ばれます。保守用EC2は外部の更新サイトへIPv4で通信しますが、外から新規接続させません。公開Web・内部DB・外向き保守という3種類の要件を分けます。
Webへ届かないときの第一段階 まずWebのサブネットにインターネットゲートウェイへの経路があるかを確認します。VPCへゲートウェイを接続しただけでは、該当サブネットの道順を設定したことにはなりません。次に一般的なEC2の直接公開ならパブリックIPv4アドレスを確認します。プライベートIPv4だけでは同じ方法で外部から直接到達できません。
Webへ届かないときの第二段階 経路とアドレスが正しければ、必要なHTTPS通信がセキュリティグループやネットワークACLで許可されているか、アプリが待ち受けているかを確認します。証明書やアプリのエラーと、そもそも接続が届かない問題も区別します。全ポートを開放して調査を終えるのではなく、原因に対応した最小限の修正を行います。
DBはWebと同じように公開しない DBはプライベートサブネットに置き、接続元をWebアプリに絞ります。アプリからのDB接続だけなら、DBにパブリックIPv4を付けることは必須ではありません。DBの認証や権限も別途必要です。プライベート側に置いたことだけで、VPC内の誰にでも接続を許可してよいわけではありません。
保守用EC2の出口 この教材ではAZ単位のパブリックNATを例にします。NATをパブリックサブネットへ置き、NAT側はインターネットゲートウェイへの経路と外部用アドレスを持ちます。保守用EC2のサブネットは外部宛てをNATへ送ります。戻り通信は受け取れますが、外部から保守用EC2へ任意に新規接続を始められる入口にはなりません。
AZを分ける場合 同一サブネットへ2台のWebサーバーを置いただけでは、AZ障害の分離になりません。別AZに別サブネットを用意して処理先を分散します。またNATなどの出口を1つのAZへ集める設計は、そのAZの障害が他の処理へ影響するかを考える必要があります。複数AZの利用は、依存先も含めて検討します。
経路変更後も権限を確認する S3などAWSサービスへ接続する場合、経路を用意することとアクセス権限を付けることを分けます。通信が到達しても、IAMやリソース側の設定によってアクセス拒否になる場合があります。「ネットワーク経路の問題」か「操作許可の問題」かで直す設定が異なります。
例題と答え プライベートEC2から更新サイトへ出したいのに、担当者がEC2の受信ポートを全て開けました。目的は内部から開始する外向き通信なので、出口となるNATやルートを確認するのが先です。受信の全開放は必要な経路を作らず、公開範囲を広げるだけになり得ます。通信の開始側と宛先を矢印で書くと整理できます。
図解
重要ポイント
- 到達性は経路→アドレス→通信許可→待受のように分けて確認する。
- Webの公開要件をDBへそのまま適用しない。
- NATは内部からの開始と戻り通信のために使う。
- 別AZ配置には別サブネットが必要で、依存する出口の障害も考える。
間違えやすい点
- ゲートウェイをVPCに付けただけで全サブネットの経路が完成したと考えない。
- 外向き更新の問題を受信全開放だけで直そうとしない。
- VPC内であることをS3操作権限の代わりにしない。
用語解説
- VPC
- AWS上でIPアドレス範囲や通信経路などを設定できる、論理的に分離された仮想ネットワーク。通常のリージョンVPCは複数AZにサブネットを配置できる。
- サブネット
- VPCのIPアドレス範囲の一部を分けた領域。1つのサブネットは1つのAZに属する。
- ルートテーブル
- 宛先のIPアドレス範囲に対して、どの接続先へパケットを転送するかを定める経路の一覧。
- インターネットゲートウェイ
- VPCとインターネットの通信を可能にする接続機能。経路・アドレス・通信許可などの設定も必要。
- NATゲートウェイ
- アドレスを変換して通信するマネージド機能。パブリックNATではプライベート側から外部IPv4へ開始する通信と応答を扱える。
- パブリックサブネット
- 関連付けたルートテーブルにインターネットゲートウェイへの直接経路があるサブネット。名前ではなく経路で区別する。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。