Amazon VPCの基本構成を理解する

Web画面をインターネットへ公開し、データベースは内部に置きたいとします。VPCでは、置き場所を分けるサブネット、道順を決めるルートテーブル、通信を許可するルールを組み合わせます。それぞれの役割を区別して、通信できる条件を順に学びます。

この単元で学ぶこと

VPC・サブネット・AZの関係を説明できる
パブリックとプライベートを経路で区別できる
IPv4のインターネット通信に必要な構成を判断できる

本文解説

VPCは仮想的なネットワークの範囲 Amazon VPCでは、自分のシステムに使うIPアドレスの範囲や通信経路を設定します。例えば10.0.0.0/16という範囲からWeb用とDB用の領域を切り出します。VPCを作ること自体は、インターネットへ全サーバーを公開する操作ではありません。どこへ通信できるかは、後から設定する経路と許可などによって決まります。

サブネットはAZごとに作るサブネットはVPCのアドレス範囲の一部分です。1つのサブネットは1つのAZに収まります。2つのAZへWebサーバーを分散するなら、それぞれのAZにサブネットを用意します。VPCが複数AZを使えることと、1つのサブネットが複数AZにまたがることは違います。

ルートテーブルは通信の道順ルートテーブルは宛先に応じた転送先を定めます。IPv4の0.0.0.0/0は、より具体的な経路に当てはまらない宛先への既定の経路としてよく使います。各サブネットはルートテーブルに関連付けられます。経路は行き先を示すもので、誰にどの通信を許可するかを決めるセキュリティグループとは役割が違います。

公開か非公開かは名前では決まらないインターネットゲートウェイへの直接経路を持つサブネットをパブリックサブネットと呼びます。その直接経路がないものはプライベートサブネットです。「private」という名前を付けても、インターネットゲートウェイへの経路を設定すれば、名前だけで非公開にはなりません。

EC2のIPv4公開には複数の条件がある一般的なEC2がインターネットと直接IPv4通信するには、VPCに接続されたインターネットゲートウェイとそこへの経路に加え、インスタンスのパブリックIPv4アドレスなどが必要です。さらにセキュリティグループやネットワークACLで必要な通信を許可し、アプリが対象ポートで待ち受けます。どれか一つだけで到達性を判断しません。

内部からだけ外へ出るNAT プライベートサブネットのEC2が外部の更新サイトへIPv4で接続したい場合、パブリックNATゲートウェイを経由する構成を使えます。従来のAZ単位NATの例では、NATをパブリックサブネットに置き、プライベート側の既定経路をNATへ向けます。NATから外へはインターネットゲートウェイを通ります。外部からEC2へ新規接続を開始できる公開入口にする機能ではありません。

接続経路とアクセス権限は別 VPCの中に置けば、すべての通信や操作が自動的に安全になるわけではありません。必要な通信元・宛先・ポートを絞り、サービスへの操作には適切なIAM権限も設定します。例えばS3へ届くネットワーク経路があっても、オブジェクトを読む許可がなければアクセスできません。

例題：WebとDBの分離 Webへの入口は公開できる場所に置き、DBはプライベートサブネットへ配置し、DBへの受信をWebアプリから必要なポートだけに絞ります。DB自身がインターネットから直接呼ばれる必要はありません。保守上の外向き通信が必要なら、その目的に合う出口を別に考えます。「公開WebがあるのでDBも公開する」という結論にはなりません。

図解

IPv4通信の二つの経路 — 公開EC2の直接通信と、プライベートEC2のNAT経由の通信を分ける。通信許可の設定は別途必要。

重要ポイント

VPCはネットワークの枠、サブネットはAZ単位のアドレス領域。
パブリックかどうかはインターネットゲートウェイへの直接経路で判断する。
EC2のIPv4到達性は経路・アドレス・許可・待受の組合せで決まる。
NAT経由の外向き通信は、外部からの新規接続許可とは違う。

間違えやすい点

サブネット名だけで公開状態を判定しない。
セキュリティグループを開けるだけで経路も作られると考えない。
IPv4の説明をそのままIPv6の全構成へ当てはめない。

用語解説

VPC: AWS上でIPアドレス範囲や通信経路などを設定できる、論理的に分離された仮想ネットワーク。通常のリージョンVPCは複数AZにサブネットを配置できる。
サブネット: VPCのIPアドレス範囲の一部を分けた領域。1つのサブネットは1つのAZに属する。
ルートテーブル: 宛先のIPアドレス範囲に対して、どの接続先へパケットを転送するかを定める経路の一覧。
インターネットゲートウェイ: VPCとインターネットの通信を可能にする接続機能。経路・アドレス・通信許可などの設定も必要。
NATゲートウェイ: アドレスを変換して通信するマネージド機能。パブリックNATではプライベート側から外部IPv4へ開始する通信と応答を扱える。
パブリックサブネット: 関連付けたルートテーブルにインターネットゲートウェイへの直接経路があるサブネット。名前ではなく経路で区別する。

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。