AWS 06：サブネットとルートテーブル

敷地を部屋に分け、部屋ごとに道案内を貼る

たとえ話で全体をつかんでおきましょう。

図では、VPC の中を2つの部屋に分けました。左の部屋の道案内には「外へは扉から」と書いてあり、右の部屋の道案内には「VPC の中だけ」と書いてあります。

ここでいちばん大事なことを先に言っておきます。「公開の部屋」「非公開の部屋」という種類の部屋があるわけではありません。 AWS の画面でサブネットを作るとき、「公開」「非公開」を選ぶ欄はありません。

部屋はどれも同じ作りで、貼ってある道案内に「外への行」があるかどうかだけが違います。外への行がある部屋をパブリックサブネット（公開サブネット）、無い部屋をプライベートサブネット（非公開サブネット）と呼んでいるだけなのです。

これがわかっていると、「公開のつもりなのに外に出られない」「非公開のつもりなのに外から届いた」というトラブルのときに、まず道案内を見ればいい、とすぐにわかります。

サブネットは、1つの AZ の中に作る

では、部屋を作っていきます。サブネットには、VPC にはない大事な決まりがあります。

サブネットを作るときは、「どの AZ に作るか」と「VPC の番号のうち、どの範囲を使うか」を必ず指定します。

図では、AZ a と AZ c に、公開と非公開のサブネットを1つずつ、合わせて4つ作りました。番号の範囲は第5章で決めたとおりです。

なぜ AZ ごとに作るのでしょうか。サブネットは AZ をまたげないので、もし公開サブネットを AZ a にしか作らなかったら、AZ a の建物で停電が起きた瞬間に、公開の部屋がまるごと使えなくなります。同じ役目の部屋を AZ ごとに1つずつ用意しておけば、片方が止まっても、もう片方で動き続けられます。第2章で見た「複数 AZ にする理由」が、ここで形になります。

いまは説明のため、サーバーを公開サブネット a に、DB を非公開サブネット a に置いています。最終的な置き場所は、この章の後半で見直します。

サブネットの番号は、5つが予約済み

サブネットの番号について、知っておきたい決まりが1つあります。どのサブネットでも、5つの番号は AWS が使うので、自分の機械には使えません。

公開サブネット a（10.0.1.0/24）を例にすると、次の5つです。

つまり、/24 の部屋で使えるのは 256 − 5 ＝ 251個、範囲は 10.0.1.4 〜 10.0.1.254 です。

この「5つ引かれる」は、小さな部屋ほど効いてきます。AWS で作れる最小の /28 の部屋は16個ですが、使えるのは11個だけです。

サブネットに置くのはサーバーだけではありません。後の章で出てくるロードバランサーやデータベース、コンテナなども、それぞれ部屋の番号を1つ以上使います。自動で台数が増える仕組み（第12章）を使うと、番号の消費は思ったより早く進みます。

部屋は小さく切りすぎない。第5章で VPC を /16 にした理由の1つがこれです。広い VPC なら、部屋を /24 以上にしても余裕があります。

VPC の中には、見えないルーターがいる

部屋を作りましたが、部屋どうし、そして部屋の外とは、どうやってデータがやり取りされるのでしょうか。

VPC の中には、画面には出てこないルーターがいます。ルーターは、データを受け取って、宛先を見て、次にどこへ渡すかを決める係です。第5章で見た家のルーターと同じ役目です。

図の真ん中の絵がそのルーターです。どの部屋から出るデータも、いったんこのルーターを通ります。ルーターは、そのデータを出した部屋に貼られている道案内（ルートテーブル）を見て、行き先を決めます。

ルートテーブルは、次のような2列の表です。図の下の帯に出しているのが、いまの状態です。

いまの道案内には、10.0.0.0/16 → local という1行だけがあります。「VPC の範囲（10.0.0.0/16）の宛先なら、VPC の中（local）で届ける」という意味です。

VPC を作ると、メインルートテーブルという道案内が1枚自動で作られ、この local の行が最初から入っています。部屋を作っただけの状態では、どの部屋もこのメインの道案内に従います。

