AWS VPCのサブネット設計入門｜パブリック・プライベート分離とルートテーブルをCLIで実装する方法

この記事のポイント

・ルートテーブルの0.0.0.0/0がIGWを向いているかで「パブリック」かが決まる
・プライベートのアウトバウンドはNATゲートウェイ（パブリックサブネット配置）で確保
・セキュリティグループはL3/4止まり——サブネット設計と組み合わせて多層防御を作る
・aws ec2 create-subnetとルートテーブル設定でCLIから段階的に構成できる

$ aws ec2 create-vpc \
  --cidr-block 10.0.0.0/16 \
  --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=prod-vpc}]'

# 実行結果
{
    "Vpc": {
        "CidrBlock": "10.0.0.0/16",
        "State": "pending",
        "VpcId": "vpc-0a1b2c3d4e5f60001",
        "IsDefault": false
    }
}

$ VPC_ID=vpc-0a1b2c3d4e5f60001

$ aws ec2 modify-vpc-attribute \
  --vpc-id $VPC_ID \
  --enable-dns-hostnames '{"Value":true}'

$ aws ec2 modify-vpc-attribute \
  --vpc-id $VPC_ID \
  --enable-dns-support '{"Value":true}'

# 成功時は何も出力されない（エラーがなければOK）

$ aws ec2 create-subnet \
  --vpc-id $VPC_ID \
  --cidr-block 10.0.1.0/24 \
  --availability-zone ap-northeast-1a \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=pub-subnet-1a}]'

# 実行結果
{
    "Subnet": {
        "SubnetId": "subnet-0pub1a234567890ab",
        "VpcId": "vpc-0a1b2c3d4e5f60001",
        "CidrBlock": "10.0.1.0/24",
        "AvailabilityZone": "ap-northeast-1a",
        "State": "available"
    }
}

$ aws ec2 create-subnet \
  --vpc-id $VPC_ID \
  --cidr-block 10.0.11.0/24 \
  --availability-zone ap-northeast-1a \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=prv-subnet-1a}]'

# 実行結果
{
    "Subnet": {
        "SubnetId": "subnet-0prv1a234567890cd",
        "VpcId": "vpc-0a1b2c3d4e5f60001",
        "CidrBlock": "10.0.11.0/24",
        "AvailabilityZone": "ap-northeast-1a",
        "State": "available"
    }
}

# IGWを作成する
$ aws ec2 create-internet-gateway \
  --tag-specifications 'ResourceType=internet-gateway,Tags=[{Key=Name,Value=prod-igw}]'

# 実行結果
{
    "InternetGateway": {
        "InternetGatewayId": "igw-0abc12345def67890",
        "State": "available"
    }
}

# 作成したIGWをVPCにアタッチする
$ aws ec2 attach-internet-gateway \
  --internet-gateway-id igw-0abc12345def67890 \
  --vpc-id $VPC_ID

# 成功時は何も出力されない（エラーがなければOK）

# パブリック用ルートテーブルを作成する
$ aws ec2 create-route-table \
  --vpc-id $VPC_ID \
  --tag-specifications 'ResourceType=route-table,Tags=[{Key=Name,Value=pub-rtb}]'

# 実行結果
{
    "RouteTable": {
        "RouteTableId": "rtb-0pub1234567890abc",
        "VpcId": "vpc-0a1b2c3d4e5f60001"
    }
}

# 0.0.0.0/0 をIGWへ向けるルートを追加する
$ aws ec2 create-route \
  --route-table-id rtb-0pub1234567890abc \
  --destination-cidr-block 0.0.0.0/0 \
  --gateway-id igw-0abc12345def67890

# 実行結果
{
    "Return": true
}

# パブリックサブネットにルートテーブルを関連付ける
$ aws ec2 associate-route-table \
  --route-table-id rtb-0pub1234567890abc \
  --subnet-id subnet-0pub1a234567890ab

# 実行結果
{
    "AssociationId": "rtbassoc-0abc123456789def0",
    "AssociationState": {
        "State": "associated"
    }
}

$ aws ec2 describe-route-tables \
  --route-table-ids rtb-0pub1234567890abc \
  --query 'RouteTables[0].Routes'

# 実行結果
[
    {
        "DestinationCidrBlock": "10.0.0.0/16",
        "GatewayId": "local",
        "State": "active"
    },
    {
        "DestinationCidrBlock": "0.0.0.0/0",
        "GatewayId": "igw-0abc12345def67890",
        "State": "active"
    }
]

