０. 目次

みなさま、こんにちは！今回は２回目の投稿になります！よろしくお願いします！

【今回の内容】

今回は、AWS環境でパブリックサブネット、プライベートサブネットの作成方法をご説明していきたいと思います。

上記の2つサブネットはAWSでシステムを構築する際の重要な考え方です。

一般的なインフラ環境では、webサーバなどの公開サーバをパブリックネットワークに配置、DBサーバなど非公開サーバをプライベートネットワークに配置します。

AWS環境で上記の構成しようとした場合どうしたら良いのでしょうか？

その疑問が解消できるような説明、環境構築、検証を本記事では行っています！サブネットに関する説明、実際の構築手順の紹介、構築環境での検証を通じて、皆さまの理解を深めることができれば嬉しく思います！是非ご覧ください！

【前提】

AWS環境を所有していること。
※本検証では一部無料枠を超えたサービスを利用します。もし検証される場合はご注意ください。

本検証で作成する全体構成図になります。検証のためミニマム構成となっていますが、ご確認ください。

本検証の環境構築には主に以下のサービスを使用します。サービスに関する説明は構築手順の前に説明をいれています。
詳しくはAWSドキュメントをご覧ください。

①VPC

Amazon VPC とは?

②サブネット
VPC のサブネット

③インターネットゲートウェイ
インターネットゲートウェイ

④NATゲートウェイ
NAT ゲートウェイ

⑤ルートテーブル
ルートテーブル

⑥Elastic ip(固定IP)
Elastic IP アドレス

⑦ネットワークACL
ネットワークACL

ネットワークACLは、インバウンドとアウトバウンドのトラフィックを制御できるルールになります。VPC毎に作成ができ、サブネットに対して割り当てます。ブラックリスト方式で追加していきます。

⑧セキュリティグループ
セキュリティグループ

セキュリティグループは、インバウンドとアウトバウンドのトラフィックを制御できるルールになります。ネットワークACLと同様の機能ですが、こちらはインスタンス単位で割り当てます。ホワイトリスト方式で追加します。

それではパブリックサブネットとプライベートサブネットを作成していきたいところですが、作成するためにはそれぞれのサブネットの特性を理解しておく必要があります。

以下で説明を行います。

「AWS環境におけるパブリックサブネットとは」

AWS環境におけるパブリックサブネットとは、「インターネットへ出ていくことができ、インターネットから入ることができるサブネット」になります。

ただサブネットの機能だけで、このような特性を持ったサブネットは作成することできません。他のコンポーネント・サービスと組み合わせることで、「インターネットへ出ていくことができ、インターネットから入ることができるサブネット」を作成することができます。具体的にはインターネットゲートウェイとルートテーブルを用います。

パブリックサブネットのサービス構成を文章で表現すると「インターネットゲートウェイへのルートが設定されたルートテーブルが割り当てられたサブネット」になります。詳細に説明すると、「インターネットへのアウトバウンドとインターネットからのインバウンドの双方向通信を可能にするインターネットゲートウェイと通信できるルートが設定されたルートテーブルが割り当てられたサブネット」になります。

図の方がイメージが付きやすいかもしれません。以下のようなイメージになります。

「AWS環境におけるプライベートサブネットとは」

AWS環境におけるプライベートサブネットとは、「インターネットへ出ていくことができるが、インターネットから入ることはできないサブネット」になります。
※補足としてインターネットとの通信を遮断してインターネットへ出ていくことができないサブネットについてもプライベートサブネットと呼ぶ場合もあります。

プライベートサブネットも同様にサブネットの機能だけで、このような特性を持ったサブネットを作成することはできません。他のコンポーネント・サービスと組み合わせることで、「インターネットへ出ていくことができるが、インターネットから入ることができないサブネット」を作成することができます。具体的には、NATゲートウェイとルートテーブルを用います。

プライベートサブネットのサービス構成を文章で表現すると「パブリックサブネットに配置したNATゲートウェイへのルートが設定されたルートテーブルが割り当てられたサブネット」です。詳細に説明すると「インターネットと通信が可能にするためにプライベートIPをパブリックIPに変換する機能を持つNATゲートウェイと通信ができるルートが設定されたルートテーブルが割り当てれらたサブネット」になります。

図の方がイメージが付きやすいかもしれません。以下のようなイメージになります。

それでは、実際に構築していきましょう。

VPCとは・・・AWSが提供する仮想ネットワークサービスです。所持しているAWSアカウントに対して作成することが可能な仮想ネットワークで、各AWSリソースを配置することができます。ただAWSリソースを配置するには、VPC内に一つ以上のサブネットが必要になります。

