AWS 05：VPC ― 自分専用のネットワーク

VPC は、塀で囲った自分専用の敷地

VPC（Virtual Private Cloud＝仮想の、自分専用のクラウド）は、AWS の中に作る自分だけのネットワークです。

たとえるなら、広い土地（AWS）の中に、塀で囲った自分の敷地を持つようなものです。敷地の中に何を建てるか、どこに門を付けるか、誰を通すかは、持ち主のあなたが決めます。塀の外にいる人は、あなたが門を付けない限り入れません。

図では、Web サーバーと DB が青い囲み（VPC）の中に入りました。インターネットから敷地に入る道は、あなたが決めたところだけです。

この章と続く3つの章で、敷地づくりに必要なものを順にそろえていきます。

AWS の中にはあなた以外にも無数の利用者がいますが、VPC が違えば、同じ建物の中にいてもお互いに見えない別の世界として扱われます。

VPC を理解するには、まず「住所」、つまり IP アドレスの読み方を知る必要があります。次から、そこを丁寧に見ていきます。

IP アドレスは、コンピューターの住所

手紙を送るには、相手の住所が必要です。ネットワークでも同じで、データを送るときは必ず宛先の住所を書きます。この住所を IP アドレス（Internet Protocol address）と呼びます。

図では、あなたの PC がフォトログの Web サーバーに「写真を見せて」と頼んでいます。そのお願い（リクエスト）には、宛先として 203.0.113.10 という IP アドレスが書かれています。

IP アドレスは、図の4つの箱のように、0〜255 の数字を4つ、点でつないだ形をしています。

ふだんブラウザに打つのは photolog.example.com のような名前ですが、裏では名前が IP アドレスに変換されてから送られています。名前から IP アドレスを調べる仕組みを DNS といい、第14章で扱います。

この4つの数字の並びを IPv4（アイピーブイフォー）と呼びます。もっと桁の多い IPv6 という新しい形もありますが、この本では、いまも最もよく使われる IPv4 を中心に説明します。

大事なのは、同じネットワークの中で、同じ住所は2つあってはいけないということです。住所が重なると、手紙がどちらに届けばいいかわからなくなります。この「重ならない」は、この章の後半でもう一度出てきます。

外線と内線：パブリック IP とプライベート IP

IPv4 のアドレスは全部で約43億個しかありません。世界中の PC やスマホに1つずつ配るには、とても足りません。そこで、IP アドレスには2種類あります。

図の家の中を見てください。あなたの PC は 192.168.1.10、スマホは 192.168.1.11 という内線番号を持っています。隣の家でも、まったく同じ 192.168.1.10 が使われているかもしれません。内線番号なので、それで問題ありません。

では、家の PC がインターネットの Web サーバーと話すときはどうするのでしょう。ここで家のルーター（ネットワークの出入り口にある機械）が働きます。ルーターは外線番号 203.0.113.50 を1つ持っていて、PC から出ていくデータの差出人を、内線番号から外線番号に書き換えて送り出します。返事が戻ってきたら、元の PC に届け直します。

この「差出人を書き換えて外とやり取りする仕組み」を NAT（ナット）と呼びます。第7章で、AWS の中でも同じことをします。

VPC の中のサーバーには、基本的にプライベート IP を振ります。外から直接届いてほしいものにだけ、パブリック IP を追加で持たせます。

プライベート IP に使ってよい3つの範囲

どの番号をプライベート IP にしてよいかは、世界共通のルール（RFC 1918 という取り決め）で決まっています。次の3つの範囲です。

この3つの範囲の番号は、インターネット上では使われません。だから世界中の家や会社が、同じ番号を安心して使い回せます。家のルーターの多くが 192.168.x.x を配っているのはこのためです。

AWS の VPC を作るときも、この3つの範囲から番号の範囲を選ぶことが推奨されています。AWS では `10.x.x.x` がよく使われます。いちばん広いので、たくさんの VPC に重ならないように割り振りやすいからです。

