VPCはおうちネットワークをクラウドで作る機能

スポンサーリンク

VPCって何?

network

本当に久しぶりにAWSを触ってみて驚いたのが、これ、VPC – Amazon Virtual Private Cloud。最初、何をするものなのか理解できなかったけど、「おうちネットワークをAWSで作る機能」と考えたら、納得。

Amazon VPC を使用して、AWS クラウドの論理的に分離されたセクションである仮想ネットワーク内に AWS リソースを起動します。

予約済みアドレス

ネットワークには予約済みのアドレスがあって、そこは割り当てできないというのは一般的なお話だが、それに加えて、VPCではいくつか予約されているアドレスがある。

  • .1 Router
  • .2 DNS
  • .3 AWSが予約

4オクテット目が0のネットワークを例にしているので、そうでない場合は適当に下駄を履かせてみてほしい。

最終的に5つのアドレスが予約されている。そのため、/29 のネットワークだと、全体のアドレスが8つしかないので、使い物にならない。だから、VPC内のサブネットの大きさは/28までになっているし、サブネットを含む形になるVPCも、/28までになる。

VPC とサブネットを作成して、Amazon VPC の使用を開始します。

プライベートサブネットとパブリックサブネット

紛らわしいAWS用語だ。

VPC内に作ったサブネットのうち、直接Internetにでられるもの(Internet Gatewayへのルーティング情報を持つもの)をパブリックサブネットという。
だから、NAT Gateway経由になるネットワークとか、VPN経由のネットワークとかは、パブリックサブネットではない。プライベートサブネットという。

そしてもう1つ。いくらパブリックサブネットにあるEC2インスタンスだからって、いわゆるグローバルIP Addressを持たなければ、Internetの向こう側と通信できない。AWSだと、固定IPであるElastic IP Addressを割り当てるか、インスタンス起動時にPublic IP Addressの割り当てをオンにする必要がある。
これらのアドレスは、インスタンスの中からネットワークインタフェースをみてもわからない。meta情報を参照する必要がある。

ネットワークACL

ネットワークにはAccess Controlがつきもの。AWSの場合、セキュリティグループという、インスタンス向けのFirewallもあって、どう使い分けるか迷うかもしれない。

  • セキュリティグループはステートフル。受信のルールを定義すると、それに対する送信は自動的に許可される。
  • ネットワークACLはステートレス。受信のルールと送信のルールをそれぞれ定義する必要がある。

踏み台とするインスタンスへのアクセスコントロールはセキュリティグループ、踏み台から先へのアクセスはネットワークACLといったところだろうか?セキュリティグループは受け身なのに対し、ネットワークACLでは、出て行くパケットをブロックできるという違いがある。

ルーティングテーブル

(サブ)ネットワークとルーティングは切っても切れない関係。VPCでサブネットを作ると

  • デフォルトのルーティングテーブルというものがある。
  • サブネットそれぞれに対してルーティングテーブルを設定できる。設定しない場合、デフォルトのルーティングテーブルが使用される。

という動きになる。
1つのVPCのなかに、パブリックサブネットとプライベートサブネットがあるということを考えれば、当然といえば当然だ。

ただ、この仕掛けを知らないと、既存のルーティングテーブルを変更しようとしたとき、戸惑う。変更したつもりがデフォルトのルーティングテーブルで、対象のサブネットには固有のルーティングテーブルがあると、変更の効果がない。

アベイラビリティゾーン

可用性を考えたとき、避けて通れないのがアベイラビリティゾーンである。
アベイラビリティゾーンは1つのデータセンターを指す。複数のデータセンターを使うように設計すれば、多少遅くなるかもしれないが可用性は高まる。

VPCは複数のアベイラビリティゾーンにまたがるように設定できる。ただし、サブネットはまたがることはできない。

デフォルト

試験対策。
デフォルトVPC

  • /16のネットワーク
  • サブネットは/20
  • サブネットはパブリックサブネット

VPCの制限値(Amazon VPC の制限 – Amazon Virtual Private Cloud)

  • リージョンあたり5個まで
  • VPCあたりサブネットは200個まで

ネットワークACLあたりのルールの数20というのは、実際に設定して行くと意外と引っかかる。

公式情報で確認を

必ず公式情報で内容を確認すること。

20180418 AWS Black Belt Online Seminar Amazon VPC
スポンサーリンク

シェアする

  • このエントリーをはてなブックマークに追加
  • Evernoteに保存Evernoteに保存

フォローする

この記事へのコメント

Loading Facebook Comments ...

No Trackbacks.