# Elastic IPを取得する
$ aws ec2 allocate-address --domain vpc

# 実行結果
{
    "PublicIp": "54.249.xxx.xxx",
    "AllocationId": "eipalloc-0abc1234def567890",
    "Domain": "vpc"
}

# NATゲートウェイをパブリックサブネット上に作成する
$ aws ec2 create-nat-gateway \
  --subnet-id subnet-0pub1a234567890ab \
  --allocation-id eipalloc-0abc1234def567890 \
  --tag-specifications 'ResourceType=natgateway,Tags=[{Key=Name,Value=prod-nat}]'

# 実行結果
{
    "NatGateway": {
        "NatGatewayId": "nat-0abc12345def67890a",
        "State": "pending",
        "SubnetId": "subnet-0pub1a234567890ab"
    }
}

$ aws ec2 describe-nat-gateways \
  --filter Name=nat-gateway-id,Values=nat-0abc12345def67890a \
  --query 'NatGateways[0].State'

# availableになったら次へ
"available"

# プライベート用ルートテーブルを作成する
$ aws ec2 create-route-table \
  --vpc-id $VPC_ID \
  --tag-specifications 'ResourceType=route-table,Tags=[{Key=Name,Value=prv-rtb}]'

{
    "RouteTable": {
        "RouteTableId": "rtb-0prv1234567890def"
    }
}

# 0.0.0.0/0 をNATゲートウェイへ向けるルートを追加する
$ aws ec2 create-route \
  --route-table-id rtb-0prv1234567890def \
  --destination-cidr-block 0.0.0.0/0 \
  --nat-gateway-id nat-0abc12345def67890a

{
    "Return": true
}

# プライベートサブネットにルートテーブルを関連付ける
$ aws ec2 associate-route-table \
  --route-table-id rtb-0prv1234567890def \
  --subnet-id subnet-0prv1a234567890cd

{
    "AssociationId": "rtbassoc-0def123456789abc0",
    "AssociationState": {
        "State": "associated"
    }
}

$ aws ec2 create-subnet \
  --vpc-id $VPC_ID \
  --cidr-block 10.0.2.0/24 \
  --availability-zone ap-northeast-1b \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=pub-subnet-1b}]'

$ aws ec2 create-subnet \
  --vpc-id $VPC_ID \
  --cidr-block 10.0.12.0/24 \
  --availability-zone ap-northeast-1b \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=prv-subnet-1b}]'

$ aws elbv2 create-load-balancer \
  --name prod-alb \
  --subnets subnet-0pub1a234567890ab subnet-0pub1b234567890ef \
  --security-groups sg-0xxxxxxxxxxxxxxxx \
  --type application

$ aws ec2 describe-nat-gateways \
  --filter Name=nat-gateway-id,Values=nat-0abc12345def67890a \
  --query 'NatGateways[0].State'

"available"

$ aws ec2 describe-route-tables \
  --filters Name=association.subnet-id,Values=subnet-0prv1a234567890cd \
  --query 'RouteTables[0].Routes'

# 0.0.0.0/0 のルートが存在し、NatGatewayId が正しいかを確認する

$ aws ec2 describe-nat-gateways \
  --filter Name=nat-gateway-id,Values=nat-0abc12345def67890a \
  --query 'NatGateways[0].SubnetId'

"subnet-0pub1a234567890ab"   # パブリックサブネットのIDが返ればOK

$ aws ec2 modify-subnet-attribute \
  --subnet-id subnet-0pub1a234567890ab \
  --map-public-ip-on-launch

# 成功時は何も出力されない

# RDSインスタンスのサブネットグループ名を確認する
$ aws rds describe-db-instances \
  --query 'DBInstances[*].[DBInstanceIdentifier,DBSubnetGroup.DBSubnetGroupName,PubliclyAccessible]'

# 実行結果例（PubliclyAccessible が false でも、サブネット配置を必ず確認する）
[
    ["prod-db", "prod-db-subnet-group", false]
]

# サブネットグループのサブネットIDを取得する
$ aws rds describe-db-subnet-groups \
  --db-subnet-group-name prod-db-subnet-group \
  --query 'DBSubnetGroups[0].Subnets[*].SubnetIdentifier'

# 返ってきたサブネットIDがプライベートサブネットであることを確認する
$ aws ec2 describe-route-tables \
  --filters Name=association.subnet-id,Values=subnet-0prv1a234567890cd \
  --query 'RouteTables[0].Routes[?DestinationCidrBlock==`0.0.0.0/0`].NatGatewayId'

# nat-xxx が返ればNAT経由（プライベート）。igw-xxx が返ればパブリックサブネットに配置されている