VPCのパブリック・プライベートサブネットの全体像

この単元で学ぶこと

• VPC・サブネット・AZの関係を説明する
• ルートによる公開分類と通信条件を区別する
• 入口と下流を分離した経路を設計する

本文解説

1. VPCとサブネット VPCはAWS上で定義する仮想ネットワークで、CIDRというアドレス範囲を持ちます。サブネットはその範囲の一部であり、一つのAZに属します。複数AZへWebサーバーを置くなら、それぞれのAZにサブネットを作ります。ネットワークの範囲と障害を分ける範囲を合わせて考えます。

2. 住所の範囲を決める IPv4の10.0.1.0/24は全256個のアドレスを含みますが、AWS予約分があるため全個数をそのままEC2台数にはできません。現在だけでなく将来のサブネット追加やオンプレミス接続も考えます。同じ範囲を双方で使うと宛先が曖昧になり、後の接続で再設計が必要になります。

3. ルートテーブル サブネットに適用されるルートテーブルには宛先範囲と送り先を記します。例えば0.0.0.0/0はIPv4のデフォルト宛先です。より具体的な宛先と両方一致すれば通常は具体的な方を使います。別テーブルを作るだけでは適用されず、サブネットとの関連付けを確認する必要があります。

4. パブリックの意味 IGWへの直接ルートを持つサブネットをパブリックと呼びます。ただしその中の全EC2が自動的に公開されるわけではありません。IPv4でEC2が直接通信するにはパブリックIPv4等が必要で、Security GroupやNACL、アプリの待受けも通信を許す必要があります。分類と到達性を分けます。

5. プライベートの出口 IGWへの直接ルートがないサブネットはプライベートです。IPv4の外部更新サイトへ接続するならパブリックNAT等への経路、対応AWSサービスへ接続するならVPCエンドポイントを検討します。インターネットへ出ないことと、どこへも通信できないことは同じではありません。

6. 公開入口と内部層 通販サイトならインターネット向けALBを公開入口に置き、アプリEC2とDBを下流に分離できます。利用者から直接DBへ到達する必要はありません。ALBからアプリ、アプリからDBの必要ポートだけを許可し、外部更新が必要な層だけ出口を持たせます。

7. IPv4とIPv6 0.0.0.0/0はIPv6には適用されません。IPv6は::/0等の別経路で扱います。IPv6で外部からの新規接続を受けず外向き開始だけを行いたいならEgress-only IGWを検討します。IPv4のNAT構成をそのまま全通信の説明へ広げないようにします。

8. 障害と確認 経路があっても通信許可やDNS、接続先の停止で失敗します。送信元、解決した宛先、関連ルート、アドレス、往復の制御を順に確認します。zonal NATを使う例では各AZの出口を分けると、別AZの障害や転送費への依存を減らせます。可用性と費用の両面で評価します。

図解

重要ポイント

• サブネットは一つのAZに属する
• パブリック分類とEC2の到達性は別
• 経路・アドレス・許可の三つを確認する

間違えやすい点

• 名前にpublicを付けただけで公開したと思わない
• プライベート配置だけで権限制御を済ませない
• IPv4とIPv6の経路を混同しない

用語解説

CIDR

IPアドレスとプレフィックス長で連続した範囲を表す記法。

ルート

宛先範囲に一致した通信をどこへ送るかの規則。

IGW

VPCをインターネットへ接続するゲートウェイ。

関連教材

• VPCのパブリックを理解する
• プライベートサブネットを理解する
• VPCのパブリック・プライベートサブネットの違いと使い分け