【AWS】VPC Endpointとは？Gateway型とInterface型の違い・使い分けを初心者向けに解説

前の記事では、 Security GroupとNetwork ACL（NACL）を使って VPC内の通信を制御する仕組みを学びました。

ここまでで、 VPC内のネットワークを構成するための 重要な要素がかなり見えてきました。

では、プライベートサブネットにあるEC2から Amazon S3などのAWSサービスへアクセスするとき、 必ずNAT Gatewayやインターネットゲートウェイを 経由する必要があるのでしょうか。

そこで登場するのが、 VPC Endpoint（VPCエンドポイント）です。

VPC Endpointとは？

VPC Endpointは、 VPCから対応するAWSサービスやリソースなどへ プライベートに接続するための仕組みです。

たとえば、 プライベートサブネットにあるEC2から Amazon S3へアクセスする場合を考えてみましょう。

VPC Endpointを利用すると、 このようなNAT GatewayやIGWを利用する経路とは別に、 AWSサービスへプライベートにアクセスする経路を構成できます。

まずはGateway型とInterface型を覚えよう

VPC Endpointには複数のタイプがありますが、 AWSのネットワークを学ぶうえで特に重要なのが 次の2つです。

Gateway Endpointとは？

Gateway Endpointは、 Amazon S3やAmazon DynamoDBへ プライベートにアクセスするために利用できます。

Gateway Endpointでは、 ルートテーブルが重要な役割を持ちます。

Gateway Endpointを作成して 対象のルートテーブルを関連付けると、 AWSサービスのプレフィックスリストを宛先とした エンドポイントへのルートが追加されます。

ここでの pl-xxxxxxxxは、 S3などのAWSサービスが使用するIPアドレス範囲を表す AWS管理のプレフィックスリストです。

Gateway型ではS3とDynamoDBを覚える

AWS学習では、 Gateway Endpointと対応サービスの組み合わせが重要です。

また、Gateway Endpointには 追加料金がありません。

Interface Endpointとは？

Interface Endpointは、 AWS PrivateLinkを利用して、 対応するAWSサービスなどへ プライベートに接続する仕組みです。

Gateway型とは異なり、 Interface Endpointを作成すると、 選択したサブネットに ENI（Elastic Network Interface） が作成されます。

このENIには、 サブネットのIPアドレス範囲から プライベートIPアドレスが割り当てられます。

EC2などのリソースは、 このプライベートIPを持つENIを通して 対応サービスへアクセスします。

なぜInterface型ではENIが作られる？

Interface Endpointを理解するときは、 「VPC内にサービスへの入口を作る」 と考えると分かりやすいでしょう。

VPC内にプライベートIPを持つ ネットワークインターフェイスが作られるため、 VPC内のリソースから見ると、 プライベートな接続先として利用できます。

Interface EndpointにはSecurity Groupを設定できる

Interface EndpointのENIには、 Security Groupを関連付けます。

たとえばHTTPSを利用して AWSサービスへアクセスする場合、 EC2側からInterface EndpointのENIへ TCP/443の通信が許可されるように設定します。

前の記事で学んだSecurity Groupが、 ここでも登場するわけです。

Private DNSとは？

Interface Endpointでは、 Private DNSも重要なポイントです。

通常、AWSサービスへアクセスするときは、 サービスのDNS名を利用します。

Private DNSを有効にすると、 対応サービスの通常のDNS名を利用しながら、 Interface Endpointの プライベートIPへ名前解決できるようになります。

Gateway型とInterface型の違い

ここまでの違いを一覧で整理してみましょう。

図で覚えるGateway型とInterface型

VPC EndpointとNAT Gatewayの違い

VPC Endpointを学ぶと、 NAT Gatewayとの違いが分かりにくくなることがあります。

たとえば、 プライベートサブネットのEC2が Amazon S3だけにアクセスするのであれば、 S3用のGateway Endpointを利用することで、 S3通信のためにNAT Gatewayを経由する必要はありません。

Endpoint Policyでアクセス先を制御できる

VPC Endpointでは、 Endpoint Policyを利用して エンドポイント経由で利用できるAWSサービスの操作や リソースなどを制御できます。

たとえば、 VPC Endpointを経由して 特定のS3バケットだけにアクセスさせる、 といったアクセス制御を設計できます。

あなたならどちらを選ぶ？

次の構成を考えてみましょう。

Gateway Endpointの通信経路を追ってみよう

EC2からAmazon S3へアクセスする場合を 順番に追ってみます。

この通信では、 S3宛ての通信がGateway Endpointへルーティングされるため、 NAT GatewayやIGWを利用する必要がありません。

確認問題：VPC Endpoint

まとめ

次はAWSの代表的なサーバー「EC2」へ

ここまでのAWS中級講座では、 VPCを中心としたネットワークについて学んできました。

ここからは、 このVPC内に配置する代表的なAWSリソースについて 学んでいきます。

まず理解しておきたいのが、 AWSの代表的な仮想サーバーサービスである Amazon EC2です。