VPC ネットワークアーキテクチャを説明する

Amazon VPC を使用すると、AWS クラウド内に、仮想プライベートクラウド (VPC) と言う、論理的に分離された仮想ネットワークを定義でき、個別の VPC を作成することで、ワークロードまたは組織エンティティごとにインフラストラクチャの分離が可能となります。VPC を設定するには、IP アドレス範囲の選択、ルーティングの設定、ネットワークゲートウェイの追加を行って、VPC を相互接続し、VPC とインターネットまたは独自の企業ネットワークとの接続を行います。VPC では、EC2 インスタンスや RDS インスタンスなどの AWS リソースを起動します。

次の表には、VPC ネットワークの主な特性の説明が記載されています。ネットワーク管理者は、このガイダンスを利用することで VPC ネットワークのアーキテクチャと設定を説明できます。こうした情報があれば、オンプレミスや別のクラウドプロバイダーを使用して同等の機能を持つネットワークを設定することが可能になります。

地理的場所

Amazon VPC は、世界中のどの AWS リージョンでも利用できます。各リージョンは、個別の地理的領域です。ユーザーの大部分が存在する場所に近いリージョンにリソースの VPC を作成することで、ネットワークレイテンシーを低減できます。

Amazon EC2 Global View を使用して、すべてのリージョンの VPC をグラフィカルユーザーインターフェイスで一覧表示できます (同等のプログラムインターフェイスはありません)。Amazon VPC コンソール、AWS API、AWS コマンドラインインターフェイスでは、各リージョンの VPC と VPC リソースを個別に一覧表示する必要があります。

地理的場所が重要である理由

VPC の場所を特定すると、必要に応じて、機能的に同等のネットワークを、同じ場所に設定するか、異なる場所に設定するかを決定できます。

AWS CLI を使用してリージョン内の VPC 情報を取得する

次の describe-vpcs コマンドを使用します。このコマンドは、VPC が存在する各リージョンで実行する必要があります。--query パラメータは、VPC ID のみを出力に含めます。必要に応じて追加のフィールドを含めることができます。

aws ec2 describe-vpcs \
    --region us-east-2 \
    --query "Vpcs[*].VpcId"

各リージョンにはデフォルトの VPC が表示されます。デフォルトの VPC を使用していない場合は、次のフィルターを追加して、結果からデフォルトの VPC を除外きます。

--filters Name=is-default,Values=false

サブネット

サブネットは、VPC 内にある論理的なネットワーク境界です。サブネットを作成する際、IP アドレスのブロックを割り当てます。サブネットで起動するリソースには、サブネットの IP アドレスのブロックから IP アドレスが割り当てられます。IP アドレスがあると、リソースがローカルネットワークまたはインターネット経由で相互に通信できるようになります。

Amazon VPC コンソールのリソースマップにより、VPC のサブネットが可視化されます。

サブネットが重要である理由

サブネットを使用することでセキュリティ境界を実装し、アプリケーション層の間のトラフィックを制御できます。サブネットの IP アドレスを把握しておくことで、同等の機能を持つネットワーク内のリソースが、VPC ネットワーク内で通信できるものと同じクライアントやアプリケーションと通信可能であることを確実にできます。

AWS CLI を使用して VPC のサブネットを記述する

次の describe-subnets コマンドを使用します。--filters パラメータは、指定された VPC のサブネットを示す検索の範囲を指定します。--query パラメータに含まれるのは、出力内の指定されたフィールドのみです。必要に応じて追加のフィールドを含めることができます。

aws ec2 describe-subnets \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query Subnets[*].[SubnetId,AvailabilityZoneId,CidrBlock,Ipv6CidrBlockAssociationSet[0].Ipv6CidrBlock] \
    --output table

以下は出力の例です。各列は、サブネット ID、AZ ID、IPv4 アドレス範囲、最初の IPv6 アドレス範囲 (該当する場合) を示しています。

---------------------------------------------------------------------------------------
|                                   DescribeSubnets                                   |
+---------------------------+-----------+----------------+----------------------------+
|  subnet-0d2d1b81e0bc9c6d4 |  usw2-az1 |  10.0.144.0/20 |  2600:1f14:1e6e:a003::/64  |
|  subnet-0e01d500780bb7468 |  usw2-az1 |  10.0.16.0/20  |  2600:1f14:1e6e:a001::/64  |
|  subnet-0eb17d85f5dfd33b1 |  usw2-az2 |  10.0.128.0/20 |  2600:1f14:1e6e:a002::/64  |
|  subnet-0e990c67809773b19 |  usw2-az2 |  10.0.0.0/20   |  2600:1f14:1e6e:a000::/64  |
+---------------------------+-----------+----------------+----------------------------+

