AWS初心者がまず理解すべきVPCを徹底解説

VPCとは

Amazon Virtual Private Cloud（Amazon VPC）は、アマゾンがAWS上で提供している機能の1つで、AWS上に作成できる仮想ネットワークです。このネットワーク空間に、任意のIPアドレスを設定することが可能で、パブリックやプライベートとしてネットワークを分離したり、仮想サーバーを外部のインターネットに接続して、Webサーバーとして機能させたりできます。加えて、ネットワーク環境を活用するための、ルーターやゲートウェイといったネットワーク機器もAmazon VPCの中で仮想化し利用できます。また、Amazon VPCは、1つのリージョンの中に作成し、複数のアベイラビリティゾーン（AZ）に展開します。

VPCを構成する要素

一般的なIPネットワークを構築するには、サブネット、ルートテーブル、IPの指定、固定IPといった機能と、ルーター、ゲートウェイといった機器が必要です。Amazon VPCには、これらに対応するコンポーネントが用意されていて、コンソール上で組み合わせることで目的のネットワーク環境を構築することができます。各コンポーネントを紹介します。

Subnet（サブネット）

IPネットワークを構築するにはIPアドレスが必要ですが、サブネットはVPC内にIPアドレスの範囲を設定できる機能です。1つのVPC内に複数のサブネットを設定できます。仮想サーバーなどのコンピューティングリソースは、このサブネットの中に設置します。また、サブネットには２種類あり、インターネットに接続が出来る・出来ないかで呼び名が変わります。

• パブリックサブネット：インターネットに接続できるサブネット
• プライベートサブネット：インターネットに接続できないサブネット

この二つの呼び方はVPCを学ぶ上で良く出てくるので、覚えておくと便利です。

IGW（インターネットゲートウェイ）

サブネット内にある仮想サーバーなどのリソースを、インターネットと通信できるようにする機能です。VPCを設定すると、デフォルトで含まれていて、VPCにアタッチして利用します。

Route Table（ルートテーブル）

ルートテーブルは、ネットワークトラフィックの経路を判断する際に使用される、ルートと呼ばれる一連のルールで、例えばインターネットを介してVPCに入ってくるデータが、どのような経路で仮想サーバーに到達するかの経路を示します。VPC内部にルートテーブルを用意し、サブネットごとに使うルートテーブルを指定します。

Elastic IP（静的IPアドレス）

Amazon EC2にて作成した仮想サーバーをインターネットと接続するには、インターネットからアクセスできるパブリックなIPアドレスが必要です。IPアドレスには、システムを再起動するたびに変更されるものと、永続的に同じIPアドレスを使える、静的IPアドレスがあります。ファイアウォールやアクセス制限のためにIPアドレスを固定したい場合は、静的IPアドレスを使います。IPアドレスには、IPv4とIPv6という２種がありますが、現在はIPv4のみに対応しています。

NATゲートウェイ

VPC内のサブネットで、インターネットと接続しないリソースは、通常プライベートサブネット内に設定します。しかし時にはソフトウェアの更新などで一時的にVPC内からインターネットに送信したい場合があります。その際には、プライベートサブネットからインターネットに接続できるNATゲートウェイを使うと便利です。NATゲートウェイでは、VPCからインターネットに送信できますが、逆はできないので安心です。NATゲートウェイは、プライベートIPアドレスをパブリックIPアドレスに変換できる機能を有します。

Endpoints for S3（VPCエンドポイント）

サブネット内のインスタンスから他のAWSサービスに接続したいときに使用します。例えば、プライベートサブネット内のEC2からS3やDynamoDBに接続したい時にエンドポイントを使用します。外部のインターネットを経由しなくても接続出来るため、高いセキュリティで接続することが可能です。

VPCのセキュリティ・監視

AWSではセキュリティやコンプライアンスに関して、AWSとユーザーが責任を負う部分を明確にして、両者で責任を負う「責任共有モデル」という考え方を導入しています。Amazon VPCに関しても同様で、AWS側で対応するセキュリティについては、Amazon EC2インスタンスやサブネットへのファイアウォール機能や、NATゲートウェイなどVPCのコンポーネントの監視や問題発生時のレポート機能などがあります。

