女性向けエンジニアスクール
3秒でわかる
大きなネットワークを用途ごとに小さく区切った IP アドレスの区画。公開する部分と隠す部分を分け、通信できる範囲を設計で絞り込むために使います。
もう少し詳しく
どういうものか
サブネットは、1 つのネットワークのアドレス範囲を、さらに小さい範囲へ区切ったものです。区切りの表現には CIDR 記法を使い、10.0.1.0/24 のように書きます。スラッシュの後の数字は、先頭から何ビットをネットワークの識別に使うかを表します。/24 なら先頭 24 ビットが共通で、残り 8 ビット分、つまり 256 個のアドレスがその区画に属します。
AWS の VPC では、まず 10.0.0.0/16 のような大きな枠を作り、その中に /24 のサブネットをいくつも切っていきます。サブネットは 1 つのアベイラビリティゾーンに属するため、可用性を上げるには別ゾーンにも同じ役割のサブネットを用意します。
なぜ必要か
区切る目的は 2 つあります。1 つは経路の制御です。インターネットゲートウェイへの経路を持つサブネットを公開用、持たないサブネットを非公開用とすることで、データベースを外部から到達できない場所に置けます。もう 1 つは事故の切り分けで、ブロードキャストや設定ミスの影響範囲を区画内に閉じ込められます。
具体例
VPC 10.0.0.0/16 (65,536 アドレス)
├─ public-1a 10.0.1.0/24 → ルート<a href="/glossary/table" class="text-primary font-medium underline underline-offset-2 hover:text-primary-dark">テーブル</a>に 0.0.0.0/0 → IGW
│ └ ロードバランサー、踏み台サーバー
├─ private-1a 10.0.11.0/24 → 外向きは NAT ゲートウェイ経由のみ
│ └ アプリサーバー
└─ private-1c 10.0.12.0/24 → 別ゾーンの同じ役割
└ データベースつまずきやすいところ
使えるアドレス数を単純計算で見積もると足りなくなります。ネットワークアドレスとブロードキャストアドレスは使えず、さらに AWS では各サブネットの先頭 4 個と末尾 1 個を予約するため、/24 で実際に使えるのは 251 個です。
小さく切りすぎるのも失敗のもとです。サブネットの範囲は作成後に広げられないので、後からサーバーを増やせなくなります。迷ったら /24 程度の余裕を持たせます。
似た用語との違い
サブネットが「区画そのもの」であるのに対し、セキュリティグループは「その中のサーバー 1 台ずつに付ける通信の許可リスト」です。区画の出入り口全体を制御したい場合はネットワーク ACL を使い、こちらは拒否のルールも書けます。
設計するときの目安
役割ごとに 1 つ、さらにアベイラビリティゾーンごとに 1 つ、という掛け算で数が決まります。
公開用と非公開用を 2 ゾーン分そろえると 4 つになり、データベースを別に分ければ 6 つです。
用途の名前を付けておくと、後からルートテーブルを見たときに意図が読み取れます。
覚え方
VPC を 1 棟のビル、サブネットをフロアと考えます。受付のあるフロアだけ外部へ通じ、サーバー室のフロアは階段が繋がっていません。
