AWS NAT GatewayでプライベートサブネットのEC2をインターネットに接続する方法｜マルチAZ冗長設計とコスト最適化の実践手順

この記事のポイント

・NAT GatewayはパブリックサブネットにEIPと共に作成する
・プライベートサブネットのルートに0.0.0.0/0→NAT GWを追加する
・可用性確保のためAZごとに1台のNAT Gatewayを配置する
・S3はGateway型VPCエンドポイントで迂回するとコスト削減できる

# VPC一覧を確認する
$ aws ec2 describe-vpcs   --query 'Vpcs[*].[VpcId,CidrBlock,Tags[?Key==].Value|[0]]'   --output table

--------------------------------------------------
|              DescribeVpcs                      |
+--------------------+--------------+----------+
| vpc-0a1b2c3d4e5f6  | 10.0.0.0/16  | prod-vpc |
+--------------------+--------------+----------+

# サブネット一覧を確認する
$ aws ec2 describe-subnets   --filters "Name=vpc-id,Values=vpc-0a1b2c3d4e5f6"   --query 'Subnets[*].[SubnetId,CidrBlock,AvailabilityZone,Tags[?Key==].Value|[0]]'   --output table

----------------------------------------------------------------------------
|                        DescribeSubnets                                   |
+---------------------+--------------+------------------+---------+
| subnet-pub-1a0001   | 10.0.1.0/24  | ap-northeast-1a  | pub-1a  |
| subnet-pub-1b0001   | 10.0.2.0/24  | ap-northeast-1b  | pub-1b  |
| subnet-prv-1a0001   | 10.0.11.0/24 | ap-northeast-1a  | prv-1a  |
| subnet-prv-1b0001   | 10.0.12.0/24 | ap-northeast-1b  | prv-1b  |
+---------------------+--------------+------------------+---------+

# EIPを払い出す（VPC用として）
$ aws ec2 allocate-address   --domain vpc   --tag-specifications 'ResourceType=elastic-ip,Tags=[{Key=Name,Value=nat-gw-eip-1a}]'

{
    "PublicIp": "54.250.xxx.xxx",
    "AllocationId": "eipalloc-0a1b2c3d4e5f60001",
    "Domain": "vpc",
    "NetworkBorderGroup": "ap-northeast-1"
}

# パブリックサブネット（pub-1a）にNAT Gatewayを作成する
$ aws ec2 create-nat-gateway   --subnet-id subnet-pub-1a0001   --allocation-id eipalloc-0a1b2c3d4e5f60001   --tag-specifications 'ResourceType=natgateway,Tags=[{Key=Name,Value=nat-gw-1a}]'

{
    "NatGateway": {
        "NatGatewayId": "nat-0a1b2c3d4e5f60001",
        "SubnetId": "subnet-pub-1a0001",
        "VpcId": "vpc-0a1b2c3d4e5f6",
        "State": "pending"
    }
}

# Stateが available になるまで待機する（通常1～2分）
$ aws ec2 wait nat-gateway-available   --filter "Name=nat-gateway-id,Values=nat-0a1b2c3d4e5f60001"

# 完了後に状態を確認する
$ aws ec2 describe-nat-gateways   --nat-gateway-ids nat-0a1b2c3d4e5f60001   --query 'NatGateways[*].[NatGatewayId,State,NatGatewayAddresses[0].PublicIp]'   --output table

+-------------------------+-----------+----------------+
| nat-0a1b2c3d4e5f60001  | available | 54.250.xxx.xxx |
+-------------------------+-----------+----------------+

# プライベートサブネット（prv-1a）のルートテーブルIDを確認する
$ aws ec2 describe-route-tables   --filters "Name=association.subnet-id,Values=subnet-prv-1a0001"   --query 'RouteTables[*].RouteTableId'   --output text

rtb-0prv1a000001

# 現在のルートを確認する（デフォルトはVPC内ローカルのみ）
$ aws ec2 describe-route-tables   --route-table-ids rtb-0prv1a000001   --query 'RouteTables[*].Routes[*].[DestinationCidrBlock,GatewayId,State]'   --output table

+---------------+----------+--------+
| 10.0.0.0/16  | local    | active |
+---------------+----------+--------+

# NAT Gatewayへのルートを追加する
$ aws ec2 create-route   --route-table-id rtb-0prv1a000001   --destination-cidr-block 0.0.0.0/0   --nat-gateway-id nat-0a1b2c3d4e5f60001

{"Return": true}

# ルートテーブルの最終状態を確認する
$ aws ec2 describe-route-tables   --route-table-ids rtb-0prv1a000001   --query 'RouteTables[*].Routes[*].[DestinationCidrBlock,NatGatewayId,State]'   --output table

+----------------+-------------------------+---------+
| 0.0.0.0/0      | nat-0a1b2c3d4e5f60001  | active  |
| 10.0.0.0/16    | local                   | active  |
+----------------+-------------------------+---------+

# プライベートEC2にSession Managerで接続後、実施する確認
# 1. グローバルIPがNAT GWのEIPになっているか確認する
$ curl -s https://checkip.amazonaws.com
54.250.xxx.xxx
# NAT GatewayのEIPが返れば成功