「書き方」の列の /8 や /16 が、次に説明する CIDR（サイダー）表記です。この表記が読めると、VPC の設定画面で何を入れればいいのかがわかるようになります。少し理屈っぽい話が3つ続きますが、ここを越えればネットワークの章がぐっと楽になります。

IP アドレスの正体は、2進数32桁

コンピューターの中では、IP アドレスは0と1だけの数字（2進数）で扱われています。

4つの箱のそれぞれは、2進数の8桁です。たとえば 10 は 00001010、0 は 00000000 です。8桁の0と1で作れる組み合わせは、2を8回かけた 256通り。だから1つの箱に入るのは 0〜255 なのです。

ここで押さえておきたいのは、IP アドレスは「頭から順に」意味を持つということです。住所が「都道府県 → 市区町村 → 番地」と大きい順に書かれているのと同じで、頭のほうの桁が同じなら、同じ地域（同じネットワーク）の仲間です。

そこで、「このネットワークは、頭から何桁までが共通か」を書き表す方法が必要になります。それが CIDR（Classless Inter-Domain Routing）表記です。

10.0.0.0/16 と書いたら、「10.0.0.0 から始まり、頭の16桁が固定された範囲」という意味です。固定されていない残りの桁は、ネットワークの中で1台ずつに番号を振るために自由に使えます。

次で、この「固定」と「自由」が箱の色でどう変わるかを見てみます。

10.0.0.0/16：頭の16桁を固定する

/16 は、32桁のうち頭の16桁を固定するという意味です。1つの箱は8桁なので、16桁は箱2つ分にあたります。

図では、青い2つの箱（10 と 0）に鍵がかかりました。この範囲の中の番号は、必ず 10.0. で始まります。黄色の2つの箱は自由に使えます。

住所にたとえると、「東京都千代田区」までは決まっていて、その先の丁目と番地は自分で振れる、という状態です。区の中にはたくさんの番地を作れます。

VPC を作るときには、この 10.0.0.0/16 のような範囲を1つ指定します。すると、その VPC の中に置くサーバーなどには、この範囲の中から番号が振られます。

AWS で VPC に指定できるのは、/16（65,536個）から /28（16個）までの大きさです。/16 はその中でいちばん広く、本番のサービスでよく使われます。

10.0.1.0/24：頭の24桁を固定する

今度は /24 です。24桁は箱3つ分。図では鍵のかかった青い箱が1つ増え、10.0.1 までが固定になりました。

/ の後ろの数字が大きいほど、固定する桁が多く、使える範囲は狭くなります。数字が大きいほうが狭い、というのは最初は逆に感じるかもしれません。「固定する桁の数」だと覚えておけば迷いません。

ここで大事な関係があります。10.0.1.0/24 の番号は、どれも 10.0. で始まります。つまり、10.0.0.0/16 の範囲の中にすっぽり入っています。

同じように、10.0.2.0/24、10.0.3.0/24……と、3つ目の箱を変えていけば、/16 の中から /24 の範囲をいくつも切り出せます（最大で256個）。

この「大きな範囲（VPC）を、小さな範囲に切り分けたもの」が、次の第6章で作るサブネットです。敷地（VPC）の中に部屋（サブネット）を作るとき、部屋ごとに番号の範囲を割り当てるのです。

数字が1増えると、広さは半分になる

CIDR の数字と広さの関係を、もう少し整理しておきます。

固定する桁が1つ増えるたびに、自由な桁が1つ減ります。2進数の1桁は「0か1か」の2通りなので、数字が1増えるごとに、使える個数は半分になります。

図の入れ子の四角は、/16 の中に /20 が、その中に /24 が、さらにその中に /28 が入る関係を表しています（大きさの比率は正確ではありません）。

計算に自信がなくても大丈夫です。インターネットには「サブネット計算機（CIDR 計算機）」と呼ばれる道具がたくさんあり、範囲を入れれば始まりと終わりの番号や個数を教えてくれます。AWS の画面でも、入力した範囲の個数を表示してくれます。