それではVPCを作成をしていきます。

［１］AWSのマネジメントコンソールにログインしてください。

［２］画面上部の検索バーに①「VPC」と入力してください。検索結果に表示されたサービスの②「VPC」をクリックします。

［３］VPCダッシュボードが表示されます。画面上部の「VPCを作成」をクリックしてください。

［４］VPCの作成画面が表示されます。以下パラメータを入力してください。

「作成するリソース」・・・”VPCのみ”を選択してください。
「名前タグ-オプション」・・・任意のものでも問題ありませんが、今回は”test-VPC01″としています。
「IPv4 CIDR ブロック」・・・IPアドレスの範囲を指定したいので、”IPv4 CIDRの手動入力”を選択してください。
「IPv4 CIRD」・・・「10.0.0.0/23」を入力してください。
「IPv6 CIDR ブロック」・・・今回はIPv6アドレスは使用しないので、”IPv6 CIDR ブロックなし”を選択してください。
「テナンシー」・・・”デフォルト”のままで問題ありません。

［５］最後にタグの入力になりますが、任意のもので問題ありません。デフォルトでVPC名と同じ値になっています。すべてのパラメータの入力が完了したら、画面下部の「VPCを作成」をクリックしてください。

［６］VPCが正常に作成されたことが確認できます。

以上でVPCの作成手順を終了します。

サブネットとは・・・VPC内に作成される指定のIPアドレス範囲で作成されたネットワークになります。VPCの項でも述べましたがVPC内には、一つ以上のサブネットが必要になります。サブネットを作成することで、AWSリソースを配置することができるようになります。作成時にはアベイラビリティゾーン（データセンター）を指定します。注意点として、可用性の観点からアベイラビリティゾーンをまたいで作成することはできないようになっています。

サブネットの作成に入ります。
※名称としてそれぞれパブリックサブネットとプライベートサブネットとしていますが、まだ２で説明をしたそれぞれの特性は持っておりません。

［１］VPCダッシュボード画面に戻ります。

［２］VPCダッシュボード画面の左ペインの「VPCでフィルタリング」から先ほど作成したVPCを選択します。

［３］①作成したVPCが選択されていることが確認できたら、②「サブネット」を選択してください。

［４］サブネットの管理画面が表示されます。画面右上の「サブネットを作成」をクリックしてください。

［５］サブネットの作成画面が表示されます。以下パラメータを入力してください。

VPC ID・・・作成したVPCを選択してください。
サブネット名・・・任意のものでも問題ありません。今回はパブリックサブネットを目的として作成していますので、”test-public-subnet01″としています。
アベイラビリティゾーン・・・今回は特に冗長性を考慮した構成にはしないため、基本的には”ap-northeast-1a”を選択してください。

［６］続いて以下のパラメータを入力します。

IPv4 CIDR ブロック・・・全体構成図の通り、「10.0.0.0/24」とします。
タグ-オプション・・・任意のもので構いません。今回はデフォルトのサブネット名を使用しています。

入力が完了したら、①「サブネットを作成」を選択してください。

［７］サブネットが正常に作成されました。

以上でパブリックサブネットの作成を終了します。

次にプライベートサブネットの作成します。基本的にパブリックサブネットと同じ手順になります。

［１］VPCダッシュボード画面から「サブネットを作成」をクリックしてください。

［２］サブネットの作成画面が表示されます。以下のパラメータを入力してください。

VPC ID・・・作成したVPCを選択します。
サブネット名・・・任意のもので構いませんが、プライベートサブネットのため”test-private-subnet01″としています。
アベイラビリティゾーン・・・パブリックサブネット同様に”ap-northeast-1a”を選択します。
IPv4 CIDR ブロック・・・全体構成図の通り、「10.0.1.0/24」とします。

