VPC — クラウドの中に持つ 自分専用の区画

ルートテーブル（※1）は「宛先レンジ → ターゲット」の対応表です。要点は、複数のエントリに宛先が一致したときどれを選ぶかという規則にあります。

• 原則は 最長一致（ロンゲストマッチ）——プレフィックスが長い（＝範囲が狭い）経路ほど優先される
• 例として 0.0.0.0/0 → NATゲートウェイ（全部の外向きはNAT経由）と 10.0.5.0/24 → ピアリング接続（この範囲だけ相手VPCへ）を同居させると、10.0.5.x宛だけがピアリングへ、それ以外はNATへ流れる
• ターゲットには local（VPC内は無条件で到達）・インターネットゲートウェイ・NATゲートウェイ・ピアリング・エンドポイントなどが入る

「全体のデフォルトを引きつつ、特定レンジだけ上書きする」——最長一致だからこそ、この重ね書きが素直に表現できます。ネットワークの層 で見たルーティングの考え方が、そのままクラウドの区画内に持ち込まれているわけです。

外との出口は用途で3つに分かれます。ここを取り違えると「隠すはずのDBが出られてしまう／出たいのに出られない」が起きます。

• インターネットゲートウェイ（IGW） — パブリックサブネット用の双方向の出口。パブリックIPを持つインスタンスが外と直接やり取りできる
• NATゲートウェイ — プライベートサブネット用。内から外へ出るときだけ通し、外からの新規接続は入れない。DBを公開せずに更新通信だけ許すのに使う
• egress-onlyインターネットゲートウェイ — IPv6専用の外向き片方向の出口。IPv6はアドレスが枯渇しないためNAT（アドレス変換）の必要がなく、代わりに「外からの新規接続は塞ぐが、内から外へは出せる」専用装置が用意されている

なぜIPv6だけ別物か。NATはそもそも足りないIPv4を使い回すための変換で、その副作用として外からの入りを塞いでいました。IPv6ではアドレスが潤沢なので変換が要らず、「外からの入りを塞ぐ」という目的だけを取り出したのが egress-only です。仕組みの由来を追うと、名前の違いが腑に落ちます。詳しくは NATとポート を参照。

門番も性質が根本から違う2種類があり、多層で重ねて使います。

• セキュリティグループ（SG） — インスタンス単位の門番。ステートフル（※2）で、いったん許可した接続の戻りの通信は自動で通る。書けるのは許可（allow）だけ
• ネットワークACL（NACL） — サブネット単位の門番。ステートレス（※3）で、往路と復路を別々に許可する必要がある。拒否（deny）も書けるので「この一部レンジだけ遮断」が可能

使い分けの定石は「通常の許可制御はSGで細かく・広域の遮断はNACLで粗く」。SGはステートフルなので戻りを気にせず書け、運用が素直です。NACLは往復を別々に書く手間があるぶん、特定レンジの明示的ブロックのようなSGでは書けない拒否を担います。この2枚を重ねるのが多層防御の基本形です。

VPCは孤立した区画ですが、他の区画やサービスとインターネットを経由せずつなぐ手段があります。

• VPCピアリング — 2つのVPCを1対1で直結する。互いのプライベートIPで通信でき、トラフィックは外部を通らない。注意点としてCIDRが重複していると張れない（宛先が一意に決まらないため）
• VPCエンドポイント／PrivateLink — マネージドサービス（ストレージやDBなど）へ、VPCの中から閉域で到達する入口。インターネットゲートウェイもNATも通らず、サービスへの通信が外に出ない
• ピアリングは推移しない——AとB、BとCがつながっていても、AからCへは直接届かない（必要なら個別に張るかハブ構成にする）

「つながればいい」ではなく「経路を外に晒さずにつなぐ」のが閉域接続の狙いです。クラウド 上の本番構成では、DBやストレージへの通信をこうして閉域化するのが定石になっています。

区画を組み立てる土台がアドレス設計です。中級で触れたCIDRを、設計の観点で深掘りします。

• 重複回避 — VPCのCIDRは、後でピアリングや社内ネットワークとつなぐ相手と重ならない範囲を最初に選ぶ。一度動かすと変更は困難なので、将来の接続先まで見越して割り当てる
• サブネット分割 — VPCの /16 を、用途とAZごとに /24 などへ切り分ける。パブリック／プライベートを分け、さらにAZごとに別サブネットを用意する
• 予約アドレス — サブネットの先頭・末尾の数個はクラウド側が予約するため、使える数は「2のべき−予約分」になる。ぎりぎりで切ると足りなくなる

そして可用性はマルチAZ配置で確保します。1つのアベイラビリティゾーン（※4）に固めると、そのゾーン障害でサービスが丸ごと止まります。サブネットをAZごとに分け、同じ役割のサーバを複数AZに散らして置くことで、片方が倒れてももう片方で受けられる——区画設計と可用性は地続きです。

• 最長一致の見落とし — 意図せず狭いレンジの経路が全体設定を上書きし、一部の通信だけ想定外の出口へ流れる
• CIDR重複でピアリング不能 — 設計時に範囲がぶつかると、後からVPC同士をつなげない（アドレスの引き直しは大工事）
• NACLのステートレス忘れ — 往路だけ許可して復路を塞ぎ、通信が片道で止まる（SGの感覚で書くと起きる）
• 単一AZ集中 — すべてを1ゾーンに置き、ゾーン障害で全滅（マルチAZで緩和）
• エンドポイント未使用 — サービスへの通信をNAT経由でインターネットに出してしまい、閉域化の利点と帯域を捨てる