覚えておきたいのは、VPC には広め（/16）を、中の部屋には /24 前後をという目安です。狭く作ると後で困ることは、この章の後半で説明します。

VPC は1つのリージョンに作り、AZ をまたぐ

ここからは VPC そのものの話です。

VPC は、1つのリージョンの中に作ります。第2章で見たとおり、リージョンは東京や大阪のような地域で、その中に AZ（アベイラビリティーゾーン：互いに離れた建物群）が複数あります。

図では、東京リージョン（ap-northeast-1）の中に、photolog-prod という名前の VPC を 10.0.0.0/16 で作りました。

VPC が AZ をまたげることは、とても大事です。1つの VPC の中で、サーバーを AZ 1a と 1c に分けて置けば、片方の建物で停電や事故が起きても、もう片方で動き続けられます。第2章で「なぜ複数 AZ か」を見ましたが、その複数 AZ に分けて置く土台が VPC なのです。

いまの VPC は、図のとおりまだ空っぽです。番号の範囲を持った囲みがあるだけで、部屋もなければ、外へつながる出入り口もありません。この空の舞台に、第6〜8章で部品を1つずつ足していきます。

なぜネットワークを区切るのか

VPC はいくつでも作れます（上限は Service Quotas で確認できます）。では、どんな単位で区切るのがよいのでしょうか。

図では、同じアカウントの中に本番 VPC と検証 VPC を作りました。本番は本物の利用者が使うもの、検証は新しい機能を試すための場所です。

図の真ん中の赤い印のとおり、2つの VPC は何もしなければ互いにつながりません。これは安全のための性質です。つなぎたいときは、あとで説明するピアリングなどの部品を使って、意図してつなぎます。

「環境ごとに VPC を分ける」のはよくあるやり方です。さらに進むと、環境ごとに AWS アカウントそのものを分けることもあります（第27章の Organizations）。まずは「本番と検証を混ぜない」から始めましょう。

番号が重なると、あとでつなげなくなる

VPC を作るときに、いちばん気をつけたいのが番号の範囲の重なりです。

最初は別々に作った VPC でも、いずれ「本番 VPC と会社のネットワークをつなぎたい」「2つの VPC の間で通信したい」という日が来ます。つなぐ方法には次のようなものがあります。

図を見てください。本番 VPC も会社のネットワークも 10.0.0.0/16 を使っていて、どちらにも 10.0.1.5 という機械があります。この2つをつなぐと、10.0.1.5 宛のデータをどちらに届ければいいか決まりません。

そのため、重なる範囲どうしは、そもそもつなげない（あるいはつないでも正しく届かない）のです。こうなると、どちらかの番号を振り直す、つまりVPC を作り直すしかなくなります。中に動いているサービスがあると、大仕事です。

これを防ぐ方法は1つだけです。最初から、使う範囲を重ならないように割り振っておくこと。会社のネットワークがどの範囲を使っているかも、作る前に確かめておきましょう。

大きさは後から変えられない。迷ったら /16

もう1つの注意は、最初に決めた範囲は、あとから広げることも縮めることもできないことです。

VPC には、あとから別の範囲（セカンダリ CIDR）を追加することはできます。ただし、最初の範囲そのものは変えられず、追加した範囲とは番号が飛び飛びになるので、設計が複雑になります。

そこで、よく使われる考え方が次のとおりです。

図の割り振り表は、フォトログでの例です。こうした表を1枚作っておき、新しい VPC を作るたびに表から次の空きを取る習慣にすると、重なりを防げます。

また、`172.17.0.0/16` は避けましょう。コンテナの道具である Docker が中で使う既定の範囲で、AWS の一部のサービスも使っています。VPC と重なると、つながらない原因のわかりにくいトラブルになります。

「広すぎてもったいない」と感じるかもしれませんが、プライベート IP は何個使ってもお金はかかりません。迷ったら広くが正解です。

最初からある「デフォルト VPC」

AWS のアカウントを作ると、各リージョンにデフォルト VPC という VPC が最初から1つ用意されています。何も作らずにサーバーを立ち上げると、ここに置かれます。

すぐに試せて便利ですが、図のとおりどの部屋も外とつながる公開向きの作りです。DB を置くと、設定次第では外から届く場所に置くことになります。また、番号がどのアカウントでも同じ 172.31.0.0/16 なので、あとで別のアカウントの VPC とつなごうとすると、ほぼ確実に重なります。

