Memo/AmazonWebServices/VPC

VPC(Virtual Private Cloud) †

• Amazon VPC とは - Amazon Virtual Private Cloud

• 記事
  • なぜネットワークACLでなくセキュリティグループで細かいトラフィック制御を行なうのか | Developers.IO
  • VPCにおけるレイヤ2を意識する！裏側で輝く『マッピングサービス』を絵を描いて理解してみた | Developers.IO
  • 【基礎から学ぶ】VPCのDNSについてまとめてみた – サーバーワークスエンジニアブログ
  • 【AWS】VPC環境の作成ノウハウをまとめた社内向け資料を公開してみる ｜ Developers.IO

• VPC EC2起動中でもSecurity Groupを変更可能。EC2 Classicでは出来ない
  • EC2選択 > Actions > Networking > Change Security Group

---

apne1-az3の廃止 †

• apne1-az3は売り切れて使えなくなったAZ。古いAWSアカウントでのみ見えていた。
• 2025年2月28日に廃止

記事:

• 2025年2月28日に東京リージョンのアベイラビリティゾーン「apne1-az3」が廃止されます | DevelopersIO

---

Share VPC: subnet単位で他AWSアカウントと共有 †

• VPC を他のアカウントと共有する - Amazon Virtual Private Cloud
  • VPC peeringの場合は、事前にCIDRを重複しないように調整して、VPC作成、subnet作成、VPC peeringとそこそこ手間がかかる
  • Share VPCはsubnet単位で共有設定ができるため、セキュリティ/サービス単位でAWSアカウントを分割し利用することが容易？

記事:

• [レポート] Shared VPCでスケールネットワークを簡素化する #reinvent #NET322 | DevelopersIO

---

使用IPアドレス数等の監視 †

• CloudWatchでNetworkAddressUsageを見るためには、VPCで明示的に有効にする必要がある

記事:

• Amazon VPC 内のネットワークアドレス使用状況（NAU: Network Address Usage）が CloudWatch メトリクスとして追加されました！ | DevelopersIO

---

VPC Reachability Analyzer: 接続性テスト †

• 料金: $0.10

記事:

• AWS CLIを使用してEC2でVPC Reachability Analyzerをしてみた。 | DevelopersIO
• 新機能 – VPC Reachability Analyzer | Amazon Web Services ブログ
• 【速報】VPC内の接続性テストとトラブルシューティングを簡単にする！VPC Reachability Analyzerが発表されました！ #reinvent | Developers.IO

---

プレフィックスリスト: CIDRブロックを定義して、キュリティグループルール等から参照 †

• プレフィックスリスト - Amazon Virtual Private Cloud

• 記事
  • マネージドプレフィックスリストにIPアドレスをあらかじめ設定、セキュリティグループで利用してみた | Developers.IO

---

Managed prefix lists: 複数CIDRの管理 †

• Managed prefix lists - Amazon Virtual Private Cloud
  • セキュリティグループとVPCルートテーブルのCIDRとして利用可能
  • S3やDynamoDBはAWSマネージドプレフィックスリストとして登録済み

• 記事
  • [AWS] マネージドプレフィックスリストをアカウント間で共有する | Developers.IO
  • [アップデート] 複数のCIDRをまとめて管理！Amazon VPC で プレフィックスリストが利用可能になりました | Developers.IO

---

VPC Ingress Routing †

• 記事
  • VPC Ingress Routingとは何かを噛み砕いて理解してみる ｜ Developers.IO

---

VPC Peering: VPC同士の接続 †

• VPC ピアリング接続 - Amazon Virtual Private Cloud
  • 同一アカウント、複数アカウント間のVPCを接続できる
  • CIDRが重複していると出来ない。または、route tableの登録で失敗する。

• 記事
  • VPCピアリング接続のDNS解決サポートを試してみた ｜ Developers.IO
  • [小ネタ]VPCピアリング接続のこぼれ話三選 ｜ Developers.IO
  • ケース別 VPC ピアリングの実装の考慮点 – サーバーワークスエンジニアブログ

---

VPC Endpoint †

• VPC エンドポイント - Amazon Virtual Private Cloud

• AWSのサービスには、VPC内/外の区別がある。
• 1 service, 1 VPC毎に一つVPC endpointがあれば良い。
• VPC RDSにアクセスするには、VPC対応したサービスが必要。例:VPC Lambda
  • VPC LambdaはPrivate Subnetに配置し、デフォルトではインターネットにアクセスできない。
  • VPC Lambdaがインターネットへアクセスするには、NAT Gateway(有料、高額になりやすい)をPublic Subnetに追加する。
  • 今まで DynamoDB はVPC非対応だったため、NAT Gateway経由が必要だった。VPC EndpointがDynamoDBへ対応したため、NAT Gatewayは不用になった。
• VPC Endpointに付けるセキュリティグループは、専用のセキュリティグループを作った方が良い。VPC Endpointへの接続を許可するリソースをingressで指定する。