AWS の画面でも表の列は「送信先」「ターゲット」のように表示されます。表の読み方がわかれば、どの部屋からどこへ届くのかを、画面から自分で読み取れるようになります。

1行目は local：VPC の中なら、どの部屋へも届く

local の行をもう少し見ておきます。

図では、公開サブネット a のサーバーから、AZ c の非公開サブネットにある予備の DB へ、データを送っています。宛先は 10.0.12.x です。これは 10.0.0.0/16 の範囲に入っているので、local の行に当てはまり、ルーターが VPC の中で届けてくれます。

つまり、同じ VPC の中の部屋どうしは、何もしなくてもお互いに届くのが基本です。公開の部屋のサーバーから非公開の部屋の DB に届くのも、この local の行のおかげです。

「全部届いてしまうなら、非公開の部屋の DB も、公開の部屋の機械からは叩き放題なのでは？」と心配になるかもしれません。その通りで、道案内は道があるかどうかを決めるだけです。「その道を通ってきた相手を、扉の前で通すかどうか」は、別の部品であるセキュリティグループが決めます。これは第8章で扱います。

ネットワークの守りは、この「道（ルート）」と「門番（セキュリティグループ）」の2段で考えるのが基本です。この章では道を作ります。

外への扉：インターネットゲートウェイ

次は、敷地の外へ出る扉です。

インターネットゲートウェイ（IGW）は、VPC とインターネットの境目に付ける扉です。図では、VPC の左端に IGW が付き、その先にインターネットがつながりました。

IGW は、AZ ごとに作る必要がありません。VPC に1つ付ければ、どの AZ の部屋からでも使えます。壊れたときに備えて複数用意する、ということも不要です。

ただし、ここが大事なところです。IGW を付けただけでは、まだどの部屋も外に出られません。

扉が付いても、部屋に貼ってある道案内に「外宛てはこの扉へ」と書かれていなければ、ルーターは外宛てのデータをどこへ渡せばいいかわからないからです。いまの道案内は local の1行だけなので、VPC の外の宛先に当てはまる行がありません。

扉をどの部屋に使わせるかを、次で道案内に書き込みます。

0.0.0.0/0 → IGW：この1行で部屋が「公開」になる

公開用の道案内を新しく1枚作り（名前は rtb-public）、次の行を足します。

0.0.0.0/0 を読んでみましょう。第5章で、/ の後ろの数字は「頭から何桁を固定するか」だと説明しました。/0 は1桁も固定しない、つまりすべての住所という意味です。インターネット上のどの宛先も、この範囲に入ります。

この道案内を、公開サブネット a と c に関連付け（この部屋はこの道案内に従う、と結び付けること）ます。すると、この2つの部屋から出る外宛てのデータは、IGW を通ってインターネットへ出ていけるようになります。帰りのデータも、同じ IGW を通って戻ってきます。

図では、公開サブネット a に「外へ行ける」の札が付きました。この1行があるかどうかが、公開サブネットと非公開サブネットの違いのすべてです。

非公開サブネットには、この道案内を関連付けません。非公開用の道案内（rtb-private）を別に作り、local の行だけにしておきます。

宛先を見て、道案内の行を選ぶ

道案内が2行になったので、ルーターがどうやって行を選ぶのかを確かめておきます。

図では、公開サブネット a のサーバーが、2通のデータ（小包）を出そうとしています。

ルーターは、小包の宛先を見て、道案内の表から当てはまる行を探します。

赤の小包（10.0.11.5）はどうでしょう。10.0.0.0/16 の範囲に入っているので、1行目に当てはまります。そして 0.0.0.0/0 はすべての住所なので、2行目にも当てはまってしまいます。

黄の小包（203.0.113.9）は、10.0. で始まらないので1行目には当てはまりません。2行目の 0.0.0.0/0 にだけ当てはまります。

赤の小包のように、2つの行に同時に当てはまることがあります。このとき、どちらの行が選ばれるのでしょうか。答えは次で、小包を動かして確かめます。

いちばん詳しく一致する行が勝つ

ルーターの規則は単純です。当てはまる行が複数あるときは、いちばん詳しい（範囲が狭い）行を選ぶ。英語では longest prefix match（いちばん長く一致する行）と呼ばれます。

