Amazon Virtual Private Cloud(Amazon VPC)のインターネット接続に必要なステップ

Amazon Virtual Private Cloud(Amazon VPC)の概要とインターネット接続に必要なステップを紹介します。

Amazon VPCとは、リソースの配置、接続性、セキュリティなど、仮想ネットワーク環境をフルで制御できるサービスです。*1

また、ネットワーク要件に応じて自由な設定が可能です。

Amazon VCPをインターネットに接続する流れを、4つのステップに分けて解説します。

Amazon VPCにアドレスを設定する際に避けるべきポイントです。

また、次の2点も合わせて推奨します。

最初に作成したアドレスブロックは作成後に変更できないので注意が必要です。2個目以降は追加、削除ができます。

※ 本記事では、172.31.0.0/16を例として採用しました

推奨のCIDR/16を設定した場合の各サブネット数と使えるIPアドレス数は以下となります。

Availability Zone(AZ)は、1つ以上のデータセンターで構成されます。

AZ同士はそれぞれ独立しており、互いに影響が出ない状態で運用管理が行われています。

もし、どこかで障害が起こっても、それ以外の部分が問題なければ、システムを停止させずに稼働できる仕組みになっています。

そのため、複数のAZにSubnetを配置することが推奨されています。*3

サブネット作成時に指定するIPアドレスには、一部、利用できないホストアドレスがあるので注意してください。/24の場合に利用できないIPアドレスは以下となります。

インターネットへの経路を設定するにはルートテーブルを利用します。

ルートテーブルに設定した送信先のIPアドレスをもとにターゲットにパケットが転送されるため、インターネットへ通信する場合は、インターネットゲートウェイ*4向きにルートを追加する必要があります。

Amazon VPCのセキュリティコントロールにはセキュリティグループとNetwork ACLがあります。

セキュリティグループは、Amazon VPC 内のリソースが送受信を許可されているトラフィックを制御するファイアウォールとして機能します。*5

ネットワークアクセスコントロールリスト (ACL) は、サブネットレベルで特定のインバウンドまたはアウトバウンドのトラフィックを許可または拒否します。*6

それぞれの特徴は以下となります。

ネットワークACL	セキュリティグループ
サブネットレベルで効果	サーバレベルで効果
Allow/DenyをIN・OUTで指定可能	AllowのみをIN・OUTで指定可能
ステートレスなので戻りのトラフィックも明示的に許可設定する	ステートフルなので戻りのトラフィックを考慮しなくて良い
番号順序通りに適用	全てのルールを適用
サブネット内のすべてのインスタンスがACL管理下に入る	インスタンス管理者がセキュリティグループを適用すればその管理下になる