VPCのパブリックを理解する

パブリックサブネットの作成と、実際にサービスを公開することを区別します。IGW、関連ルート、公開アドレス、通信許可がそろうまでを追います。

この単元で学ぶこと

  • IGWへの経路を説明する
  • IPv4公開に必要な条件を判断する
  • 不要な公開を避けて障害を切り分ける

本文解説

1. 分類の根拠 パブリックサブネットとは、そのルートテーブルにIGWへ直接向かう経路があるサブネットです。publicというタグやサブネット名で決まるものではありません。IGWをVPCへ取り付けただけでも不十分で、サブネットに適用するルートを確認します。

2. 宛先を指定する 一般的なIPv4構成では0.0.0.0/0のターゲットをIGWにします。これは他の具体的な宛先ルートに該当しない通信を出す設定です。社内宛などにより長いプレフィックスがあれば、そちらが優先されます。IGWは全通信を強制的に外へ出す装置ではありません。

3. EC2のアドレス この教材のIPv4直接通信ではEC2にパブリックIPv4またはElastic IPが必要です。プライベートIPv4だけのEC2を公開サブネットへ置いても、そのアドレスのままインターネットから新規接続できるわけではありません。サブネットの性質と個々の資源のアドレスを分けます。

4. 公開したいポート WebならSecurity Groupで必要なHTTP/HTTPS等を許可します。管理ポートを全世界へ開ける必要はありません。経路が存在してもSGやNACLが拒否すれば通らず、逆にSGを開いても経路がなければ届きません。アプリが指定ポートで待ち受けていることも確認します。

5. 入口を絞る インターネット向けALBを入口とし、EC2はプライベートな下流に置く構成では、利用者がEC2の公開IPへ直接接続する必要はありません。公開する責務を入口へ集め、アプリはALBからの必要通信を許可します。全層に公開アドレスを付ける設計と比較します。

6. NATを置く例 zonalのパブリックNAT Gatewayは公開サブネットに置き、EIPとIGWへの経路を使います。下流のプライベートEC2はNATへ送ります。NATがあるから下流もパブリック分類になるわけではなく、どのサブネットがIGWへ直接向くかを確認します。

7. IPv6との違い IGWはIPv6も扱いますが、IPv4とIPv6のルートは別です。IPv6アドレスへ外部からの新規接続を許したくない場合にはEgress-only IGW等の構成を検討します。デュアルスタックでIPv4だけ制限しても、IPv6の出口や入口が別に存在し得ます。

8. 検査の順序 公開Webに届かないなら、DNSで得た宛先、EC2の公開アドレス、関連ルート、SG、NACL、OSとアプリを順に確認します。別のルートテーブルを直しても対象サブネットへ関連付いていなければ効果はありません。試験では失敗箇所に作用する設定を選びます。

図解

IPv4公開の確認点
一つだけ設定しても、ほかの条件が欠ければ通信は成立しません。

重要ポイント

  • IGW取付けとルート関連付けは別作業
  • IPv4直接通信には公開IPv4が必要
  • 公開入口と内部処理を分けられる

間違えやすい点

  • 公開サブネットの全資源が自動公開されると思わない
  • NATを着信用ポート転送機能として扱わない
  • IPv6経路をIPv4設定で制御できると思わない

用語解説

Elastic IP
割り当てて関連付ける静的なパブリックIPv4アドレス。
デフォルトルート
より具体的な宛先へ該当しない通信の送り先。
デュアルスタック
IPv4とIPv6の両方を利用する構成。

関連教材

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。