VPCのパブリック・プライベートサブネットの違いと使い分け

この単元で学ぶこと

• 公開分類と到達条件の差を説明する
• 宛先別の経路を比較する
• 層分離とAZ依存の利点・費用を判断する

本文解説

1. 分類と到達性 パブリック分類はIGWへの直接経路の有無で決まります。個々のEC2の到達性は公開アドレスと許可にも依存します。公開サブネットのプライベートIPv4だけのEC2と、IGW経路のないサブネットのEIP付きEC2は、どちらもIPv4直接インターネット通信の条件がそろいません。

2. 三つの経路 インターネットへ直接出すのはIGW、プライベートIPv4から外向き開始を行うのはパブリックNAT、対応AWSサービスへ専用接続するのはエンドポイントというように目的を分けます。NATとエンドポイントは互いに全宛先を代替できるわけではありません。

3. 必要な通信方向 利用者が外から始めるWeb接続と、アプリが外部APIへ始める要求では入口と出口の条件が違います。NATの戻り応答が届くことを、外部から任意の新規着信もできることと混同しません。送信元・宛先・開始方向・ポートの表を作ると役割が明確になります。

4. 層ごとの最小範囲 公開ALB、内部アプリ、隔離DBの三層なら、公開する入口を限定できます。DBへ0.0.0.0/0から許可する必要はありません。プライベートと呼ばれる二つの層でも、更新用の外向き通信が要るアプリと不要なDBではルートを分けられます。

5. ルート優先度 0.0.0.0/0をNATへ向けても、S3の宛先により具体的なエンドポイント経路があればそちらを使う構成があります。ルートを一つずつ見てどちらもあるからランダムに使うと判断せず、宛先が一致する範囲と優先規則を確認します。経路選択とアクセス権は別です。

6. IP方式の比較 IPv4でNAT経路を設定してもIPv6の通信は制御できません。::/0がIGWへ向いているなら、IPv6側の到達性とSG等を別に調べます。外向き開始だけのIPv6通信ならEgress-only IGWを比較し、アドレス変換の必要性をIPv4と同一視しません。

7. 出口の共有と分散 zonal NATを共有する方式では台数に由来する常時費用を抑えやすい一方、別AZを経由する通信と障害依存が生まれ得ます。各AZへ配置するとその依存を減らせますが資源数が増えます。Regional NATなど別方式との比較では、そのサービスの実際の料金と可用性モデルを確認します。

8. 設計の評価 最小費用と可用性、最小公開範囲を同じ指標だけで順位付けしません。対象障害、必要な通信、許容する停止、転送量を決めて比較します。疎通確認でも正常な経路だけでなく、外部からDBへ届かないことなど不要な通信の拒否を確認します。

図解

重要ポイント

• 公開アドレスと公開サブネットは同義ではない
• 接続開始の方向とIP方式を確認する
• 出口の共有には費用と障害範囲の比較が必要

間違えやすい点

• NATの応答を外部新規着信と混同しない
• ネットワークを閉じたのでIAM等は不要と考えない
• 具体的な宛先ルートよりデフォルトが常に優先すると思わない

用語解説

最長プレフィックス一致

一致する経路のうち宛先範囲が最も具体的なものを優先すること。

開始方向

どちらの端点が新しい通信を始めるか。

障害依存

別の資源やAZの障害で自分の必要通信も停止する関係。

関連教材

• VPCのパブリック・プライベートサブネットのシナリオ判断
• プライベートサブネットを理解する
• Security GroupとNetwork ACLを理解する
• VPCのパブリックを理解する
• Security GroupとNetwork ACLのシナリオ判断