Amazon VPC 入門
Virtual Private Cloud — ネットワーク設計の基礎を学ぶ
1VPCとは？
- AWS上に作成する論理的に隔離された仮想ネットワーク
- CIDRブロックで自分のIPアドレス範囲を定義（例:
10.0.0.0/16） - リージョン内に複数のVPCを作成可能
2サブネット
- VPCをさらに分割した小さなネットワーク
- パブリックサブネット: インターネットゲートウェイへのルートあり → 外部からアクセス可能
- プライベートサブネット: インターネットへの直接ルートなし → 外部から非公開
- AZごとにサブネットを作成（高可用性のため各AZに配置）
3インターネットゲートウェイ（IGW）
- VPCとインターネットを接続するコンポーネント
- VPCに1つアタッチ
- パブリックサブネットのルートテーブルに
0.0.0.0/0 → IGWを設定
4NATゲートウェイ
- プライベートサブネットのインスタンスが「外に出る」ための出口
- プライベートサブネット → NAT GW（パブリックサブネット）→ IGW → インターネット
- NATゲートウェイ vs NATインスタンス
| 項目 | NATゲートウェイ | NATインスタンス |
|---|---|---|
| 管理 | マネージド・高可用性 | EC2で自前管理 |
| スケーラビリティ | 自動スケール | 手動スケール |
| コスト | 比較的高め | 安い |
| 設定 | シンプル（推奨） | 複雑 |
5セキュリティグループ vs NACL
| 項目 | セキュリティグループ | NACL |
|---|---|---|
| 適用レベル | インスタンス | サブネット |
| ステート | ステートフル（返りは自動許可） | ステートレス（返りも明示設定） |
| ルールの評価 | 全ルールを評価 | 番号順に評価・最初にマッチで終了 |
| デフォルト | インバウンド全拒否 | 全許可 |
| 用途 | アプリレベルの制御 | サブネット境界の追加防衛 |
6VPCピアリングとTransit Gateway
- VPCピアリング: 2つのVPCを直接接続（推移性なし: A-B, B-C でもA-Cは不可）
- Transit Gateway: 複数VPC・オンプレミスを集中管理するハブ（推移性あり）
試験ポイント: 「多数のVPCを接続 → Transit Gateway」「シンプルな2VPC接続 → ピアリング」
7Direct Connect & VPN
- AWS Site-to-Site VPN: オンプレミスとVPCをインターネット経由の暗号化トンネルで接続
- AWS Direct Connect: 専用線で物理接続（高帯域・低レイテンシ・安定）
試験ポイント: 「コンプライアンス要件・高帯域 → Direct Connect」「迅速に構築 → VPN」
8試験頻出ポイント
- パブリックサブネットの定義: 「ルートテーブルにIGWへのルートがあること」
- 踏み台（Bastion Host）= パブリックサブネットのEC2でプライベートEC2にSSH
- VPCエンドポイント: S3/DynamoDBへプライベートに接続（インターネット経由不要）