• VPC Endpointには、インタフェース型、ゲートウェイ型(S3, DynamoDBのみ)がある
  • インタフェース型は無料
  • AWS内の通信がインターネットを経由しない今、VPC Endpointを利用する意味はあるのか？ | フューチャー技術ブログ

• terraformの場合
  • VPCのCIDR丸ごと, ingress:443, egress:443を許可するsecurity groupを作る。そのsecurity groupをvpc endpointで許可すると便利。個別に許可すると、security groupのrule数上限、複数のgit repoに分かれている場合に手間どる事がある
  • VPC Endpoint の Terraform での書き方 | Hakky Handbook

• 記事
  • 【ゲートウェイ VPC エンドポイント】EC2からプライベート経路でS3などのAWSサービスへアクセスする - サーバーワークスエンジニアブログ

• マルチアカウントのVPCエンドポイント(インターフェイス型)を1つに集約させる | Developers.IO
• AWSのエンドポイントにしか接続できないプロキシサーバーを構成する ｜ DevelopersIO
• VPC LambdaからVPCエンドポイント経由でDynamoDBにアクセスしてみた ｜ DevelopersIO

---

Transit Gateway: VPC およびアカウント接続を簡単にスケール †

• AWS Transit Gateway（VPC およびアカウント接続を簡単にスケール）| AWS

• 記事
  • [ハンズオン]管理者が違うシステム間での柔軟なルーティング (AWS Transit Gateway) #AWSSummit | Developers.IO
  • [アップデート] AWS Transit Gateway のルートテーブルで独自のプレフィックスリストが利用可能になりました | Developers.IO
  • Transit GatewayやDirect ConnectのAS番号について – サーバーワークスエンジニアブログ
  • Transit Gatewayのルーティング仕様を分かりやすく解説してみる – サーバーワークスエンジニアブログ
  • AWS Transit Gateway で GCP の VPC と高可用性（HA） VPN 接続 | Developers.IO
  • [アップデート] Transit Gateway Network Manager で Route Analyzerが利用できるようになりました | Developers.IO
  • [アップデート] Transit Gateway Inter-Region Peering が 東京含む 追加11リージョンで 利用可能になりました | Developers.IO
  • 【Transit Gateway】アウトバウンド通信を集約する環境を構築してみる(クロスアカウント編) | Developers.IO
  • 【Transit Gateway】アウトバウンド通信を集約する環境を構築してみる | Developers.IO
  • クロスアカウントな AWS Transit Gateway を、絵で見て（完全に）理解する。 ｜ Developers.IO
  • Transit Gateway Network Managerを AWS CLIから操作してみる #reinvent ｜ Developers.IO
  • AWS Transit Gateway Multicast – サーバーワークスエンジニアブログ
  • Transit Gatewayで実現するマルチリージョン構成・マルチアカウント構成 – サーバーワークスエンジニアブログ
  • Transit GatewayでVPC間通信する構成をTerraformで作成してみた ｜ Developers.IO
  • AWS Transit Gateway外接集約構成のルーティングはAZを意識する ｜ DevelopersIO
  • Transit Gatewayでアカウント跨ぎのVPC間通信をやってみた ｜ DevelopersIO
  • 【レポート】「Transit Gateway Deep Dive アーキテクチャガイド」 #AWSSummit ｜ DevelopersIO

---

設計 †

• 設計時の注意
  • 後からCIDRを変更はできないので十分に考えた方が良い。rfc1918準拠等
  • 他のVPCと接続したい場合(VPC peering)、CIDRが重複していると接続できない。その場合は重複を避ける。また、route tableが重複しても通信が出来ない。
  • 広すぎるCIDRはVPCやサブネット数が足りなくなるので避ける。デフォルトVPCの「/16」は大きすぎる気がする。
  • 小さすぎてもオートスケールするリソース(ELB, Lambda, EC2 AutoScale, etc)があるので困る。
  • ブロードキャスト、マルチキャストは非対応
  • apne1-az3 は避ける。売り切れているのでec2等が作れない。
    • 旧AZ(apne1-az3)でできないこと – サーバーワークスエンジニアブログ

