はじめに

前回の続きです。
前回は、Terraformをインストールして、.tfにS3を定義し、構築しました。
今回はVPC+EC2を構築していきます。

まずは知識を付けよう

VPC構築して、インターネットゲートウェイをアタッチして、パブリックサブネット、プライベートサブネットを設定して、NAT Gatewayを設定して、セキュリティグループを設定して...
など、中途半端に浅い知識はあるのですが、今一度勉強し直します。

構成

構成は以下のようにします。
踏み台サーバーをパブリックサブネットに配置し、Webサーバーをプライベートサブネットに配置し、ALBを利用した一般的な構成です。

セキュリティグループは全リソースに設定しています。
図では踏み台サーバーのみ表示しています。

それぞれの用途や設定値について学習します。

学習

IPアドレスとは？

グローバルIPアドレス：世界中で一意のインターネット上で使われる住所
プライベートIPアドレス：外からは見られない内部で使われる住所

AWSのVPCでは、プライベートIPアドレスを使用します。

CIDR(サイダー)とは？

IPアドレスの範囲。
10.0.0.0/16 の場合、先頭16ビットが固定になります。

10.0.0.0/16
00001010.00000000.xxxxxxxx.xxxxxxxx
←-固定(16ビット)-→ ←-自由(16ビット)-→
= 10.0.0.0 〜 10.0.255.255
= 65,536個のIPアドレスが使える

VPCとは？

AWSの中に作成するプライベートネットワークのこと。

サブネットとは？

VPCの中で用途ごとに区切ったネットワークです。
先程のCIDRの話に戻すと、
VPC(10.0.0.0/16)の場合、各サブネットはVPCの範囲に収めます(例：10.0.0.0/24)

以下の種類があります。

	パブリックサブネット	プライベートサブネット
インターネットからの直接アクセス	できる	できない
置くもの	(例)ALB、EC2、NAT Gateway	(例)EC2、DB
インターネットの出口	Internet Gateway	NAT Gateway（→ Internet Gateway）

AZとは？

Availability Zoneの略称です。
物理的に分けられたデータセンターのことで、各リージョンで複数のAZが存在します。
AZを分ける事で、片方のデータセンターで障害が起きても、切り替えて運用が可能になります。

ALBとは？

Application Load Balancerの略称です。
外からのリクエストを複数のEC2に分散させるサービスのことです。
先程、AZの説明をしましたが、ALBがEC2に対して、ヘルスチェックを行います。この仕組みにより、片方のAZで障害が起きても、切り替えが可能になります。
ALBを構成する要素は主に以下となります。

ロードバランサー本体：ALBそのものです。2つのパブリックサブネットに跨って配置します
ターゲットグループ：「どのEC2に振り分けるか」のグループです。プライベートサブネットのEC2をここに登録します
リスナー：「どのポートで待ち受けるか」のルールです。(例：ポート80で受けたらターゲットグループに転送)

Internet Gatewayとは？

VPCとインターネットを繋げる出入口です。

NAT Gatewayとは？

Internet Gatewayがあっても、プライベートサブネットのEC2はグローバルIPを持っていないため、そのままだとインターネットに出ることができません。
NAT Gatewayとは、パブリックサブネットに配置する、プライベートサブネットのEC2がインターネットに出るための出口です。入口にはならないので、セキュリティ上安全な仕組みです。
AWSが提供する固定のグローバルIP(Elastic IP)を紐づけることで、外部との通信が可能になります。

一般的なHTTPリクエスト・レスポンスはALBが行うため、NAT Gatewayが無いとレスポンスが返せない訳ではありません。
Docker環境を構築する際や外部APIを呼び出すシステムの際は、必要です。

ルートテーブルとは？

通信をどこに流すかを決めるルール表です。
今回の構成では、パブリックサブネット用のルートテーブルと、プライベートサブネット用のルートテーブルを作成する予定です。

パブリックサブネット用

送信先	ターゲット
10.0.0.0/16	local
0.0.0.0/0	Internet Gateway

プライベートサブネット用

送信先	ターゲット
10.0.0.0/16	local
0.0.0.0/0	NAT Gateway

10.0.0.0/16 → VPC内の通信はそのまま内部で転送
0.0.0.0/0 → それ以外（インターネット宛）はInternet Gateway又はNAT Gatewayへ

セキュリティグループとは？

EC2やALBへの通信の許可・拒否ルールを定義するものです。
セキュリティグループはデフォルトで全拒否なので、許可するルールを定義していきます。
インバウンド(外→中)、アウトバウンド(中→外)、それぞれにルール定義が必要です。

踏み台サーバーの役割

プライベートサブネットのEC2に安全にSSH接続するための中継サーバーです。
踏み台が無いと、Webサーバーをパブリックにする必要があるため、セキュリティ上、必要なものとなります。
踏み台EC2(パブリック)→WebサーバーEC2(プライベート)
にすることで、攻撃の入口を一か所に制限し、外から見える事を防ぐことができます。

安全にSSH接続をするために、踏み台サーバーが必要になります。
基本的なHTTP通信は、Internet Gateway→ALB→WebサーバーEC2(プライベート)　の通信経路になるため、踏み台サーバーは経由されません。
あくまで開発者が開発・運用する際に、安全なSSH接続を実現するために踏み台を経由します。

最後に

基礎的な知識を付ける事が出来ました。
次回は、これまでの知識を元にTerraformで構築してみます。