ネットワーク接続

Amazon VPC の接続オプションを使用すると、複数のアカウント、リージョン、リモートネットワーク内の VPC にまたがるネットワークを作成できます。

Amazon VPC コンソールのリソースマップでは、VPC でインターネットゲートウェイ、Egress-Only インターネットゲートウェイ、NAT ゲートウェイ、ゲートウェイ VPC エンドポイントが使用されているかどうかを確認できます。Transit Gateway、ピアリング接続、仮想プライベートゲートウェイ、その他のタイプの VPC エンドポイントは、使用されていてもリソースマップには表示されません。VPC のゲートウェイとピアリング接続の完全なリストは、コンソール、API、またはコマンドラインインターフェイスを使用して一度に 1 つを記述することで取得できます。

ネットワーク接続が重要である理由

VPC ネットワークで可能な接続を把握できていれば、同等の機能を持つネットワーク内のリソースと、同様のローカルおよびリモートリソースを通信させることができます。

セキュリティコントロール

Amazon VPC のセキュリティコントロールを使用することで、VPC と、VPC にデプロイされたリソースへのネットワークアクセスを決定できます。

これが重要な理由

サブネットとリソースに到達可能なインバウンドトラフィックと、サブネットおよびリソースからの送信を許可するトラフィックが決定していれば、機能的に同等のネットワークに必要なファイアウォールルールを計画できます。

セキュリティグループ

セキュリティグループを使用すると、特定のインバウンドおよびアウトバウンドトラフィックをリソースレベルで許可できます。セキュリティグループは、VPC 内のリソースへのアクセスを制御する主要な仕組みとして使用します。

VPC のセキュリティグループ情報を取得するには

次の describe-security-groups コマンドを使用すると、指定した VPC のセキュリティグループが表示されます。

aws ec2 describe-security-groups \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query SecurityGroups[*].GroupId

セキュリティグループのインバウンドルールを取得するには

次の describe-security-group-rules コマンドを使用すると、指定したセキュリティグループのルールが表示されます。IsEgress には false を指定しています。

aws ec2 describe-security-group-rules \
    --filters Name=group-id,Values=sg-0abcdef1234567890 \
    --query 'SecurityGroupRules[?IsEgress==`false`]'

セキュリティグループのアウトバウンドルールを取得するには

次の describe-security-group-rules コマンドを使用すると、指定したセキュリティグループのルールが表示されます。IsEgress には true を指定しています。

aws ec2 describe-security-group-rules \
    --filters Name=group-id,Values=sg-0abcdef1234567890 \
    --query 'SecurityGroupRules[?IsEgress==`true`]'

ネットワーク ACL

ネットワークアクセスコントロールリスト (ACL) を使用すると、特定のインバウンドおよびアウトバウンドトラフィックをサブネットレベルで許可または拒否できます。ネットワーク ACL は、適切なセキュリティグループを設定せずにリソースをデプロイしてしまった場合の多層防御として使用できます。

サブネットのネットワーク ACL を取得するには

次の describe-network-acls コマンドを使用すると、VPC のネットワーク ACL とそのサブネットの関連付けが表示されます。

aws ec2 describe-network-acls \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query "NetworkAcls[*].{ID:NetworkAclId,Subnets:Associations[].SubnetId}"

ネットワーク ACL のインバウンドルールを取得するには

次の describe-network-acls コマンドを使用すると、指定したネットワーク ACL のルールが表示されます。Egress には false を指定しています。

aws ec2 describe-network-acls \
    --network-acl-ids acl-0abcdef1234567890 \
    --query 'NetworkAcls[*].Entries[?Egress==`false`]'