［３］最後にタグですが、デフォルトで問題ありません。すべてのパラメータの入力が完了したら、画面下部の「サブネットを作成」を選択します。

［４］プライベートサブネットが正常に作成されたことが確認できます。

以上でプライベートサブネットの作成手順を終了します。

最後にサブネットの管理画面に戻ると2つのサブネットが作成されていることが確認できます。

インターネットゲートウェイはとは・・・VPCに配置してVPCとインターネット間の双方向の通信を可能にするためのコンポーネントになります。

インターネットゲートウェイを作成します。

［１］VPCダッシュボード画面の左ペインから「インターネットゲートウェイ」を選択します。

［２］インターネットゲートウェイの管理画面が表示されます。画面右上の「インターネットゲートウェイの作成」を選択してください。

［３］インターネットゲートウェイの作成画面が表示されます。以下のパラメータを入力します。

名前タグ・・・①”test-internetGW01としています。
タグ・・・デフォルトのままで問題ありません。

パラメータの入力が完了したら③「インターネットゲートウェイの作成」をクリックします。

［４］インターネットゲートウェイが無事に作成されました。次に作成したVPCへアタッチします。

［５］画面右上「VPCへアタッチ」をクリックします。

［６］VPCにアタッチ画面が表示されます。作成したVPCを選択してください。

［７］選択が完了したら、「インターネットゲートウェイのアタッチ」を選択します。

［８］VPCへアタッチされたことが確認できます。

VCPへアタッチ方法は、もう一つあります。以下に示します。

ElasticIPの作成になります。NATゲートウェイ作成で必要になります。
※こちらのサービスは有料になりますので、作成される場合はご注意ください。

［１］VPCダッシュボード画面を開きます。

［２］左ペインの「Elastic IP」を選択します。

［３］Elastic IPの管理画面が表示されます。画面右上の「Elastic IPアドレスを割り当てる」を選択します。

［４］作成画面が表示されます。デフォルトのままで問題ありません。「割り当て」を選択します。

［５］Elastic IPが正常に割り当てられました。

“割り当てられた”となっていますが、現時点ではアカウントに対してこのパブリックIPを使ってよいですよ～と許可を与えられた状態です。

以上でElastic IPの作成を終了します。

NATゲートウェイとは・・・プライベートIPアドレスをパブリックIPアドレスに変換を行うためのゲートウェイになります。
パブリックサブネットに配置します。NATゲートウェイを経由させることでプライベートサブネット内のインスタンスがインターネットへ接続を可能にします。

NATゲートウェイを作成します。

［１］VPCダッシュボード画面を開きます。

［２］左ペインから「NATゲートウェイ」を選択します。

［３］NATゲートウェイ管理画面が表示されます。画面右上の「NATゲートウェイを作成」を選択します。

［４］NATゲートウェイの作成画面が表示されます。以下のパラメータを入力します。

名前-オプション・・・”test-NATGW01″としています。
サブネット・・・作成したパブリックサブネットを指定します。
接続タイプ・・・「パブリック」を選択します。
Elastic IP 割り当てID・・・作成したElasticIPを割り当てます。

［５］最後にタグですが、デフォルトのままで問題ありません。画面右下の「NATゲートウェイを作成」を選択します。

［６］NATゲートウェイが正常に作成されました。

［７］NATゲートウェイ管理画面に戻ると以下のように表示されています。作成直後の状態はまだ「Pending」となっています。

［８］少し待ってから更新すると状態が「Available」となります。この状態であれば使用可能になります。

以上でNATゲートウェイの作成を終了します。

ルートテーブルとは・・・サブネットやゲートウェイのトラフィックのルートを制御するためのルールになります。

ルートテーブルの作成をします。ルートテーブルはサブネットに対して関連付けます。

パブリックサブネットには以下のルート設定を割り当てます。
①「インターネットゲートウェイ」へのルート

プライベートサブネットには以下のルート設定を割り当てます。
②「パブリックサブネットの配置されたNATゲートウェイ」へのルート

パブリックサブネットのルートテーブルを作成します。

［１］VPCダッシュボード画面を開きます。

［２］ルートテーブルの管理画面が表示されます。画面右上の「ルートテーブルを作成」を選択してください。
※すでにルートテーブルが存在しますが、これはデフォルトで作成されるVPC内の通信のためのルートテーブルです。

［３］ルートテーブルの作成画面が表示されます。以下パラメータを入力します。

名前-オプション・・・パブリックサブネット用のルートテーブルなので”public-subnetRT01″としています。
VPC・・・ルートテーブルを使用するVPCを選択します。作成したVPCを選択します。
タグ・・・デフォルトのままで問題ありません。

パラメータの入力が完了したら、画面右下の「ルートテーブルを作成」を選択します。

［４］ルートテーブルが作成されました。次にサブネットに関連付けを行います。「サブネットの関連付け」を選択してください。

［５］「サブネットの関連付けを編集」を選択します。

［６］サブネットの関連付け編集画面が表示されます。①作成したパブリックサブネットを選択し、②「関連付けを保存」をクリックします。

［７］サブネットの関連付けが正常に行われました。次にルートを編集します。

［８］画面下部の①「ルート」を選択し、②「ルートを編集」をクリックします。

［９］ルートの編集画面が表示されます。以下のルート情報を追加します。

①送信先・・・「0.0.0.0/0」すべてのIPアドレスを対象します。
②ターゲット・・・「作成したインターネットゲートウェイ」を選択してください。

入力が完了したら、③「変更を保存」をクリックします。

［10］無事にルート設定が完了しました。

以上でパブリックサブネットに対するルートテーブルの作成を終了します。

プライベートサブネットに対するルートテーブルの作成を行います。基本的な手順はパブリックサブネットと同じです。

［１］VPCダッシュボード画面を開きます。

［２］ルートテーブルの管理画面が表示されます。画面右上の「ルートテーブルを作成」を選択してください。

［３］ルートテーブルの作成画面が表示されます。以下パラメータを入力します。

名前-オプション・・・プライベートサブネット用のルートテーブルなので”private-subnetRT01″としています。
VPC・・・ルートテーブルを使用するVPCを選択します。作成したVPCを選択します。
タグ・・・デフォルトのままで問題ありません。

