056-AWS SAP AWS 「理論・実践・一問道場」NATゲートウェイ

type

status

date

slug

summary

理論

1. VPCとサブネット

VPC (Virtual Private Cloud) は、AWS上で独自のネットワーク環境を構築するためのサービスです。VPC内にはパブリックサブネットとプライベートサブネットを作成できます。

パブリックサブネットには、インターネットと直接通信できるリソース（例：ALBやNATゲートウェイ）が配置されます。
プライベートサブネットには、インターネットに直接接続できないリソース（例：EC2インスタンス）が配置され、インターネットアクセスはNATゲートウェイを介して提供されます。

2. NATゲートウェイとインターネットアクセス

NATゲートウェイは、プライベートサブネットに配置されたインスタンスがインターネットにアクセスできるようにするためのサービスです。プライベートサブネット内のインスタンスから外部リソースにアクセスする際に、NATゲートウェイが公開IPアドレスを使って通信を行います。

Elastic IP (EIP) は、静的なパブリックIPアドレスで、AWSリソースに割り当てることができます。EIPを使うことで、インターネット経由で外部と通信する際のIPアドレスを固定できます。

3. サードパーティAPIとの連携

一部のサードパーティAPIは、アクセス元IPアドレスを許可リストに登録することでセキュリティを強化しています。このようなAPIにアクセスする場合、IPアドレスが固定である必要があります。AWSでは、Elastic IPアドレスを使用することで、リソースに静的なIPを割り当てることができます。

4. AWS Global Accelerator（オプション）

AWS Global Acceleratorは、AWSのネットワークインフラを利用して、アプリケーションのトラフィックを最適化するサービスです。グローバルなアプリケーションでのパフォーマンス向上や、特定のエンドポイントに対するトラフィックのルーティングを制御できます。Elastic IPを使って、Global Acceleratorを利用することも可能です。

まとめ

このように、AWSでのネットワーキングの基本的な設計を理解することで、VPC内での通信、インターネットアクセス、IPアドレス管理、そしてサードパーティAPIとのインタラクションにおける制約に対応する方法を学ぶことができます。

実践

AWSハンズオン_６_VPCの１_VPC、サブネット、NATゲートウェイの構築およびインスタンスとの連携 - Qiita

AWSの初心者のさとしですハンズオンで勉強メモとして投稿いたします。ご覧になったみんなさんにお役に立てればうれしいです※：間違ったところがあれば、ご指摘していただければ幸いです#始まる前に…

https://qiita.com/ShuSaToShi/items/a74c5dee46094cf2588d

一問道場

質問 #56

あるAWS顧客がオンプレミスで実行されているWebアプリケーションを持っています。このWebアプリケーションは、ファイアウォールの背後にあるサードパーティAPIからデータを取得しています。サードパーティは、クライアントの許可リストに対して1つのパブリックCIDRブロックのみを受け入れます。顧客はWebアプリケーションをAWSクラウドに移行したいと考えています。アプリケーションは、VPC内のApplication Load Balancer(ALB)の背後にある複数のAmazon EC2インスタンスにホストされます。ALBはパブリックサブネットに配置され、EC2インスタンスはプライベートサブネットに配置されます。NATゲートウェイがプライベートサブネットにインターネットアクセスを提供します。

ソリューションアーキテクトは、移行後にWebアプリケーションがサードパーティAPIを引き続き呼び出すことができるようにするために、どのようにすべきでしょうか？

選択肢:

A. 顧客所有のパブリックIPアドレスブロックをVPCに関連付ける。VPCのパブリックサブネットでパブリックIPアドレッシングを有効にする。

B. 顧客所有のパブリックIPアドレスブロックをAWSアカウントに登録する。Elastic IPアドレスをそのアドレスブロックから作成し、VPC内のNATゲートウェイに割り当てる。

C. 顧客所有のパブリックIPアドレスブロックからElastic IPアドレスを作成し、静的Elastic IPアドレスをALBに割り当てる。

D. 顧客所有のパブリックIPアドレスブロックをAWSアカウントに登録する。AWS Global Acceleratorを設定し、そのアドレスブロックからElastic IPアドレスを使用する。ALBをアクセラレータエンドポイントとして設定する。

解説

答えはBです。

理由: サードパーティAPIが受け入れるのは、1つのパブリックCIDRブロックだけで、そのIPアドレスからのリクエストのみを許可する場合、顧客が持っているパブリックIPアドレスをNATゲートウェイに割り当てる方法が適切です。これにより、プライベートサブネット内のEC2インスタンスがインターネットにアクセスする際に使用するIPアドレスが固定され、サードパーティAPIの許可リストにそのIPアドレスを追加できます。

Bの選択肢は、次の手順に従っています：

顧客所有のパブリックIPアドレスブロックをAWSアカウントに登録する。

そのアドレスブロックからElastic IPアドレスを作成。

そのElastic IPアドレスをVPC内のNATゲートウェイに割り当てる。

これにより、サードパーティAPIはこの特定のIPアドレスからのみリクエストを受け付けることができるようになります。