VPC アーキテクチャと CIDR ブロック

Amazon Virtual Private Cloud（VPC）は、AWS Region 内に構築し、管理できる論理的に分離されたプライベートネットワークです。すべての AWS アカウントには、各 Region にデフォルト VPC（CIDR 172.31.0.0/16）が用意されていますが、本番環境のアーキテクチャでは必ずカスタム VPC を使用します。VPC は Region 内のすべての Availability Zone にまたがり、IP アドレス、サブネット、ルートテーブル、インターネットゲートウェイ、セキュリティを完全に制御できます。VPC 内のリソースは、明示的に接続を構成しない限り、他の VPC やインターネットから分離されています。

CIDR（Classless Inter-Domain Routing）ブロックは、x.x.x.x/prefix 形式を使用して、VPC またはサブネットの IP アドレス範囲を定義します。プレフィックス長によって範囲内の IP アドレス数が決まり、/16 は 65,536 個、/24 は 256 個、/28 は 16 個です（AWS におけるサブネットサイズの最小値）。VPC では、AWS は /16（最大）から /28（最小）までの CIDR ブロックを許可しています。VPC CIDR は、(1) 将来の VPN／Direct Connect 接続に備えてオンプレミスネットワークと重複せず、(2) 計画したサブネットに十分な大きさがあり、(3) プライベート RFC 1918 アドレス空間（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）を使用するように選択してください。

サブネットは、1 つの Availability Zone 内に存在する VPC の IP アドレス範囲のセグメントです。サブネットは、パブリック（インターネットゲートウェイへのルートがある）またはプライベート（インターネットへの直接ルートがない）に分類されます。一般的な 3 層アーキテクチャのベストプラクティスは、少なくとも 3 つのサブネットティアを作成することです。パブリック（ロードバランサー、踏み台ホスト）、private-app（EC2 インスタンス、ECS タスク）、private-data（RDS、ElastiCache）を用意し、各ティアを少なくとも 2 つの AZ に分散して高可用性を実現します。

2 つの AZ と 3 つのティアにまたがる CIDR 10.0.0.0/16 の VPC では、次のような CIDR 設計が一般的です。Public AZ-a：10.0.1.0/24、Public AZ-b：10.0.2.0/24、Private-App AZ-a：10.0.10.0/24、Private-App AZ-b：10.0.11.0/24、Private-Data AZ-a：10.0.20.0/24、Private-Data AZ-b：10.0.21.0/24。このレイアウトでは、CIDR の設計全体をやり直さなくても、AZ-c のサブネット（10.0.3.0/24、10.0.12.0/24、10.0.22.0/24）を追加できます。常に将来の拡張を考慮して設計してください。

AWS は、すべてのサブネットで最初の 4 つと最後の IP アドレスを予約します。10.0.1.0/24 サブネットの場合、10.0.1.0（ネットワーク）、10.0.1.1（VPC ルーター）、10.0.1.2（DNS／DHCP）、10.0.1.3（将来の用途）、10.0.1.255（ブロードキャスト）が予約されます。/24 サブネットには合計 256 個の IP があり、5 個が予約されるため、使用可能なのは 251 個です。最小の /28 サブネットでは、16 個の IP から 5 個を除いた 11 個が使用可能です。これは、デプロイする予定のリソース数（EC2 インスタンス、VPC 内の Lambda 関数など）に合わせてサブネットのサイズを決める際に重要です。

既存の VPC は再作成せずに、最大 4 つのセカンダリ CIDR ブロックを追加できます。これは、プライマリ CIDR を使い切った場合（すべてのサブネットが埋まっている場合）や、Kubernetes の Pod ネットワーキングなど特定の用途のために、別の RFC 1918 範囲からアドレス空間を追加する必要がある場合に便利です。セカンダリ CIDR には、重複する CIDR は追加できない、RFC 1918 に準拠しない一部のパブリック範囲は使用できないなど、いくつかの制約があります。セカンダリ CIDR が必要になる可能性を最小限に抑えるため、VPC の CIDR サイズは事前に慎重に計画してください。

