プライベートサブネットを理解する

この単元で学ぶこと

• プライベートの定義を説明する
• 宛先とIP方式から出口を選ぶ
• 可用性・制限・運用経路を設計する

本文解説

1. 非公開と通信不能 プライベートサブネットはIGWへ直接向かうルートを持ちません。それでもVPC内や専用接続先との通信はできます。外部開始の接続を受けないことと、アプリが必要なデータを取りに行けないことを混同しないよう、通信開始側と宛先を明示します。

2. IPv4の外向き更新 外部の更新サイトを使うEC2にはパブリックNAT経路を設計できます。zonal public NATの例では、プライベート側のデフォルトをNATへ、NAT側をIGWへ向けます。EC2自身へ公開IPv4は不要です。NATは外部から任意の新規接続をEC2へ届ける機能ではありません。

3. 応答を受け取る 外向き要求には応答が戻る必要があります。Security Groupは通常の追跡対象フローの応答を状態として扱いますが、NACLはステートレスなので戻りの許可も必要です。外部サイトの443番だけ見て、クライアント側の一時ポートへ戻る通信を見落とさないようにします。

4. AWSサービスだけなら S3など対応サービスへの通信にVPCエンドポイントを使うと、NATやIGWが不要になる経路を作れます。ただしエンドポイントを作っただけで対象バケットへの権限が付くわけではありません。経路やDNSに加えてIAM、エンドポイントポリシー、資源ポリシーも評価します。

5. 隔離したDB DBがアプリからの接続と内部の管理だけで足りるなら、インターネットへの出口を持たせない隔離構成も検討できます。アプリ用サブネットには更新用の出口がある一方、DB用には不要という分離です。同じプライベート分類でも必要経路が等しいとは限りません。

6. IPv6の出口 IPv6はIPv4のNAT経路とは別です。インターネットのIPv6宛へ外向き開始だけを許す構成では、::/0をEgress-only IGWへ向けます。接続先がIPv4のみかIPv6か、名前解決がどちらのアドレスを返したかも確認し、IP方式の食違いを切り分けます。

7. AZごとの障害範囲 zonal NATをAZ-Aへ一台だけ置き、AZ-Bもそこへ向けると、AZ-Aの障害がBの出口にも影響し得ます。各AZで同じAZのzonal NATを使う方式は依存を減らす一方、常時費用が増えます。Regional NATなど別方式もあるため、この比較はzonal構成に限定して読みます。

8. 権限と管理 プライベートに置いたから安全、とは言えません。別の内部資源からの過剰な許可や漏れた認証情報でも問題は起こります。管理用の接続方法を含め、必要なサービスへだけ通信・操作を許可します。外部から直接SSHできないことを障害と決め付けず、意図した経路かを確認します。

図解

重要ポイント

• 外向き開始と外部からの新規着信を区別する
• NAT、Endpoint、隔離を宛先で選ぶ
• プライベート配置と最小権限は別の対策

間違えやすい点

• NATで外部からのSSH着信を実現しようとしない
• NACLの戻りを忘れない
• zonal NATの特徴を全NAT方式へ一般化しない

用語解説

外向き開始

VPC内の資源が最初の要求を送る通信。戻りの応答と区別する。

隔離サブネット

ここではインターネットへの経路も持たせない内部用途の構成。

一時ポート

クライアントが接続時に使う送信元ポート。戻り通信では宛先となる。

関連教材

• VPCのパブリック・プライベートサブネットの違いと使い分け
• VPCのパブリックを理解する
• VPCのパブリック・プライベートサブネットのシナリオ判断
• VPCのパブリック・プライベートサブネットの全体像
• Security GroupとNetwork ACLを理解する