VPCとは？

Amazon VPC (Virtual Private Cloud) とは？

Amazon VPC は、AWS クラウド内に論理的に分離されたプライベートネットワーク空間を作成できるサービスです。

基本概念

VPCの役割

主要機能:
  - ネットワーク分離: 論理的に独立したネットワーク空間
  - IPアドレス管理: CIDR範囲の定義と管理
  - サブネット分割: パブリック/プライベートサブネット
  - ルーティング制御: ルートテーブルによる通信制御
  - セキュリティ: セキュリティグループ、NACL

デフォルト設定:
  - 各リージョンにデフォルトVPC
  - CIDR: 172.31.0.0/16
  - 各AZにパブリックサブネット
  - インターネットゲートウェイ付き

VPCの主要コンポーネント

1. サブネット

サブネットタイプ:
  パブリックサブネット:
    - インターネットゲートウェイへのルート有り
    - パブリックIPアドレス自動割り当て可能
    - Web層、ロードバランサー配置

  プライベートサブネット:
    - インターネットゲートウェイへのルート無し
    - NAT Gateway経由で外部通信
    - アプリケーション層、データベース層配置

CIDR設計:
  VPC: 10.0.0.0/16
  パブリックサブネット1: 10.0.1.0/24 (ap-northeast-1a)
  パブリックサブネット2: 10.0.2.0/24 (ap-northeast-1c)
  プライベートサブネット1: 10.0.11.0/24 (ap-northeast-1a)
  プライベートサブネット2: 10.0.12.0/24 (ap-northeast-1c)

2. ルートテーブル

パブリックサブネット用:
  - 0.0.0.0/0 → インターネットゲートウェイ
  - 10.0.0.0/16 → local

プライベートサブネット用:
  - 0.0.0.0/0 → NAT Gateway
  - 10.0.0.0/16 → local

3. インターネットゲートウェイ (IGW)

特徴:
  - VPCとインターネット間の通信を可能にする
  - 水平スケーリング、冗長性、高可用性を備える
  - 1つのVPCに1つのみアタッチ可能
  - 帯域制限なし

4. NAT Gateway

用途:
  - プライベートサブネットからインターネットへの送信通信
  - 受信通信は不可（セキュリティ向上）

特徴:
  - AZごとに配置（高可用性）
  - 自動スケーリング（45Gbpsまで）
  - Elastic IP必須

コスト:
  - 時間単価: $0.045/時間
  - データ転送: $0.045/GB

5. セキュリティグループ

特徴:
  - ステートフル: 戻りトラフィック自動許可
  - インスタンスレベルのファイアウォール
  - デフォルト: 全て拒否、送信は全て許可

設定例:
  Web層:
    インバウンド:
      - HTTP (80): 0.0.0.0/0
      - HTTPS (443): 0.0.0.0/0
    アウトバウンド:
      - 全て許可

  App層:
    インバウンド:
      - Custom TCP (8080): Web層SG
    アウトバウンド:
      - MySQL (3306): DB層SG

  DB層:
    インバウンド:
      - MySQL (3306): App層SG
    アウトバウンド:
      - 制限（必要最小限）

6. ネットワークACL (NACL)

特徴:
  - ステートレス: 戻りトラフィック明示的許可必要
  - サブネットレベルのファイアウォール
  - ルール番号順に評価（低い番号優先）

デフォルトNACL:
  - 全て許可

カスタムNACL:
  - デフォルトで全て拒否

使い分け:
  - セキュリティグループ: 基本的なセキュリティ
  - NACL: 追加の防御層、特定IPブロック

VPC Peering

概要:
  - 2つのVPC間をプライベート接続
  - 同一リージョン/クロスリージョン対応
  - 同一アカウント/クロスアカウント対応

制限:
  - CIDRブロックの重複不可
  - 推移的ルーティング不可
  - VPC間は1対1接続

設定:
  1. Peering接続作成
  2. 接続承認
  3. ルートテーブル更新
  4. セキュリティグループ更新

VPC Endpoints

タイプ:
  Interface Endpoint:
    - PrivateLink使用
    - ENI作成
    - ほとんどのAWSサービス対応
    - $0.01/時間 + データ転送料

  Gateway Endpoint:
    - S3、DynamoDB専用
    - ルートテーブル更新
    - 無料

メリット:
  - インターネット経由不要
  - セキュリティ向上
  - データ転送コスト削減（Gateway Endpoint）

Transit Gateway

用途:
  - 複数VPC、オンプレミス接続のハブ
  - スケーラブルなネットワークアーキテクチャ

特徴:
  - 最大5,000個のVPC接続
  - マルチキャストサポート
  - ルートテーブル分離
  - クロスリージョンPeering

コスト:
  - アタッチメント: $0.05/時間
  - データ転送: $0.02/GB

VPCの制限

デフォルト制限:
  - VPC per リージョン: 5（上限緩和可能）
  - サブネット per VPC: 200
  - Elastic IP per リージョン: 5
  - インターネットゲートウェイ per VPC: 1
  - セキュリティグループ per VPC: 2,500
  - ルール per セキュリティグループ: 60

CIDR制限:
  - 最小: /28 (16個のIPアドレス)
  - 最大: /16 (65,536個のIPアドレス)
  - セカンダリCIDR: 最大4個追加可能

料金

基本的なVPCコンポーネント（無料）

項目	価格	備考
VPC作成・使用	無料	VPC自体に料金なし
サブネット	無料	サブネット作成・使用
ルートテーブル	無料	ルーティング設定
インターネットゲートウェイ	無料	インターネット接続
セキュリティグループ	無料	ファイアウォール
NACL	無料	サブネットレベル制御

有料コンポーネント

項目	価格	備考
NAT Gateway	$0.045 / 時間 + $0.045 / GB	プライベートサブネットからのインターネットアクセス
VPC Peering（データ転送）	$0.01 / GB	同一AZ間は無料
VPN Connection	$0.05 / 時間	オンプレミス接続
Transit Gateway	$0.05 / 時間 / アタッチメント + $0.02 / GB	複数VPC接続のハブ
Elastic IP（未使用時）	$0.005 / 時間	未割り当てまたは停止インスタンス
VPC Endpoint（Interface型）	$0.01 / 時間 / AZ	AWSサービスへのプライベート接続

料金計算例（NAT Gateway、月間1TB転送）:

項目	計算	料金
NAT Gateway時間	$0.045 × 24時間 × 30日	$32.40
データ転送	1TB × $0.045	$45.00
合計	-	$77.40/月

料金計算例（Transit Gateway、3 VPC接続、月間500GB転送）:

項目	計算	料金
アタッチメント	$0.05 × 3 × 24時間 × 30日	$108.00
データ転送	500GB × $0.02	$10.00
合計	-	$118.00/月

コスト最適化のポイント:

NAT Gatewayの代わりにNAT Instanceを検討（小規模環境）
VPC EndpointでS3/DynamoDBへのデータ転送コスト削減
不要なElastic IPの削除
Transit Gatewayは3つ以上のVPC接続で効果的

まとめ

VPCの重要ポイント:

ネットワーク分離: 論理的に独立したプライベートネットワーク
柔軟な設計: サブネット、ルーティング、セキュリティを完全制御
高可用性: マルチAZ配置、冗長化
セキュリティ: 多層防御（SG、NACL、VPC Endpoints）
拡張性: Peering、Transit Gateway、Direct Connect

VPCは、AWSにおけるすべてのネットワーク設計の基盤となる重要なサービスです。