AWS VPCについて（２） #AWS

こんにちは、キムです。
以前VPCについてていう記事を書きました。　おそらくかぶる内容も色々あると思いますが、自分の記事を自分でもう少しアップグレードする気持ちで（２）ていう記事名をつけました。
この記事では、VPCを設計する前に少しわかっておいたらいい知識、そして実際VPCをどのように構築していくのかについて話そうと思います。
物足りない内容かな…と思いますが、ぜひご参考になれば嬉しいです。
間違ってる内容や・追記したほうがいい部分があれば、コメントお願いします。

基本知識

IPアドレスの構造について

IP アドレスは32 桁の2 進数であり、総個数は約42 億個程度である。構成は（ネットワークアドレス+ホストアドレス）から構成される。簡単に説明すると、ネットワークアドレスはマンションのアドレス、ホストアドレスは部屋番号で理解すれば分かりやすい。相手の家に正確な住所を探すためには、まずマンションの住所に行って部屋番号を探さなければならない。

IPアドレスを8ビットで4等分するとこれらをそれぞれオクテットという。各オクテットは0~255までの範囲であるため、合計256個が入ることが分かる。そして各オクテットごとにIPのクラスをA、B、Cに分けることができる。
Aクラスはオクテット1 がネットワークID ID である。そして残りのオクテットをホストのIDとして使う。 Bクラスはオクテット2までをネットワークIDとして使用する。そしてCクラスはオクテット3まで使う。
結果的にAクラスはネットワークID1つ当たり1677万個のIPアドレスを、Bクラスは6万5千個、Cクラスは256個持つ。 Cを使うには個数が少なすぎるし、Bを使うには失敗する場合があるため、このクラス別にアイピーを割り当てる方法は以前になくなった。
その後、この問題を解決するためにサブネットマスクを使用したが、「マスク」という単語のようにアイピーアドレスを隠す役割をする。 AクラスはこのCIDRブロックにおいて8に該当する。 B クラスは16 C クラスは24 に該当する。
より詳しい内容はこちらを参考に

CIDR(Classless Inter-Domain Routing)て？

CIDR は急激に不足するIPv4アドレスをより有効に使用するために登場したものである。表現方式はxxx.xxx.xxx.xxx/yyの形で表示し、一番後ろのyy はサブネットマスクを2進数に変えたときに1の個数になる。上で述べたように基本的にCクラスは24個の1でIPを隠してしまう。遮った後のケタから使えるようになる。

例えば、255.255.255.255.0を2進数に置き換えると、111111.111.111.111.00000000となるが、1が24個なのでCIDR 表記法でxxx.xxx.xxx.xxx/24となる。（ちなみに、サブネットマスクは1 が連続して出るべきである）192.16.8.0.0/24なら192.168.0.1 ~192.168.0.254までである。初めの192.168.0.0がネットワークであり、最後の192.168.0.255はブロードキャストから除外される。
より詳しい内容はこちらを参考に

本題

VPCよりはVPN（Virtual Private Network）

VPNは日本語で仮想私設網という。前の「仮想」という言葉からも分かるように、実際の私設網ではなく仮想の私設網である。上図のように会社のネットワークが構成されており、セキュリティ上の理由で従業員間のネットワークを分離したいのであれば、既存のインターネット線工事もやり直さなければならず、建物の内部線をすべて取り払って直すべきであり、また専用線を敷き直さなければならない。そのために仮想網VPN を使用することになる。

VPN はネットワークA とネットワークB が実際に同じネットワーク上にあるが論理的に異なるネットワークであるかのように動作する。これを我々は仮想私設網と言う。

VPC（Virtual Private Cloud）

VPCがなければ、EC2インスタンスが互いにクモの巣のようにつながり、インターネットとつながる。このような仕組みは、システムの複雑度を大幅に引き上げるだけでなく、1つのインスタンスを追加するだけですべてのインスタンスを修正しなければならない不便さがある。まるでインターネット専用線を新しく敷くようなものだ。

VPC を使用すると、上図のようにVPC ごとにネットワークを構成でき、それぞれのVPC に応じて異なるネットワーク設定を与えることができる。また、それぞれのVPCは完全に独立したネットワークのように動作することになる。

VPCの構築流れ

VPC を構築するためには、VPC のIP 範囲をRFC1918という私設のIP帯域に合わせて構築しなければならない。私設IPとは何だろうか？インターネットのために使用するのではなく、私たち同士で使用するIP帯域アドレスである。例えば、誰かが「居間からリモコン取ってくれ」と言うと、私は隣の居間に行くのではなく、私の家の居間にリモコンを取りに行く。居間の位置がプライベートIPであり、私の家の住所がパブリックIPである。

隣にもリビングがあるし、私の家にもリビングがあるけど、お互いのリビングに入った時、見分けがつかない。「居間」、「小部屋」、「大部屋」のように内部で使うアドレスを私設のIP帯域と呼び、内部ネットワークで場所を探す際に使用する。むろん、友人や弟の友人が訪ねてくる時は住所（パブリックIP）を知らせればよく、同じ家（我が家）に住む（同一ネットワーク上に存在する）私が弟のところに行く時は、弟の部屋（私設アイピー）に行く。

VPC で使用する私設のIP 帯域は以下の通りである。

10.0.0.0 ~ 10.255.255.255(10/8 prefix)
172.16.0.0 ~ 172.31.255.255 (182.16/12 prefix )
192.168.0.0 ~ 192.168.255.255 (192.168/16 prefix )

一度設定されたIP帯域は修正できず、各VPCは一つのリージョンに従属される。それぞれのVPCは完全に独立しているため、もしVPC間の通信を望むならVPCピアリングサービスが考えられる。