責任共有モデルとは

AWSにおいて構築されるシステムのセキュリティとコンプライアンスについては、AWSとユーザーの両者がその責任を負うという考え方です。AWSは、AWSのクラウドサービスを実行する、ハードウェア、ソフトウェア、ネットワーキングといったインフラストラクチャの保護について責任を負います。ユーザーの責任は、選択したAWSサービスによって異なります。Amazon EC2を選択した場合は、ゲストOS、インスタンスにインストールしたソフトウェア、ファイアウォールの構成などがユーザーの責任になります。

セキュリティグループ

セキュリティグループとは、VPC内でのAmazon EC2インスタンスに入出力するデータのトラフィックを管理することができる機能です。セキュリティグループにおいて、入力と出力の管理ルールは個別に設定できます。ルールは許可のみサポートされています。インスタンスには最大５つのセキュリティグループを割り当てられ、インスタンスごとに異なるものを割り当てることもできます。インスタンス起動時にセキュリティグループを設定しないと、VPCのデフォルトのセキュリティグループが自動的に割り当てられます。

ネットワークアクセスコントロールリスト（ネットワークACL）

ネットワークACLとはセキュリティに関連した機能で、VPC内のサブネットに入出力するデータのトラフィックを管理することができる機能（オプションレイヤー）です。ネットワークACLにおいて、入力と出力の管理ルールは個別に設定できます。ルールは許可と拒否がサポートされています。明示的にネットワークACLを設定しないと、VPCのデフォルトのネットワークACLが関連づけられます。

VPCフローログ

VPCフローログとは、VPCのデータトラフィックを監視する機能です。VPC内のネットワークインターフェイスとの間のIP トラフィックに関する情報をキャプチャできます。VPCフローログを取るには、ログを作成したいリソース、キャプチャするトラフィックの種類（許可、拒否、もしくはすべてのトラフィック）、フローログデータを発行する送信先（Amazon CloudWatch LogsまたはAmazon S3）を設定します。VPCフローログを参照すると、セキュリティグループのルールの制限が厳しすぎないか、適切かなどの判断が容易になります。

Amazon VPC トラフィックミラーリング

Amazon VPC トラフィックミラーリングとは、Amazon VPC内のAmazon EC2インスタンスからのネットワークトラフィックを複製し、そのトラフィックをセキュリティおよび監視アプライアンスに転送できる機能です。これによってコンテンツ検査、脅威の監視、トラブルシューティングといった作業が容易になります。

Amazon CloudWatch によるNATゲートウェイのモニタリング

Amazon CloudWatchを利用すると、NATゲートウェイを監視することができ、収集した情報からリアルタイムに近い読み取り可能なメトリクスを得ることができます。メトリクスは「NATゲートウェイ経由の同時アクティブTCP接続の合計数（0なら接続がないと判断可能）」「NATゲートウェイによって受信された送信先からのバイト数（データ損失の可能性を判断可能）」など14種あります。

Amazon VPC IP Address Manager

Amazon VPC IP Address Managerは、大規模なネットワークでも、簡単にIPアドレスの整理、割り当て、モニタリング、監査を行える機能です。単一の運用ダッシュボードから、組織のアカウント、Amazon VPC、AWSリージョンにまたがってIPアドレスの割り当てを管理できます。従来スプレッドシートで行っていたIP管理の負荷を大幅に低減できます。

リージョンについてはこちらの記事で詳しく説明しています。

https://envader.plus/article/61

VPCの料金について

Amazon VPCを作成し使用することは無料です。ただし、NATゲートウェイなど、オプションのVPC機能を利用した場合、量ベースで課金されます。東京リージョンでの各オプション料金を紹介します。

NATゲートウェイ

NATゲートウェイを利用した場合、データトラフィックが送信か受信かにかかわらず、データ量で課金されます。処理データ1GBあたり0.062USDです。また接続していた時間に関しても課金されます。1時間あたりのNATゲートウェイ利用料金は0.062USDです。1時間未満は1時間分になります。

