VPCネットワークの基本設計 サブネット・ルートテーブル・セキュリティグループ・NACLを要件から組む

SAA-C03を目指す方向けに、VPCの基本コンポーネントをどう組み合わせるかを解説します。試験では個々の用語よりも「プライベートサブネットのサーバーからインターネットへ出るには何が必要か」「この通信を許可するにはどこを直すか」といった、要件から構成を組み立てる力が問われます。

覚え方：3つの層で考える

VPCの設計は「配置(サブネットとAZ)」「経路(ルートテーブルとゲートウェイ)」「フィルタ(セキュリティグループとNACL)」の3層で考えると迷いません。通信できない問題は、この3層を順に確認するのが定石です。

配置：パブリックとプライベートの違いは経路で決まる

サブネットが「パブリック」かどうかは名前ではなく、ルートテーブルにインターネットゲートウェイへの経路があるかで決まります。Webサーバーやロードバランサーはパブリック、アプリケーションサーバーやRDSはプライベートに置き、高可用性のために各層を2つ以上のAZに配置するのが基本形です。1つのVPCには複数のCIDRを追加でき、サブネットは1つのAZに属します。

経路：ゲートウェイの使い分け

インターネットゲートウェイは双方向のインターネット通信、NATゲートウェイはプライベートサブネットからの送信のみ(パッチ取得やAPI呼び出し)に使います。NATゲートウェイはAZ単位のリソースなので、AZ障害に備えるならAZごとに配置し、各AZのルートテーブルから同じAZのNATを指すようにします。S3やDynamoDBへの通信はゲートウェイ型VPCエンドポイントを使うとNATを経由せず無料で、他のAWSサービスにはインターフェイス型エンドポイント(PrivateLink)を使います。

フィルタ：セキュリティグループとNACL

セキュリティグループはインスタンス(ENI)単位のステートフルなファイアウォールで、許可ルールのみを書き、戻りの通信は自動で許可されます。他のセキュリティグループをソースに指定できるため、「ALBからのみアプリサーバーへ」「アプリサーバーからのみDBへ」という階層構造を組めます。NACLはサブネット単位でステートレス、番号順に評価され拒否ルールも書けるため、特定IPアドレスの遮断など補助的に使います。

チェックリスト

• パブリックサブネットの定義をルートテーブルで説明できる
• NATゲートウェイをAZごとに配置する理由を説明できる
• S3向けにゲートウェイ型エンドポイントを選ぶ理由(コストと経路)を説明できる
• セキュリティグループをソースにした階層型の許可ルールを設計できる
• NACLのエフェメラルポートの扱いを理解している

まとめ

VPCは「配置・経路・フィルタ」の3層で考え、通信できない問題も同じ順序で切り分けます。NATゲートウェイのAZ配置、VPCエンドポイントの使い分け、セキュリティグループ参照はSAAの頻出テーマです。

クイズで理解度を確かめ、最新の出題範囲はAWS認定 公式ページで確認しておきましょう。