パブリックサブネットとプライベートサブネットの設計

Virtual Private Cloud (VPC)は、AWS 内に構築する論理的に分離されたネットワークです。その中に、単一の Availability Zone に対応する IP アドレス範囲であるサブネットを切り分けます。VPC をどのようにサブネットへ分割するかは、何が何に到達できるかを決めるため、最初に行う最も重要なセキュリティ判断です。

パブリックサブネットにはインターネットゲートウェイへのルートがあるため、その中のリソースはインターネットから到達可能で、インターネットへも接続できます。プライベートサブネットにはインターネットへの直接的なルートがありません。この違いは、サブネット自体の性質ではなく、完全にルートテーブルによって決まります。

パブリックサブネットに配置するのは、インターネットに公開する必要があるリソースだけにします。具体的には、ロードバランサー、NAT ゲートウェイ、踏み台サーバーの代替などです。この層を最小限に保つことで、攻撃対象領域を縮小できます。アプリケーションサーバーやデータベースを、インターネットから直接到達できるパブリックサブネットに配置してはいけません。

アプリケーションサーバー、データベース、内部サービスはプライベートサブネットに配置します。これらは、パブリックサブネットのロードバランサー経由でトラフィックを処理でき、NAT 経由で更新のためにインターネットへ接続できますが、外部から直接アドレス指定されることはありません。そのため、公開範囲を大幅に縮小できます。

一般的な安全な構成では、3つの層を使用します。ロードバランサー用のパブリックサブネット、コンピューティング用のプライベートアプリケーションサブネット、データベース用のプライベートデータサブネットです。トラフィックは層を1つずつ内側へ流れ、各層は直前の層からの接続だけを受け入れます。

レジリエンスを確保するため、複数のAvailability Zones (AZs)にサブネットを複製します。各 AZ にパブリックサブネットとプライベートサブネットのペアを用意すると、1つのゾーンが失われてもロードバランサーとワークロードを稼働させ続けられます。これは高可用性の実践であり、安全で冗長な設計にも役立ちます。

CIDR ブロックは、サブネット同士が重複せず、将来の拡張余地も残るように計画します。慎重に設計した重複のない範囲により、ルーティング、ピアリング、セキュリティルールでの参照を整理しやすくなります。後から VPC 間で CIDR が重複すると、ピアリングができなくなり、接続も複雑になるため、アドレス空間は最初に意図を持って計画してください。

サブネット設計は、機密性の高いワークロードを分離できるため、セキュリティ制御になります。インターネットへのルートがなく、アプリケーション層からの受信経路しか持たないデータサブネットは、セキュリティグループを追加する前から構造的に保護されています。この境界を適用するのは、ルールだけではなくアーキテクチャです。

サブネットにはサブネット境界で NACL が関連付けられるため、ネットワーク ACLを適用する場所が決まります。適切に設計したサブネットに、サブネットレベルの NACL とリソースレベルのセキュリティグループを組み合わせることで、SCS-C02 試験で求められる多層防御のネットワークモデルを構築できます。

典型的なミスは、データベースをパブリックサブネットに配置したり、利便性を理由にプライベートインスタンスへパブリック IP を付与したりすることです。どちらも、本来内部に留めるべきリソースを公開してしまいます。原則としてプライベートに配置し、パブリックサブネットに配置するすべてのリソースについて、明確な理由を説明できるようにしてください。

適切なサブネット設計は、安全な VPC の基盤です。インターネット向けのリソースと内部リソースを分離し、AZ にまたがって配置することで、ネットワーク自体に分離とレジリエンスを組み込めます。その上に、ゲートウェイ、ルートテーブル、ファイアウォールが構築されます。

サブネット設計の考え方を適用しましょう。

VPCは、Availability Zone に対応するサブネットに分割されます。サブネットは、ルートテーブルからインターネットゲートウェイへ到達できる場合にのみパブリックとなり、それ以外はプライベートです。パブリックサブネットにはロードバランサーと NAT だけを配置し、アプリケーション層とデータ層はプライベートに配置します。複数の AZ にまたがる多層パターンと、計画的で重複のない CIDR を使用し、アーキテクチャ自体に分離を組み込んでください。