そのため、この本では次のように使い分けます。

デフォルト VPC は消すこともでき、消したあとで作り直すこともできます。ただし、消すと「置き場所を指定せずにサーバーを立ち上げる」操作ができなくなるので、慣れるまでは残しておいて構いません。

作ってみる：コンソールと CLI

では、フォトログの本番用 VPC を作ってみましょう。

マネジメントコンソール（ブラウザで操作する AWS の管理画面）で作る場合は、図の左の手順です。リージョンが東京になっていることを右上で確かめてから始めます。

CLI（第1章で入口を見た、コマンドで AWS を操作する道具）なら、図の右のように1行で作れます。

aws ec2 create-vpc \
  --cidr-block 10.0.0.0/16 \
  --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=photolog-prod}]'

作ると vpc-0abc... のような VPC ID が返ってきます。以後、部屋や出入り口を作るときに、この ID で「どの VPC に作るか」を指定します。

作成画面には「VPC など」（VPC and more）という選択肢もあり、選ぶと次の章以降で作る部屋・道案内・出入り口まで一度に作ってくれます。とても便利ですが、この本では何が作られているのかを理解するため、第6〜7章で1つずつ作ります。仕組みがわかったら、次からはそちらを使うと速いです。

フォトログのアドレス設計

フォトログでは、番号をこう決めます。

本番 VPC の中は、図のように /24 の部屋に切って使う予定です。部屋の中身は次の章で詳しく作りますが、番号の決め方だけ先に見ておきます。

公開の部屋は1桁台、非公開の部屋は11からにして、番号を見ただけでどちらの部屋かわかるようにしています。こうした「番号の付け方の決まり」を最初に作っておくと、あとで問題が起きたときに、ログに出てきた 10.0.11.37 を見ただけで「非公開の部屋 a の中の機械だ」と見当がつきます。

/16 の中には /24 の部屋を256個まで作れるので、将来、部屋を足したくなっても余裕があります。

VPC そのものは無料。お金がかかるのは中身

うれしいことに、VPC そのものに料金はかかりません。部屋（サブネット）・道案内（ルートテーブル）・門番（セキュリティグループ・NACL）も、作るだけなら無料です。

お金がかかるのは、VPC の中に置く部品と、通信です。ネットワークの章で出てくるものを先に並べておきます。

特にパブリック IPv4 アドレスは、2024年から、使っていても使っていなくても1個ごとに時間で課金されるようになりました。IPv4 のアドレスが世界的に足りなくなってきたためです。「外から直接届く必要のないものには、パブリック IP を付けない」は、安全のためだけでなく、お金のためでもあります。

細かい単価は変わることがあるので、AWS の VPC の料金ページで確認してください。第4章の Pricing Calculator で、構成全体の見積もりを出すこともできます。

よくある落とし穴

VPC の設計ミスは、あとから直せないものが多いのが特徴です。作る前の5分で防げるので、次の表を一度確かめてから作りましょう。

最後の「リージョン違い」は、初心者がとてもよくやります。コンソールは最後に開いたリージョンを覚えているため、別の作業のあとで気づかずに別の地域に作ってしまうのです。VPC はリージョンごとに別物なので、東京に作ったつもりの VPC が見つからない、ということが起きます。

片付け：VPC の消し方

この章で作ったのは VPC だけです。VPC そのものは無料なので、残しておいても料金はかかりませんが、練習で作ったものは消す習慣をつけておきましょう。フォトログの本番用 VPC は、次の章でも使うので残して構いません。

消す手順は図のとおりです。

CLI で消す場合は、中身を消したあとに次を実行します。

aws ec2 delete-vpc --vpc-id vpc-0abc...

CLI では、部屋や出入り口を先に1つずつ消しておく必要があります。コンソールの削除はそれらを一緒に片付けてくれるので、慣れないうちはコンソールで消すのが楽です。

「消せない」と言われたら、何がまだ中に残っているかがエラーの中に書かれています。慌てずに、書かれているものから順に消しましょう。