トラフィックミラーリング

ネットワークの分析に使えるトラフィックミラーリングも有料です。トラフィックミラーリングが有効になっているEC2インスタンスのElastic Network Interfaceに対して1時間ごとに、0.018USDが課金されます。1時間未満は1時間分になります。

IP Address Manager

IP Address Manager（IPAM）の利用も有料です。IPAMで管理するアクティブなIPアドレスごとに、1時間単位で、0.00027USD課金されます。例えば、1000個のIPアドレスを1ヶ月利用すると、1000 x 30日 x 25時間 x 0.00027USD＝194.4USDになります。

VPCの設定例

Amazon VPCを構築してAmazon EC2インスタンスを設置し外部のインターネットと接続するといった流れを、VPC環境のイメージ図を添えて紹介します。Amazon EC2インスタンスを設置した場合、Amazon EC2インスタンス上にデータベースを構築した場合、NATゲートウェイを使った場合などのAmazon VPC環境を紹介します。

Amazon EC2インスタンスの設置

Amazon EC2インスタンスを設置する場合は、

1. リージョンを指定
2. その中でVPCを作成
3. サブネットを作成するAZを指定
4. パブリックサブネットの設定
5. インターネットゲートウェイをVPCにアタッチする
6. ルートテーブルを作成する
7. ECインスタンスを設置

という流れで実行します。

イメージ図は、以下のようになります。

データベースの設置

Amazon EC2インスタンスで利用するデータベースを設置します。

1. リージョンを指定
2. その中でVPCを作成
3. サブネットを作成するAZを指定
4. パブリックサブネットの設定
5. インターネットゲートウェイをVPCにアタッチする
6. ルートテーブルを作成する
7. ECインスタンスを設置
8. プライベートサブネットの設置
9. データベースの設置

という8と9の手順が加わります。

プライベートサブネット内のデータベースはパブリックサブネット内のEC2インスタンスとデータのやり取りは行いますが、インターネットとは接続されていません。

イメージ図は、以下のようになります。

NATゲートウェイを利用

プライベートサブネット内に設置されたAmazon EC2上のデータベースは、本来インターネットと接続されていませんが、何らかの理由や任意のタイミングでインターネットとデータをやり取りしたい場合、NATゲートウェイを利用します。その場合は

1. NATゲートウェイをパブリックサブネット内に設置
2. NATゲートウェイとインターネットゲートウェイを接続

という手順を踏みます。

イメージ図は、以下のようになります。

VPCの設定方法

VPCウィザードというVPCの初期設定を簡単に設定出来る機能を使って、パブリックサブネットとプライベートサブネットを作成していきます。

1.VPC設定画面へ移動

AWSコンソールにログインしたら、左上の検索窓を選択。

検索窓にVPCと入力したら、候補に出て来た「VPC」をクリック。

2.VPCウィザードを起動

VPCダッシュボードに移動したら、左上の「VPCを作成」をクリック。

3.VPCウィザードでの設定

1. 今回はパブリックサブネットとプライベートサブネットを作成するので、「VPCなど」を選択
2. 任意の名前を入力
3. マルチAZ配置にするかどうかを設定
4. 任意のアベイラビリティゾーンを選択
5. 任意のパブリックサブネットの数を選択
6. 任意のプライベートサブネット数を選択
7. 任意のパブリックサブネットCIDRブロックを設定
8. 任意のプライベートサブネットCIDRブロックを設定
9. NATゲートウェイを設置する際はここで設定します。
10. VPCエンドポイントを設置する際はここでS3ゲートウェイを設定します。
11. 各設定が完了したら、VPCを作成をクリック

4.VPCウィザードでの設定完了

すべて成功になれば作成完了です。

まとめ

AWS VPCについて解説しました。VPCはインターネットとの接続を管理する事が出来るとても大事なAWSサービスです。AWSを触ったことがないという方は、言葉だけで覚えようとしてもなかなか理解するのは難しいので、簡単な構成で良いので実際にVPCを構築してみてはいかがでしょうか。