AWS再入門 Amazon VPC編

AWS再入門アドベントカレンダー

#Amazon VPC

#AWS Direct Connect

#AWS

大瀧隆太

2015.12.02

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

ども、大瀧です。当エントリはDevelopers.IOでの弊社AWSチームによる『AWS サービス別再入門アドベントカレンダー 2015』2日目のエントリです。昨日1日目は八幡の『Amazon S3』でした。このアドベントカレンダーの企画は、普段AWSサービスについて最新のネタ・深い/細かいテーマを主に書き連ねてきたメンバーの手によって、今一度初心に返って、基本的な部分を見つめ直してみよう、解説してみようというコンセプトが含まれています。本日2日目のテーマは『Amazon VPC』です。

Amazon VPCとは

クラウドに仮想ネットワークを構築

Amazon VPC(Virtual Private Cloud)は、その名の通りユーザー専用のプライベートなクラウド環境を提供するサービスです。ここで言う"ユーザー専用"というのはEC2インスタンス同士を接続する仮想ネットワークのことであり、仮想マシン自体は特別なオプション ^*1を指定しない限り、他のユーザーと同じ物理ホストを共有する構成になります。

AWS Black Belt Techシリーズ Amazon VPC from Amazon Web Services Japan

AWSの様々なサービスを評価する際には、VPCに対応しているかを確認することをおすすめします。VPCに対応するサービスはプライベートネットワーク内にノードが配置できるため外部ネットワークとのセキュリティ設計がしやすい一方、後述のアドレス設計時にノードが使用するアドレス数のカウント・確保をしておく必要があります。一方VPC非対応のサービスは、グローバルIPをエンドポイントとしてインターネット経由で利用するため、VPC内のノードとの経路やセキュリティ設計を検討する必要があります。

手っ取り早くVPCを試してみたい、という場合はミニマム構成のチュートリアルを紹介する記事がオススメです。

Amazon VPCを使ったミニマム構成のサーバ環境を構築する｜ Developers.IO

↑ 上記記事はAWS Management Consoleのスクリーンショットが古い点にご注意ください

自在なネットワーク設計

VPC内は自由にIPv4ネットワークを構築することができ、上述のスライドのようにオンプレミスと同様のネットワークが設計できます。AWSが提供するコンポーネントや固有名詞もあるので、基本概念については以下のシリーズ記事を参照するのが良いでしょう。

インフラエンジニアに贈るAmazon VPC入門｜シリーズ｜ Developers.IO

また、実際のアドレス設計時の考慮事項は以下の記事にまとまっています。

【初心者向け】AWS IPアドレス設計で押さえておきたいポイント｜ Developers.IO

2つのセキュリティ機能

Amazon VPCには、追加料金なしで利用できる標準のセキュリティ機能が2つあります。

セキュリティグループ
ネットワークACL(NACL)

どちらもファイヤーウォール機能として、EC2インスタンスなどVPC内のノードと他のホストとの通信を制限できます。どちらを利用するかは自由に選択できますが、使い勝手や各パラメータの設定上限からセキュリティグループをメイン機能、NACLをサブ機能として設計するのが良いでしょう。

いずれの機能もAWS API経由で動的に制御できるので、他のシステムとの連携もできます。NACLとの連携例として以下を挙げます。

Norikra+FluentdでDoS攻撃をブロックする仕組みを作ってみた｜ Developers.IO

ユースケース

Amazon VPCは、その用途(ユースケース)によって外部ネットワークとの組み合わせが変わってきます。

1. インターネット向けシステム

インターネットを経由するシステムを提供します。インターネットからの接続を待ち受ける各インスタンスには、グローバルIP(Elastic IP or Public IP)を設定しますが、必ずしもVPC内の全インスタンスに付与する必要はありません。ELB(Elastic Load Balancing)から複数のEC2にトラフィックを転送する構成が良く用いられますが、Elastic IPの付け外しも高可用性システム実現のためのデザインパターンとしてしばしば利用できるので覚えておくと良いでしょう。

【AWS】クラウドデザインパターン実践編／仮想IPアドレスによるFloating IPパターン｜ Developers.IO

また、EC2からインターネットへの接続には、デフォルトでSMTP制限がかかっているので注意が必要です。

Amazon EC2 Eメール送信ベストプラクティス｜ Developers.IO

2. オンプレミス向けシステム

オンプレミスのネットワークの延長としてVPCを相互接続し、データセンターのサーバーや企業の拠点PC向けシステムを提供します。相互接続としてはインターネットVPN(IPsec)もしくは専用線(Amazon Direct Connect)が利用できます。それぞれ設計・構成のポイントがあるので、以下の記事が参考になるでしょう。

3. インターネット兼オンプレミス向けシステム

1と2の組み合わせもできます。インターネットとオンプレミスとの両方の接続をVPCに設定する構成です。こうなるとデータセンターネットワークにおけるサービス系/運用管理系のセグメント分けのように設計したくなるところですが、1インスタンスのマルチホーム構成はVPCでは推奨されません。ルーティングテーブルおよびセキュリティ設定で対応しましょう。