• 例:
  • VPC CIDR: 10.10.0.0/21
  • IP range: 10.10.0.0 - 10.10.7.255
  • IP数: 2048
    • AWSで予約されているアドレス .0, .1, .2, .3, .255
  • 最大Subnet数(1 VPC): 8
    • SubnetはPublic, Privateでそれぞれ最低 3 つあれば良い。(EKS Architecture)
    • 最大Public Subnet数: 4
    • 最大Private Subnet数: 4
    • 最大NAT gateway: 4 (Private Subnetの数だけ) コスト($45/month程)がかかるので注意。2つに減らしても良い。0だとprivate subnetからinternetへトラフィックが流れない。
  • Region辺りのAZは、最大4つ程。
    • AZ毎にPublic/Private Subnetを作る。AZは売り切れる事があるので、冗長性を確保したい場合 最低 3 AZは欲しい。

• ツール
  • ネットワーク計算ツール・CIDR計算ツール | Softel labs

• 記事
  • [レポート] AWS ネットワークアーキテクチャ 総まとめ！ #NET320 #reinvent ｜ Developers.IO
  • Amazon VPC設計時に気をつけたい基本の5のこと ｜ DevelopersIO
  • 【レポート】【初級】VPC最新機能から紐解くクラウドネットワークデザイン #AWSSummit ｜ DevelopersIO
  • AWSへの移行におけるアカウント、及び、ネットワーク設計についての考察 – サーバーワークスエンジニアブログ
  • Amazon VPC IPアドレス設計レシピ ｜ DevelopersIO

---

Private Subnet †

デフォルトではインターネットと通信ができない。
DBやCache等の外部と通信させたくないリソースを置く。

• VPC とサブネットのサイズ設定

  VPC を作成する場合は、 RFC 1918 に指定されているように、プライベート IPv4 アドレス範囲から CIDR ブロック (/16 以下) を指定することをお勧めします。

  10.0.0.0 - 10.255.255.255 (10/8 プレフィックス)

  172.16.0.0 - 172.31.255.255 (172.16/12 プレフィックス)

  192.168.0.0 - 192.168.255.255 (192.168/16 プレフィックス)

• 記事
  • 【小ネタ】えっ、Private SubnetからNATサーバを経由せずにyum updateができるって！？ ｜ DevelopersIO
  • Squidにホワイトリストを設定してUbuntuのインスタンスからパッケージダウンロードする ｜ DevelopersIO

---

VPC NAT Gateway †

• 料金は結構高いので注意
• VPC Subnet毎に設置する事で、Outgoingトラフィックのための固定IPを持てるため、アクセス制限が厳しい環境で使える。
• VPC Lambdaの場合、internetへ通信したい場合、NAT gatewayを通すように設定する。

• NAT ゲートウェイ - Amazon Virtual Private Cloud
  • nat gatewayはpublic subnetに置く。
  • public subnetからinternet gatewayへroutingする。
  • private subnetからnat gatewayへroutingする。

• vpc: 10.0.0.0/16 # AWS docのサンプル
• public subnet: 10.0.0.0/24
• public subnetのroute table:

  10.0.0.0/24      local
  172.31.1.0/24    pcx-xxxx # VPC peeringで接続する場合
  0.0.0.0/0        igw-xxxx # internet gateway

• private subnet: 10.0.1.0/24
• private subnetのroute table:

  10.0.1.0/24      local
  172.31.1.0/24    pcx-xxxx # VPC peeringで接続する場合
  0.0.0.0/0        nat-xxxx # nat gatewayへ

• 記事
  • 同一リージョンでAmazon S3またはDynamoDBにトラフィックを送信する際のベストプラクティスについて ｜ Developers.IO
  • 必要な時だけNAT Gatewayを作成する方法 ｜ DevelopersIO
  • 【新機能】ついに登場！Amazon VPC NAT GatewayでNATがAWSマネージドに ｜ Developers.IO

---

NAT Gatewayのコスト削減/分析 †

記事:

• NAT Gatewayのコスト分析で、S3ゲートウェイエンドポイントのありがたさに気づいた | BTC Cloud
• そのトラフィック、NATゲートウェイを通す必要ありますか？適切な経路で不要なデータ処理料金は削減しましょう | Developers.IO
• NATゲートウェイの通信内容を調査して対策し、コストを約60％削減した話 - ZOZO TECH BLOG

---

ClassicからVPCへの移行 †

• 記事
  • EC2 Classic から VPC へのオンラインマイグレーション - Qiita

---

High Availability for Amazon VPC NAT Instances †

• 記事
  • CDP:High Availability NATパターン - AWS-CloudDesignPattern
  • High Availability for Amazon VPC NAT Instances: An Example : Articles & Tutorials : Amazon Web Services

Software

• 自作ソフト
• wiki自作プラグイン
• 利用規定
• ランキング
• 雑誌等掲載履歴

Programming

Game

雑記

連絡先

---

• MenuBar
• RightBar
• :admin
  

人気の10件

最新の10件

---