パラメータの入力が完了したら、画面右下の「ルートテーブルを作成」を選択します。

［４］ルートテーブルが作成されました。次にサブネットに関連付けを行います。「サブネットの関連付け」を選択してください。

［５］「サブネットの関連付けを編集」を選択します。

［６］サブネットの関連付け編集画面が表示されます。①作成したプライベートサブネットを選択し、②「関連付けを保存」をクリックします。

［７］サブネットの関連付けが正常に行われました。次にルートを編集します。

［８］画面下部の①「ルート」を選択し、②「ルートを編集」をクリックします。

［９］ルートの編集画面が表示されます。以下のルート情報を追加します。

①送信先・・・「0.0.0.0/0」すべてのIPアドレスを対象します。
②ターゲット・・・「パブリックサブネットに配置されたNATゲートウェイ」を選択してください。

入力が完了したら、③「変更を保存」をクリックします。

［１０］無事にルート設定が完了しました。

以上でプライベートサブネットに対するルートテーブルの作成を終了します。

パブリックサブネット内に配置されたインスタンスからプライベートサブネット内に配置されたインスタンスへ双方でプライベートIPを用いて接続を行います。インターネット介さないVPC内の通信になります。VPC内の通信は制限しておりませんので、通信可能なはずです。確認してみましょう。

インスタンス（パブリック）で操作を行います。

［１］はじめにICMPのpingを打ってみます。①「スタート」をクリックし、②検索バーで「cmd」と入力します。③「コマンドプロンプト」を選択して、開きます。

［２］cmdが開かれたら、インスタンス（プライベート）にpingを送ります。「ping 10.0.1.50」と入力して、Enterを押します。

［３］正常にpingが疎通されていることが確認できました。

［５］①「スタート」を開き、②検索バーで「リモートデスクトップ接続」を検索します。③「リモートデスクトップ接続」を選択します。

［６］①にインスタンスの情報（プライベートIP）を入力して、②「接続」を押します。

［７］パスワードの入力画面が表示されます。①「パスワード」を入力し、②「OK」を選択します。

［８］接続完了しました。プライベートIPを指定したRDP接続ができることが確認できました。

以上で検証を終了します。

インスタンス（パブリック）からインスタンス（プライベート）にプライベートIPを用いた接続が確認できました。

次にプライベートサブネット内に配置されたインスタンスからパブリックサブネット内に配置されたインスタンスへプライベートIPを用いて接続を行います。インターネット介さないVPC内の通信なので、通信可能なはずです確認してみましょう。

インスタンス（プライベート）で操作を行います。

［１］ICMPのpingを打ってみます。①「スタート」をクリックし、②検索バーで「cmd」と入力します。③「コマンドプロンプト」を選択して、開きます。

［２］cmdが開かれたら、インスタンス（パブリック）にpingを送ります。「ping 10.0.0.50」と入力して、Enterを押します。

［３］正常にpingが疎通されていることが確認できました。

［４］①「スタート」を開き、②検索バーで「リモートデスクトップ接続」を検索します。③「リモートデスクトップ接続」を選択します。

［５］①にパブリックインスタンスの情報（プライベートIP）を入力して、②「接続」を押します。

［６］パスワードの入力画面が表示されます。①「パスワード」を入力し、②「OK」を選択します。

［７］接続完了しました。プライベートIPを指定したRDP接続ができることが確認できました。

以上で検証を終了します。

インスタンス（プライベート）からインスタンス（パブリック）にプライベートIPを用いた接続が確認できました。

事前にインスタンス（パブリック）にIISサービスをインストールしています。インスタンス（パブリック）でIISを構築して、webページを公開しています。クライアント端末からネットワーク経由でwebページが閲覧可能か確認してみます。

クライアント端末から操作します。

［１］Microsoftedgeから接続を行います。Microsoftedgeをクリックしてください。

［２］Microsoftedge画面上部の検索バーで「http://インスタンスのパブリックIP」を入力します。

［３］IISのデフォルトサイトが表示されました。

クライアント端末から公開サーバのwebページを開けることが確認できました。

以上で検証を終了します。