VPC ネットワーク設計とセキュリティグループ - AWS のネットワーク分離戦略

VPC によるネットワーク分離の基本設計

Amazon VPC (Virtual Private Cloud) は、AWS クラウド内に論理的に分離されたプライベートネットワークを構築するサービスです。CIDR ブロックの指定、サブネットの分割、ルートテーブルの設定、インターネットゲートウェイや NAT ゲートウェイの配置など、オンプレミスのネットワーク設計と同等の柔軟性をクラウド上で実現します。VPC は最大 /16 (65,536 IP アドレス) のネットワーク空間を提供し、パブリックサブネットとプライベートサブネットを組み合わせた多層防御のネットワーク構成が可能です。オンプレミスでは物理スイッチ、ルーター、ファイアウォールの調達と設置に数週間から数ヶ月を要しますが、VPC は数分で構築でき、CloudFormation や Terraform によるコード化で再現性のあるネットワーク構成を実現します。

この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。

セキュリティグループとネットワーク ACL の多層防御

AWS のネットワークセキュリティは、セキュリティグループとネットワーク ACL の 2 層で構成されます。セキュリティグループはインスタンスレベルのステートフルファイアウォールで、許可ルールのみを定義します。戻りのトラフィックは自動的に許可されるため、設定がシンプルです。ネットワーク ACL はサブネットレベルのステートレスファイアウォールで、許可と拒否の両方のルールを定義できます。この 2 層構造により、サブネット境界での粗いフィルタリングとインスタンス単位での細かいアクセス制御を組み合わせた多層防御が実現します。Azure の NSG (Network Security Group) も同様の機能を提供しますが、AWS のセキュリティグループは他のセキュリティグループを参照元として指定できるため、IP アドレスに依存しない動的なアクセス制御が可能です。Auto Scaling でインスタンスが増減しても、セキュリティグループの参照により自動的にアクセスが許可されます。

VPC ピアリングとトランジットゲートウェイ

複数の VPC 間の接続には、VPC ピアリングと AWS Transit Gateway の 2 つの選択肢があります。VPC ピアリングは 2 つの VPC 間の直接接続で、追加のハードウェアやゲートウェイが不要です。トラフィックは AWS のバックボーンネットワークを経由し、暗号化された低レイテンシの通信が可能です。Transit Gateway は数千の VPC とオンプレミスネットワークをハブ&スポーク型で接続するサービスで、ネットワーク構成の複雑さを大幅に軽減します。Transit Gateway は最大 50 Gbps のバースト帯域幅をサポートし、ルートテーブルによるトラフィックの細かい制御が可能です。Azure の Virtual WAN も同様のハブ&スポーク構成を提供しますが、Transit Gateway は VPC、VPN、Direct Connect を統一的に管理でき、マルチアカウント環境での AWS RAM によるリソース共有にも対応しています。

VPC エンドポイントとプライベート接続

VPC エンドポイントは、インターネットを経由せずに VPC から AWS サービスにプライベートにアクセスする機能です。ゲートウェイエンドポイント (S3、DynamoDB 向け) は無料で利用でき、インターフェイスエンドポイント (AWS PrivateLink) は 100 以上の AWS サービスとサードパーティサービスへのプライベート接続を提供します。PrivateLink を使えば、自社の VPC 内のサービスを他の VPC やアカウントにプライベートに公開でき、インターネットに露出させることなくサービス間通信を実現します。オンプレミスとの接続には AWS Direct Connect による専用線接続や、Site-to-Site VPN による暗号化トンネルが利用可能です。VPC Flow Logs はネットワークトラフィックのメタデータを記録し、セキュリティ分析やトラブルシューティングに活用できます。Azure の Private Link も同様の機能を提供しますが、AWS の VPC エンドポイントは S3 と DynamoDB 向けのゲートウェイエンドポイントが無料で、コスト面での優位性があります。

さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。

まとめ - VPC ネットワーク設計のベストプラクティス

Amazon VPC は、クラウド上のネットワーク設計において、オンプレミスと同等以上の柔軟性とセキュリティを提供します。セキュリティグループとネットワーク ACL の 2 層防御、VPC ピアリングと Transit Gateway による柔軟な VPC 間接続、VPC エンドポイントによるプライベートなサービスアクセスは、エンタープライズグレードのネットワーク基盤を構成します。CloudFormation による IaC 化で、ネットワーク構成の再現性と監査可能性を確保でき、VPC Flow Logs によるトラフィック監視でセキュリティインシデントの早期検知が可能です。マルチアカウント環境では Transit Gateway と AWS RAM の組み合わせで、スケーラブルなネットワーク構成を実現できます。