このように私設の帯域を約束すれば、私設のIPでインターネットに接続できるIP帯域として設定し、問題発生を防止できるからだ。例えば140.x.x.x のIP を社説にするとすれば、あのIP はインターネットで使えるIP である。私設網内部でインターネットをつながずに低IPを使用することができるが、共通の規約に従うことで、「勘違い」と「問題」を事前に防ぐことができる。

Availability Zone

AWSは世界各地でホスティングされている。各地域をリージョンと呼ぶ。このリージョンの中で可用領域という隔離された位置がいくつかある。そのため、各リージョンでも一方の可用領域に問題が生じた時、他方の助けを受けることができる構造である。 ELB（ロードバランサ）を付けて各可用領域にトラフィックを分散させることができる。

Subnet

VPCを作ったなら、サブネットを作ることができる。サブネットはVPCを細かく分割する過程だ。サブネットは、VPC の中にあるため、VPCより小さい単位であるし、当然サブネットマスクがより高い値を持し、IP の範囲がより小さい値を持つことになる。サブネットを分ける理由は、より多くのネットワーク網を構築するためだ。

個々のサブネットは可用領域の中に存在し、サブネットの中にRDS、EC2 といったリソースを位置づけることができる。

Routing Table, Router

ネットワーク要請が発生すると、データはまずルータに向かうことになる。ルータとは目的地であり、ルーティングテーブルは各目的地のマイルストーンである。データはルータに向かうことになり、ネットワークリクエストはそれぞれ定義されたルーティングテーブルに従って動作する。サブネットA のルーティングテーブルは、172.31.0.016 すなわち、VPC の中のネットワーク範囲を持つネットワーク要請はローカルで求めることになっている。しかし、それ以外に外部に通じるトラフィックを処理することができない。その際、インターネットゲートウェイを使用する。

Internet Gateway (IGA)

インターネットゲートウェイとは、VPCとインターネットをつなぐ一つの関門である。サブネットB のルーティングテーブルを見ると、0.0.0.0/0と定義されている。この意味は、すべてのトラフィックに対してIGA（インターネットゲートウェイ）A に向かうようにという意味である。ルーティングテーブルは、最初に目的地のアドレスが172.31.0.0/16にマッチングされるかを確認した後、マッチングされなければIGA Aに送られる。

インターネットとつながっているサブネットをパブリックサブネット、インターネットとつながっていないサブネットをプライベートサブネットという。

NetWork ACL, Security Group

ネットワークACL とセキュリティグループはファイアウォールのような役割を担当する。
インバウンドトラフィックとアウトバウンドトラフィックのセキュリティポリシーを設定できる。
まず、セキュリティグループはStateful な方式で動作し、基本的に全ての許容を遮断するように設定されているため、必要な設定は追加で許容する必要性がある。また、ネットワークACLと異なり、個々のセキュリティグループごとに別々のトラフィックを設定でき、サブネットでも設定できるが、それぞれのEC2インスタンスにも適用できる。

ネットワークACLはStateless に動作し、すべてのトラフィックを許容するように設定されているため、追加的に不要なトラフィックを防ぐように設定しなければならない。ネットワークACL とセキュリティグループが衝突する場合は、セキュリティグループの方が高い優先順位を持っている。

NAT Gateway

NAT ゲートウェイはプライベートサブネットがインターネットと通信するためのアウトバウンドインスタンスである。プライベートネットワークが外部から要請されるインバウンドの設定が必要でなくても、インスタンスのファームウェアや周期的なアップデートが必要であり、アウトバウンドトラフィックだけが許容されなければならない場合がある。このとき、パブリックサブネット上で動作する NAT ゲートウェイは、プライベートサブネットから外部に要請するアウトバウンドトラフィックを受けてインターネットゲートウェイと接続することになる。

DHCP (Dynamic Host Configuration Protocol )

翻訳すると動的ホスト設定プロトコルである。 IPを必要とするコンピューターに自動的にIPを割り当て、使用しなければ返却して他のコンピューターにIPを使うようにしてくれる。

DHCP がIP を割り当ててくれることをリースといい、基本的に8 日と設定されてるという。ところが人々が多く居住している地域では8日に設定すればすぐに売り切れてしまうため、2~3時間程度で設定されるという。そして、使い続けているのに返却してしまうと非効率的になるので、更新（Renewal）をサポートする。使用期間が50%残った時、そして87.5%残った時に2度試みるという。言い換えれば、IPを引き続き使用中なら賃貸期間を自動的に更新し、そうでなければ時間に合わせて返すということだ。

AWS では最大 4 つの独自の DNS サーバが使用できる。そうするためには、VPCと一緒に使用するDHCPオプションを指定しなければならない。

domain-name-servers, domain-name, ntp-servers, netbios-name-servers, netbios-note-typeを指定できるというが、一般的にデフォルト値をそのまま使う。もっと詳しい設定が必要なら、公式文書を参考にした方が良い。
公式Wikiはこちら

まとめ

これまで、IP,VPN,VPCなどAWSで一番基本になるネットワークについて書いて見ました。
VPCの目的は色々あると思いますが一般的にはセキュリティーのためにAWSリソース間のつながりを最小限にして、グループ頃に簡単にネットワークを構築するためよくつかいます。　これ以外にもより独立的なVPC間の通信のために作られたVPCピアリング、オンプレとVPCとのネットワークである、AWS Direct Connect、VPCで発生するゴグを管理するVPC Flow logsていうサービスもあります。
次回はWAFについて勉強しようと思ってます。
長い文書読んでいただきありがとうございます。
ご参考になれば嬉しいです。