インターネットゲートウェイとルートテーブル

Internet Gateway (IGW) は、VPC とインターネット間の通信を可能にする、水平スケーリングされた冗長性と高可用性を備えた VPC コンポーネントです。パブリック IPv4 アドレスを持つインスタンスに対してNetwork Address Translation (NAT)を実行します。送信トラフィックではプライベート IP を Elastic IP または自動割り当てされたパブリック IP に変換し、受信トラフィックではその変換を元に戻します。1 つの VPC につき IGW は 1 つです。IGW を VPC にアタッチしただけでは、インスタンスが自動的にインターネットへアクセスできるようにはなりません。ルートテーブルを更新し、インスタンスにパブリック IP が割り当てられていることも確認する必要があります。

route table は、サブネットまたはゲートウェイからのネットワークトラフィックの転送先を決定するルール（ルート）の集合です。すべての VPC にはメインルートテーブルがあり、サブネットに別のルートテーブルを明示的に関連付けない限り、すべてのサブネットがデフォルトでこれを使用します。ルートには宛先（CIDR ブロック）とターゲット（local、インターネットゲートウェイ、NAT ゲートウェイ、ピアリング接続など）があります。複数のルートがパケットの宛先に一致する場合は、最も具体的なルート（最長プレフィックス一致）が選択されます。

サブネットに関連付けられたルートテーブルに、0.0.0.0/0（すべてのインターネットトラフィック）を Internet Gateway に転送するルートがある場合、そのサブネットはパブリックです。サブネットをパブリックにする手順は 3 つあります。(1) 0.0.0.0/0 → IGW ルートを持つカスタムルートテーブルを作成する、(2) そのルートテーブルをサブネットに関連付ける、(3) サブネットでパブリック IPv4 の自動割り当てを有効にし、そのサブネット内で起動したインスタンスが自動的にパブリック IP を受け取るようにする、の 3 つです。この 3 つがそろって初めて、機能するパブリックサブネットになります。

すべてのルートテーブルには、VPC 内のすべてのリソース間の通信を可能にするローカルルート（例：10.0.0.0/16 → local）が自動的に含まれます。このルートは削除も変更もできません。これにより、VPC 内の任意のサブネットにあるインスタンスが、ゲートウェイを経由せずにプライベート IP アドレスを使って相互に通信できます。VPC の CIDR 範囲内を宛先とするトラフィックでは、ローカルルートが常にカスタムルートより優先されます。

パケットがルートテーブル内の複数のルートに一致する可能性がある場合、AWS は最も具体的なプレフィックス（最長の一致プレフィックス）を持つルートを選択します。例として、10.0.0.0/8 → peering と 10.1.0.0/16 → VPN のルートがある場合、10.1.0.5 宛てのパケットは両方に一致しますが、/16 のルートの方がより具体的（プレフィックスが長い）であるため、こちらが優先されます。プレフィックス長が同じ場合は、より具体的なゲートウェイタイプが優先されます。優先順位は local > VGW propagated > static です。これは、ピアリング、VPN、DX が接続された複雑なネットワークを設計する際に重要です。

VPC は IPv4 と併用して IPv6 CIDR ブロック（Amazon 提供の /56）をサポートします。IPv6 でインターネットにアクセスする場合、IGW は IPv4 と IPv6 の両方を処理します。IPv6 のみのイグレス（インスタンスからのアウトバウンド IPv6 接続は許可し、インバウンドはブロックする）には、Egress-Only Internet Gatewayを使用します。これは IPv4 のプライベートサブネットで使用する NAT ゲートウェイと機能的には似ていますが、IPv6 専用です。プライベートサブネットに ::/0 → eigw-xxxxxxxx ルートを追加すると、インスタンスをインバウンド IPv6 接続にさらすことなく、IPv6 のアウトバウンドアクセスを有効にできます。

ゲートウェイルートテーブルは、サブネットではなく Internet Gateway または Virtual Private Gateway に直接関連付けるルートテーブルです。これによりイングレスルーティングが可能になり、インターネットから VPC に入って EC2 インスタンスに到達する前のトラフィックを検査できます。これは、受信トラフィックをすべて確認する必要があるインラインセキュリティアプライアンス（IDS/IPS、仮想ファイアウォールアプライアンス）に使用します。IGW のルートテーブルを設定して受信トラフィックを Gateway Load Balancer エンドポイントに送り、セキュリティアプライアンスに分散させます。検査後、アプライアンスは宛先の EC2 インスタンスに転送します。

VPN または Direct Connect を介してオンプレミスネットワークを接続すると、ルート伝播によってオンプレミスのルートを VPC のルートテーブルに自動的に伝播できます。Virtual Private Gateway (VGW) のルートテーブルで伝播を有効にすると、オンプレミスのルーターが BGP 経由でアドバタイズしたすべてのルートが、手動で入力しなくても自動的にルートテーブルに表示されます。これは、オンプレミスのサブネットが変化する動的な環境で特に便利です。静的 VPN 接続では、オンプレミスの CIDR ルートを手動で追加します。

ベストプラクティスは、各ティアに個別のルートテーブルを作成することです。パブリックサブネット用（IGW へのルート）、プライベートアプリケーションサブネット用（NAT ゲートウェイへのルート）、プライベートデータサブネット用（インターネットへのルートはなく、VPC エンドポイントのみ）に分けます。これにより、送信トラフィックを許可するようセキュリティグループが誤って設定されていても、データティアのインスタンスが誤ってインターネットに到達することを防げます。ルートテーブルに外部への経路がないためです。ルートテーブルを分離すると、ティアごとのネットワークアクセスパターンも監査しやすくなります。

S3 または DynamoDB Gateway VPC Endpointを作成すると、AWS は指定したルートテーブルにルートを自動的に追加します。宛先はサービスのマネージドプレフィックスリスト、ターゲットは VPC エンドポイントになります。このルートにより、対象サブネットから S3 または DynamoDB へのトラフィックはインターネットではなく AWS のプライベートネットワークを経由します。ゲートウェイエンドポイントは無料で、インスタンスが大量の S3 トラフィックを生成する場合は NAT ゲートウェイのコストを大幅に削減できます。本番 VPC のプライベートサブネットのルートテーブルには、必ず S3 と DynamoDB のゲートウェイエンドポイントを追加してください。

ブラックホールルートは、到達できないターゲットを持つルートで、意図的にトラフィックを破棄するために使用します。AWS では、ルートのターゲット（VPN 接続や Transit Gateway アタッチメントなど）が削除された後もルートが残っている場合に、ブラックホールルートが作成されます。VPC 内から特定の IP 範囲へのトラフィックをブロックするために、意図的にブラックホールルートを作成することもできます。これは、セキュリティグループや NACL とは異なる、ネットワークレベルのトラフィック制御メカニズムです。AWS では、ルートが参照するエンドポイントまたはゲートウェイが利用できなくなると、コンソールにブラックホールルートが表示されます。

このレッスンで扱った AWS Solutions Architect (SAA-C03) の概念について、理解度を確認しましょう。

このレッスンでは、Internet Gateway によって VPC とインターネット間の通信が可能になり、VPC にアタッチしたうえで、0.0.0.0/0 ルートを持つサブネットのルートテーブルから参照する必要があること、ルートテーブルは宛先とターゲットの組み合わせを使用してトラフィックの方向を制御し、最長プレフィックス一致が優先されること、そしてサブネットのティアごとにルートテーブルを分けることで、アーキテクチャによってトラフィックを分離できることを学びました。次は、プライベートサブネットからインターネットへアクセスするための NAT Gateways について学びます。