クラウド接続とVPC

パブリッククラウドで環境を構築すると、サーバーだけでなくネットワークも利用することになります。VPC（Virtual Private Cloud）は、プロバイダーのクラウド内でリソースを配置する、論理的に分離された領域です。いわば、他者のデータセンター内に構築する自分専用のネットワークです。

他のテナントは同じ物理ハードウェアを共有しますが、VPCによってトラフィックとアドレス空間は他の利用者から分離されます。

VPCでは、CIDR（Classless Inter-Domain Routing）表記を使ってプライベートなIPアドレス範囲を定義します。たとえば10.0.0.0/16のように指定します。このブロックが、VPC内で起動するすべてのリソースのアドレス空間になります。

オンプレミスのネットワークと同様に、10.x、172.16-31.x、192.168.xなどのプライベート範囲を選びます。これにより、後でVPCをオフィスのネットワークに接続する際に、アドレスの競合を避けられます。

VPC内にはサブネットを作成します。サブネットは、通常、可用性ゾーン（別々のデータセンター）に対応付ける、より小さなアドレス範囲です。これにより耐障害性を高められます。

• パブリックサブネット: ここに配置したリソースはインターネットに接続できます。
• プライベートサブネット: リソースにはインターネットへの直接的な経路がなく、データベースに適しています。

Webサーバーをパブリックサブネットに、データベースをプライベートサブネットに配置する構成は、一般的で安全な設計です。

インターネットゲートウェイはVPCをパブリックインターネットに接続し、パブリックサブネットにインバウンドおよびアウトバウンドのアクセスを提供します。NATゲートウェイを使うと、プライベートサブネットのリソースは（更新などのために）インターネットへ接続できますが、要求されていないインバウンド接続は許可されません。

この組み合わせにより、バックエンドサーバーはパッチを適用したり外部へ接続したりできる一方で、インターネットからは見えない状態を維持できます。これは、クラウドセキュリティにおける重要なパターンです。

各サブネットは、トラフィックの行き先を指定するルートテーブルを使用します。0.0.0.0/0（すべての宛先）へのルートをインターネットゲートウェイに向けると、サブネットはパブリックになります。NATゲートウェイに向けると、プライベートのまま維持されます。

ルートテーブルによって、クラウド上で従来のルーティング判断をソフトウェアとして再現できます。ルートの設定ミスは、クラウドリソースがインターネットや相互のリソースに接続できない一般的な原因です。

2つのファイアウォール層がVPCのトラフィックを保護します。

• セキュリティグループ:各インスタンスに関連付けるステートフルファイアウォールです。外向きのトラフィックを許可すると、応答も自動的に許可されます。
• NACL（Network Access Control Lists）:サブネットレベルで双方向のトラフィックをフィルタリングするステートレスなルールです。

これらを組み合わせることで、どのポートと送信元からクラウドリソースに到達できるかを正確に制御できます。

VPCピアリングは2つのVPCを接続し、同一ネットワーク上にあるかのように、リソース間でプライベートアドレスを使って通信できるようにします。環境、チーム、リージョンを、トラフィックがパブリックインターネットを経由しない形でプライベートに接続する場合に便利です。

ピアリングは推移的ではありません。VPC AがBとピアリングし、BがCとピアリングしていても、AはCに直接到達できません。各接続を明示的に作成する必要があります。

大量のトラフィックや機密性の高いトラフィックに対応するため、プロバイダーはAWS Direct ConnectやAzure ExpressRouteのような専用プライベート接続を提供しています。これらはパブリックインターネットを完全に迂回し、インターネット経由よりも安定した低レイテンシ、高帯域幅、優れたセキュリティを実現します。

企業は、クラウドへの接続で信頼性と予測可能なパフォーマンスが極めて重要な場合にこれらを利用し、保証された接続のために追加コストを受け入れます。

一般的で低コストな選択肢がサイト間VPNです。これは、パブリックインターネット上に暗号化トンネルを構築し、オフィスネットワークとVPCを接続します。トラフィックはインターネットを通過する間、暗号化（多くの場合IPsec）によって保護されます。

専用回線よりも安価で短時間に設定できますが、パフォーマンスは保証されたプライベート経路ではなく、パブリックインターネットに依存します。

VPCは、クラウドネットワークも本質的にはネットワークであることを示しています。サブネットを設計し、ルートテーブルを記述し、ファイアウォールを適用し、サイトを接続します。これらはすべて、コンソールやAPIを通じてソフトウェア上で行います。IPアドレス指定、ルーティング、セグメンテーションといったおなじみの概念が、クラウドの構成要素にそのまま対応します。

サブネットとルーティングを理解しているネットワーク技術者であれば、VPCに必要なことの大半をすでに理解しています。

VPCは、パブリックサブネットとプライベートサブネットに分割されたプライベートなアドレス空間を提供します。ルートテーブルによってインターネットゲートウェイやNATゲートウェイに接続され、セキュリティグループとNACLによって保護されます。VPC同士はピアリングで接続し、サイト間VPNや専用回線を介してオフィスにも接続できます。これにより、完全なエンタープライズネットワークをクラウド上だけで再現できます。

VPCに関する知識を確認しましょう。

VPCは、クラウド上の分離されたプライベートネットワークです。CIDRアドレス範囲で定義され、パブリックサブネットとプライベートサブネットに分割されます。ルートテーブルがトラフィックをインターネットゲートウェイとNATゲートウェイへ振り分け、セキュリティグループとNACLがフィルタリングします。VPC同士はピアリングで接続し、サイト間VPNや専用回線を介してアクセスします。