AWS VPC Peeringを活用したマルチAZ構成設計ガイド｜CIDR重複回避と経路制御

この記事のポイント

・CIDRブロックの重複があるとVPC Peering接続要求が通らない（設計段階で分割する）
・PeeringがActiveでも双方のルートテーブルに相手CIDR宛の経路を追加しないと疎通しない
・セキュリティグループはPeering先のCIDRブロックを送信元として明示的に許可する
・enableDnsSupport・enableDnsHostnamesを有効にするとVPC間でDNS名前解決が可能になる

# CIDRアドレス割り当て例（マルチVPC設計）
#
# 環境      VPC CIDR       AZ-a サブネット    AZ-c サブネット
# ─────────────────────────────────────────────────────
# 本番       10.0.0.0/16    10.0.1.0/24      10.0.2.0/24
# ステージング 10.1.0.0/16    10.1.1.0/24      10.1.2.0/24
# 共通サービス 10.2.0.0/16    10.2.1.0/24      10.2.2.0/24
# 開発       10.3.0.0/16    10.3.1.0/24      10.3.2.0/24

# 既存VPCのCIDRブロック一覧を取得する
aws ec2 describe-vpcs \
  --query 'Vpcs[*].{VpcId:VpcId,CIDR:CidrBlock,Name:Tags[?Key==`Name`]|[0].Value}' \
  --output table

--------------------------------------------------
|               DescribeVpcs                     |
+---------------+------------------+-------------+
|     CIDR      |      Name        |    VpcId    |
+---------------+------------------+-------------+
| 10.0.0.0/16   | prod-vpc         | vpc-0abc123 |
| 10.1.0.0/16   | staging-vpc      | vpc-0def456 |
| 172.31.0.0/16 | default          | vpc-0ghi789 |
+---------------+------------------+-------------+

# Peering接続を要求する（要求元VPCから実行）
aws ec2 create-vpc-peering-connection \
  --vpc-id vpc-0abc123 \
  --peer-vpc-id vpc-0xyz999 \
  --tag-specifications 'ResourceType=vpc-peering-connection,Tags=[{Key=Name,Value=prod-to-shared}]'

# 出力から VpcPeeringConnectionId（pcx-xxxxxxxx）を控える

# 承認（同一アカウントなら要求元で実行可能）
aws ec2 accept-vpc-peering-connection \
  --vpc-peering-connection-id pcx-0abc12345

# ステータスがActiveになることを確認する
aws ec2 describe-vpc-peering-connections \
  --vpc-peering-connection-ids pcx-0abc12345 \
  --query 'VpcPeeringConnections[0].Status.Code'
# 出力: "active"

# 本番VPCのルートテーブルID一覧を確認する
aws ec2 describe-route-tables \
  --filters "Name=vpc-id,Values=vpc-0abc123" \
  --query 'RouteTables[*].{RouteTableId:RouteTableId,Subnets:Associations[*].SubnetId}' \
  --output table

# 本番VPC側：共通サービスVPC（10.2.0.0/16）宛の経路を追加する
aws ec2 create-route \
  --route-table-id rtb-0prod1234 \
  --destination-cidr-block 10.2.0.0/16 \
  --vpc-peering-connection-id pcx-0abc12345

# 共通サービスVPC側：本番VPC（10.0.0.0/16）宛の経路を追加する
aws ec2 create-route \
  --route-table-id rtb-0shared5678 \
  --destination-cidr-block 10.0.0.0/16 \
  --vpc-peering-connection-id pcx-0abc12345

# 共通サービスVPC内のDBへ、本番VPCからのMySQL接続を許可する例
aws ec2 authorize-security-group-ingress \
  --group-id sg-0shared-db \
  --protocol tcp \
  --port 3306 \
  --cidr 10.0.0.0/16

# 設定を確認する
aws ec2 describe-security-groups \
  --group-ids sg-0shared-db \
  --query 'SecurityGroups[0].IpPermissions'

# 要求元VPC → 相手VPCのDNS名解決を有効化する
aws ec2 modify-vpc-peering-connection-options \
  --vpc-peering-connection-id pcx-0abc12345 \
  --requester-peering-connection-options '{"AllowDnsResolutionFromRemoteVpc":true}'

# 相手VPC（承認側）でも同様に有効化する
aws ec2 modify-vpc-peering-connection-options \
  --vpc-peering-connection-id pcx-0abc12345 \
  --accepter-peering-connection-options '{"AllowDnsResolutionFromRemoteVpc":true}'

# ルートテーブルの確認（相手CIDRへの経路がpcxに向いているか確認する）
aws ec2 describe-route-tables \
  --route-table-ids rtb-0prod1234 \
  --query 'RouteTables[0].Routes[?DestinationCidrBlock==`10.2.0.0/16`]'