ネットワーク ACL のアウトバウンドルールを取得するには

次の describe-network-acls コマンドを使用すると、指定したネットワーク ACL のルールが表示されます。Egress には true を指定しています。

aws ec2 describe-network-acls \
    --network-acl-ids acl-0abcdef1234567890 \
    --query 'NetworkAcls[*].Entries[?Egress==`true`]'

トラフィック管理

トラフィック管理の効果を高めるには、ルートテーブルによってネットワークレベルでルーティングを決定すると同時に、ロードバランシングによるアプリケーションレベルの分散戦略を実行します。

トラフィック管理が重要である理由

ネットワーク管理者は、セキュリティ境界を維持し、パフォーマンス要件を満たしながらトラフィックフローを最適化するように、サブネット、ルーティング、DNS 解決、負荷分散を設計する必要があります。VPC ネットワーク内のこれらのコンポーネントの設定を把握しておくことで、同等の機能を持つネットワーク内のリソースが、VPC ネットワーク内で通信できるものと同じクライアントやデバイスと通信可能であることを確実にできます。

ルートテーブル

ルートテーブルを使用すると、サブネット、VPC、オンプレミスネットワーク、インターネットといったネットワークの境界を越えるトラフィックフローを制御できます。

Amazon VPC コンソールのリソースマップにより、VPC のルートテーブルが可視化されます。

ルートテーブルを記述する

describe-route-tables コマンドを使用すると、指定した VPC のルートテーブルとそのサブネットの関連付けを記述できます。

aws ec2 describe-route-tables \
    --filters Name=vpc-id,Values=vpc-1234567890abcdef0 \
    --query "RouteTables[*].{ID:RouteTableId,Subnets:Associations[].SubnetId}"

ルートテーブルのルートを取得するには

describe-route-tables コマンドを使用して、指定されたルートテーブルのルートを記述します。

aws ec2 describe-route-tables \
    --route-table-ids rtb-02ec01715bEXAMPLE \
    --query RouteTables[*].Routes

DHCP オプションセット

VPC には、さまざまなネットワーク設定を行うために使用できる DHCP オプションセットがあります。例えば、EC2 インスタンスが既存の DNS インフラストラクチャを使用して内部ホスト名を解決できるように、カスタム DNS サーバーを設定することができます。詳細については、「DHCP オプションセットの概念」を参照してください。

VPC の DHCP オプションを記述する

describe-dhcp-options コマンドを使用して、指定された DHCP オプションを記述します。この例では、describe-vpcs コマンドを使用することで、指定された VPC の DHCP オプションの ID も取得します。

aws ec2 describe-dhcp-options \
    --dhcp-options-id "$(aws ec2 describe-vpcs \
        --vpc-id vpc-1234567890abcdef0 \   
        --query Vpcs[].DhcpOptionsId --output text)"

以下は、デフォルトの DHCP オプションを使用する VPC の出力例です。

{
    "DhcpOptions": [
        {
            "OwnerId": "415546850671",
            "Tags": [],
            "DhcpOptionsId": "dopt-1234567890abcdef0",
            "DhcpConfigurations": [
                {
                    "Key": "domain-name",
                    "Values": [
                        {
                            "Value": "us-west-2.compute.internal"
                        }
                    ]
                },
                {
                    "Key": "domain-name-servers",
                    "Values": [
                        {
                            "Value": "AmazonProvidedDNS"
                        }
                    ]
                }
            ]
        }
    ]
}

ロードバランサー

ロードバランシングを使用すると、クライアントからの受信トラフィックを複数のターゲットに分散できます。ロードバランサーでターゲットの状態をモニタリングして、トラフィックを分散処理しているサーバー群から異常なターゲットを自動的に削除し、正常なターゲットのみが使用されるようにします。このため、アプリケーションの可用性とパフォーマンスが向上し、リソース使用率も最適化されます。詳細については、「Elastic Load Balancing ユーザーガイド」を参照してください。

ロードバランサーを記述する

describe-load-balancers コマンドを使用すると、指定された VPC のロードバランサーが表示されます。

aws elbv2 describe-load-balancers \
    --query 'LoadBalancers[?VpcId==`vpc-1234567890abcdef0`].LoadBalancerArn'

関連リソース

VPC ネットワークで使用されている可能性のあるオプションのサービスまたは機能を以下に示します。