VPC Peering は、2 つの VPC 間にプライベートネットワーク接続を確立し、それぞれのリソースがプライベート IP アドレスを使用して通信できるようにします。ピアリングされた VPC は、同じアカウント、異なるアカウント、さらには異なるリージョン（リージョン間ピアリング）に配置できます。要件：2 つの VPC の CIDR は重複していなければなりません。制限事項：ピアリングは推移的ではありません。つまり、VPC-A が VPC-B とピアリングし、VPC-B が VPC-C とピアリングしていても、VPC-A は VPC-B を経由して VPC-C と通信できません。多数の VPC 間でフルメッシュ接続を構築する場合は、代わりにAWS Transit Gatewayを使用してください。

AWS Transit Gateway (TGW) は、複数の VPC、VPN、Direct Connect 接続をつなぐ中央ネットワークハブ（クラウドルーター）として機能します。N 個の VPC でフルメッシュを構成するために N*(N-1)/2 個の VPC ピアリング接続を作成する代わりに、各 VPC と接続を Transit Gateway にアタッチし、そこで相互のトラフィックをルーティングします。TGW は、どのアタッチメント間で通信できるかを制御するルートテーブルをサポートしており、同じ TGW 上で本番 VPC と開発 VPC を分離するなど、ネットワークのセグメンテーションを実現できます。

VPC の名前解決は、2 つの DNS 設定で制御します。enableDnsSupport：true（デフォルト）の場合、VPC は AWS 提供の DNS リゾルバー 169.254.169.253、または VPC CIDR の 2 番目の IP アドレス（例：10.0.0.0/16 の場合は 10.0.0.2）を使用します。enableDnsHostnames：true の場合（カスタム VPC では有効化が必須で、デフォルト VPC ではデフォルトで有効）、VPC 内の EC2 インスタンスに ip-10-0-1-15.ec2.internal のような DNS ホスト名が付与されます。VPC 内で Route 53 Private Hosted Zones を機能させるには、両方を有効にする必要があります。

VPC Flow Logs は、VPC を流れるネットワークトラフィックに関するメタデータ（送信元と宛先の IP、ポート、プロトコル、転送バイト数、トラフィックが許可されたか拒否されたかなど）を記録します。フローログは、CloudWatch Logs（Logs Insights でのクエリ用）またはS3（Athena での分析用）に発行できます。セキュリティフォレンジック（誰が何に接続したか）、トラフィック分析（帯域幅を大量に使用するフローの特定）、トラブルシューティング（接続が拒否された理由の確認）に非常に役立ちます。フローログは、VPC、サブネット、個々の ENI の各レベルで利用できます。

VPC を作成する前に、将来必要となるすべての接続性を計画してください。オンプレミス接続（VPN または Direct Connect）：VPC の CIDR がオンプレミスのサブネットと重複しないようにします。VPC 間接続（ピアリングまたは Transit Gateway）：組織内のすべての VPC で重複しない CIDR を計画します。AWS サービスへのアクセス（S3、DynamoDB、SSM 用の VPC エンドポイントを使用し、インターネット経由のトラフィックを回避します）。また、サブネットのサイズについては、EKS Pod、Lambda 関数、Elastic Network Interfaces による IP アドレス消費に備えて、各サブネットに余裕を持たせてください。

このレッスンで扱った AWS Solutions Architect (SAA-C03) の概念について、理解度を確認しましょう。

このレッスンでは、VPC はリージョン内で論理的に分離されたネットワークであり、CIDR ブロックで定義され、AZ 間のパブリックサブネットとプライベートサブネットに分割すること、AWS は各サブネットで 5 つの IP を予約するため、この減少を考慮して常にサブネットのサイズを決める必要があること、そしてVPC Peering と Transit Gateway は VPC をプライベートに接続するが、CIDR 範囲は重複していてはならないことを学びました。次は Internet Gateways と Route Tables について学びます。