図では、赤の小包が VPC の中の DB へ、黄の小包が IGW を通ってインターネットへ、それぞれ運ばれました。

住所にたとえると、「東京都千代田区宛てはこの配達員」「それ以外は全部あの配達員」という2つの指示があったら、千代田区宛ての手紙は、より詳しい1つ目の指示に従う、ということです。

この規則のおかげで、「VPC の中宛ては中で、それ以外は外へ」という道案内が、たった2行で書けます。行の順番は関係ありません。どの順に並んでいても、ルーターは最も詳しい行を選びます。

後の章では、この表に「S3 宛てはこの専用の通路へ」（第7章）のような行が増えていきます。行が増えても、宛先に当てはまる行のうち、いちばん詳しいものという読み方は変わりません。道案内を読むときは、宛先を1つ決めて、上から当てはまる行を探し、最も狭い範囲の行を選ぶ、と練習してみてください。

非公開サブネットの道案内には、外への行が無い

今度は非公開サブネットの側です。非公開用の道案内（rtb-private）は、local の1行だけです。

図では、非公開サブネット a の DB が外へデータを送ろうとしていますが、外宛ての住所に当てはまる行がありません。当てはまる行が無いデータは、どこにも渡されずに捨てられます。

外から来る側も同じです。インターネットから DB に届こうとしても、DB にはパブリック IP も無く、IGW から非公開の部屋への道もありません。

これで、DB を外から絶対に届かない場所に置くという目的が果たせました。わざわざ「外からの通信を禁止する」設定を書いたわけではなく、外への道を書かなかっただけだという点に注目してください。何もしなければ閉じている、というのが安全な作りです。

ただし、「中から外へ出られない」ことは、あとで困りごとになります。これはこの章の最後で触れます。

公開の部屋でも、パブリック IP が無いと外と話せない

公開サブネットにもう1つ条件があります。部屋に外への道があっても、機械自身がパブリック IP を持っていなければ、外とは話せません。

第5章で、プライベート IP は内線番号で、外では通じないと説明しました。IGW は、機械が持っている中の番号（プライベート IP）と外の番号（パブリック IP）を1対1で付け替える役目も担っています。外の番号を持たない機械は、付け替えるものが無いので、外とやり取りできないのです。

図では、公開サブネット a のサーバーが、中の番号 10.0.1.25 と外の番号 203.0.113.20 の両方を持っています。

パブリック IP の付け方は2つあります。

第5章で触れたとおり、パブリック IPv4 は1個ごとに時間で課金されます。自動割り当ては、本当に外から直接届く必要がある機械を置く部屋だけで有効にしましょう。

道案内を貼り忘れた部屋は「メイン」に従う

道案内には、気をつけたい落とし穴が1つあります。メインルートテーブルです。

VPC を作ると、道案内が1枚自動で作られ、それが「メイン」になります。部屋は、どの道案内にも関連付けていないと、自動的にメインの道案内に従います。

図では、4つの部屋に、それぞれ関連付けた道案内の名前の札を付けました。公開の2部屋は rtb-public、非公開の2部屋は rtb-private です。こうして全部の部屋に明示的に関連付けておくのが基本です。

では、次のような操作をしたらどうなるでしょう。

新しく DB 用の部屋を作ったつもりが、実は外への道がある部屋だった、という事故がこうして起きます。

防ぎ方は簡単です。

「忘れたら閉じる」ように作っておくのが、設定ミスに強い作りです。

AZ ごとに、公開と非公開を1組ずつ

ここまでの部品で、フォトログの部屋の使い方を決めます。図が、この本で目指す置き方です。

ここまでの説明では、わかりやすくするためにサーバーを公開サブネットに置いていました。でも実務では、Web サーバーも非公開の部屋に置くのが一般的です。利用者は公開の部屋の「入口」に届き、入口が中の Web サーバーへ取り次ぎます。こうすると、Web サーバーに直接届く道がなくなり、守る場所を入口の1か所に絞れます。