# 2. HTTPS疎通を確認する
$ curl -s https://example.com -o /dev/null -w "%{http_code}
"
200

# 3. DNSが解決できるか確認する
$ nslookup example.com
Server:   10.0.0.2
Address:  10.0.0.2#53

Non-authoritative answer:
Name:     example.com
Address:  93.184.216.34

# 1b AZ用のEIPを払い出す
$ aws ec2 allocate-address   --domain vpc   --tag-specifications 'ResourceType=elastic-ip,Tags=[{Key=Name,Value=nat-gw-eip-1b}]'
# AllocationId: eipalloc-0a1b2c3d4e5f60002

# 1b AZのパブリックサブネットにNAT Gatewayを作成する
$ aws ec2 create-nat-gateway   --subnet-id subnet-pub-1b0001   --allocation-id eipalloc-0a1b2c3d4e5f60002   --tag-specifications 'ResourceType=natgateway,Tags=[{Key=Name,Value=nat-gw-1b}]'
# NatGatewayId: nat-0a1b2c3d4e5f60002

# 完了を待機する
$ aws ec2 wait nat-gateway-available   --filter "Name=nat-gateway-id,Values=nat-0a1b2c3d4e5f60002"

# 1b AZのプライベートサブネットのルートテーブルを1b NATに向ける
# （1a AZのprv-1aは既に1a AZのNAT GWを向いているので変更不要）
$ aws ec2 create-route   --route-table-id rtb-0prv1b000002   --destination-cidr-block 0.0.0.0/0   --nat-gateway-id nat-0a1b2c3d4e5f60002

# 最終的なNAT Gateway一覧を確認する
$ aws ec2 describe-nat-gateways   --filter "Name=vpc-id,Values=vpc-0a1b2c3d4e5f6" "Name=state,Values=available"   --query 'NatGateways[*].[NatGatewayId,SubnetId,NatGatewayAddresses[0].PublicIp]'   --output table

+-------------------------+--------------------+----------------+
| nat-0a1b2c3d4e5f60001  | subnet-pub-1a0001  | 54.250.xxx.xxx |
| nat-0a1b2c3d4e5f60002  | subnet-pub-1b0001  | 13.112.yyy.yyy |
+-------------------------+--------------------+----------------+

# S3向けGateway型VPCエンドポイントを作成する（無料）
$ aws ec2 create-vpc-endpoint   --vpc-id vpc-0a1b2c3d4e5f6   --service-name com.amazonaws.ap-northeast-1.s3   --route-table-ids rtb-0prv1a000001 rtb-0prv1b000002   --tag-specifications 'ResourceType=vpc-endpoint,Tags=[{Key=Name,Value=endpoint-s3}]'

# 作成後、プライベートサブネットのルートテーブルを確認する
$ aws ec2 describe-route-tables   --route-table-ids rtb-0prv1a000001   --query 'RouteTables[*].Routes[*].[DestinationCidrBlock,GatewayId,State]'   --output table

+------------------------+----------------------------+---------+
| 0.0.0.0/0              | nat-0a1b2c3d4e5f60001     | active  |
| 10.0.0.0/16            | local                      | active  |
| pl-61a54008 (S3 Prefix)| vpce-0a1b2c3d4e5f6xxxx    | active  |
+------------------------+----------------------------+---------+
# pl-xxxxxxxx はS3のPrefix Listを表す
# S3への通信は自動的にVPCエンドポイント経由になる

$ aws ec2 describe-nat-gateways   --nat-gateway-ids nat-0a1b2c3d4e5f60001   --query 'NatGateways[*].[NatGatewayId,State,FailureMessage]'   --output table

# State が available であることを確認する
# deleted や failed の場合は再作成が必要
# pending 中はルート追加作業を先に進めないこと

# プライベートサブネットに関連付けられたルートテーブルを確認する
$ aws ec2 describe-route-tables   --filters "Name=association.subnet-id,Values=subnet-prv-1a0001"   --query 'RouteTables[*].Routes[*].[DestinationCidrBlock,NatGatewayId,State]'   --output table

# 確認ポイント:
# 1. 0.0.0.0/0 のルートが存在するか
# 2. NatGatewayId が正しい NAT GW を指しているか
# 3. State が active か（blackhole はNAT GWが削除済みを意味する）

# ルートが blackhole になっていたら対処する
$ aws ec2 replace-route   --route-table-id rtb-0prv1a000001   --destination-cidr-block 0.0.0.0/0   --nat-gateway-id nat-0a1b2c3d4e5f60001

# EC2に割り当てられたSGのアウトバウンドルールを確認する
$ aws ec2 describe-security-groups   --group-ids sg-0ec2prv001   --query 'SecurityGroups[*].IpPermissionsEgress[*].[IpProtocol,FromPort,ToPort,IpRanges[0].CidrIp]'   --output table

+----------+----------+--------+-------------+
| -1       | None     | None   | 0.0.0.0/0   |
+----------+----------+--------+-------------+
# IpProtocol が -1（全プロトコル）で 0.0.0.0/0 許可があれば問題なし
# 443/tcp のみ許可になっていると、ICMP（ping）などが通らない場合がある