そして、この組をAZ ごとに1組ずつ用意します。AZ a が丸ごと止まっても、AZ c の入口・Web・DB で動き続けられます。

この「公開2つ・非公開2つ、AZ 2つ」の形は、AWS で最もよく見る基本の形です。コンソールの「VPC など」で作る場合も、既定でこの形が提案されます。

作ってみる：部屋・扉・道案内

作る順番は図の左の4段です。コンソールでは VPC の画面の左の一覧から「サブネット」「インターネットゲートウェイ」「ルートテーブル」をそれぞれ開いて作ります。

CLI では、図の右のようなコマンドになります（ID は例です）。

aws ec2 create-subnet --vpc-id vpc-0abc \
  --cidr-block 10.0.1.0/24 --availability-zone ap-northeast-1a
aws ec2 create-internet-gateway
aws ec2 attach-internet-gateway --vpc-id vpc-0abc --internet-gateway-id igw-0abc
aws ec2 create-route-table --vpc-id vpc-0abc
aws ec2 create-route --route-table-id rtb-pub \
  --destination-cidr-block 0.0.0.0/0 --gateway-id igw-0abc
aws ec2 associate-route-table --route-table-id rtb-pub --subnet-id subnet-pa

作ったら、VPC の画面の「リソースマップ」を開いてみてください。部屋・道案内・扉のつながりが図で表示され、関連付けの漏れを目で確かめられます。

手で作るのはここまで練習のためです。同じ構成を何度も作るようになったら、第18章の IaC（構成をコードにする）で、このコマンドの列を1つの設計図にまとめます。

フォトログの部屋と道案内

フォトログの本番 VPC に作ったものを、表にまとめておきます。こうした表は、構成を人に説明するときや、トラブルのときに役立ちます。

名前の付け方にも決まりを作りました。部屋の名前には「公開か非公開か」と「AZ」を入れ、番号は公開が1桁台、非公開が11からです。AWS の画面では部屋は subnet-0f3a... のような ID で表示されることが多く、名前（Name タグ）を付けておかないと、どれがどの部屋かすぐにわからなくなります。

第4章で触れたコストのタグ（project=photolog など）も、部屋や道案内に付けておくと、後で整理するときに便利です。

部屋と道案内と扉は無料。IP と通信にお金がかかる

この章で作ったもののうち、サブネット・ルートテーブル・インターネットゲートウェイは、作るだけなら無料です。

お金がかかるのは、次のものです。

2つ目の「AZ をまたぐ通信」は見落としやすい料金です。AZ a の Web サーバーが AZ c の DB と大量にやり取りすると、そのぶん課金されます。複数 AZ にするのは止まらないために必要ですが、「同じ AZ の中で済む通信は同じ AZ の中で済ませる」という考え方は、後の章（ロードバランサーやデータベースの章）でも出てきます。

細かい単価は変わることがあるので、AWS の料金ページ（VPC の料金、EC2 のデータ転送の料金）で確認してください。第4章の Pricing Calculator で、構成全体の見積もりも出せます。

よくある落とし穴

サブネットとルートテーブルのトラブルは、ほとんどが道案内の書き間違いか、関連付けの漏れです。

「外に出られない」「外から届かない」ときの確かめ方も覚えておきましょう。

それでも届かないときは、第8章の門番（セキュリティグループ）を疑います。

片付け：部屋・扉・道案内の消し方

フォトログの本番用の部屋と道案内は、次の章以降でも使うので残しておきます。練習で別に作った場合は、次の順で消します。

CLI では、図の下のコマンドのように、外してから消すの順番を守ります。

aws ec2 detach-internet-gateway --internet-gateway-id igw-0abc --vpc-id vpc-0abc
aws ec2 delete-internet-gateway --internet-gateway-id igw-0abc
aws ec2 delete-subnet --subnet-id subnet-0abc

コンソールで VPC ごと「削除」する場合は、部屋・道案内・IGW などをまとめて片付けてくれます。部品を1つずつ消すのが面倒なら、VPC ごと消すのがいちばん確実です。

この章の部品は無料ですが、パブリック IP を付けた機械を残していると、そのぶんは課金され続けます。消し終わったら、EC2 の画面の Elastic IP の一覧に番号が残っていないかも確かめておきましょう。