【入門編】 VPCエンドポイント(Gateway型)のルーティングメカニズムとプレフィックスリスト – クラウド＆コンテナネットワーク実践ガイド

「インターネットに出ないでS3へ！」Gateway型VPCエンドポイントの魔法を解き明かす

こんにちは！クラウドの深淵を覗き込み、時にネットワークの迷宮でパケットを追いかけるSREの現場からお届けします。

皆さんはAWSのVPC（Virtual Private Cloud）を触っていて、こんな悩みを持ったことはありませんか？
「S3にファイルを保存したいだけなのに、わざわざインターネットゲートウェイ（IGW）を経由させるのはセキュリティ的に怖いし、何より通信が遠回りすぎる……」

実は、AWSにはこの悩みを一瞬で解決する「Gateway型VPCエンドポイント」という魔法のツールが存在します。今回は、これが一体どういう仕組みで、なぜ私たちのトラフィックを「近道」させてくれるのか、郵便配達の例えを交えながら優しく紐解いていきましょう！

—

1. 郵便配達で例える「VPCエンドポイント」の正体

まず、皆さんが住んでいる「VPC」という名前の住宅街を想像してください。
この街から、隣町にある「S3という名前の巨大な倉庫」に手紙（データ）を送りたいとします。

通常、何もしないと手紙は以下のルートを辿ります。
1. 住宅街の出口（インターネットゲートウェイ）を通る。
2. 公道（インターネット）に出る。
3. 渋滞や信号に揉まれながら、隣町のS3倉庫に届く。

これだと、「誰かに中身を見られないかな？」「道が混んでて遅くならないかな？」と心配ですよね。

そこで登場するのが「Gateway型VPCエンドポイント」です。
これは、住宅街の敷地内に「S3倉庫直通の秘密の地下トンネル」を掘るようなもの。このトンネルを通れば、公道に出ることなく、一瞬でS3まで荷物を届けられるのです。

—

2. ルートテーブルという「配達指示書」の書き方

VPCエンドポイントを作成すると、AWSは自動的に「プレフィックスリスト」という便利なリストを生成してくれます。

プレフィックスリストとは、簡単に言うと「S3へ行くための住所リスト」です。私たちがやるべきことは、VPCのルートテーブルに「S3宛ての手紙は、全部この秘密トンネル（エンドポイント）へ投げろ！」という指示を書き込むだけ。

ルートテーブル設定の例

例えば、AWS CLIでルートテーブルを操作する場合、以下のようなイメージになります。

# S3への通信をエンドポイントへ向けるためのルート追加コマンド
aws ec2 create-route \
    --route-table-id rtb-1234567890abcdef0 \
    --destination-prefix-list-id pl-63a5400a \
    --gateway-id vpce-0123456789abcdef0

# 解説：
# rtb-1234567890abcdef0 : あなたのサブネットが使うルートテーブルのID
# pl-63a5400a : AWSが提供する「S3用の住所リスト（プレフィックスリスト）」
# vpce-0123456789abcdef0 : 作成した秘密トンネル（VPCエンドポイント）のID

この設定を書くと、あなたのサブネットから s3.amazonaws.com 宛てにパケットが飛び出した瞬間、ネットワーク機器が「お、これはS3宛てだな？じゃあ秘密トンネル（vpce-）に放り込んでやろう」と判断してくれるのです。賢いですよね！

—

3. なぜ「Gateway型」はこんなに人気なの？

実はVPCエンドポイントには「Interface型（PrivateLink）」という兄弟分もいるのですが、Gateway型には圧倒的なメリットがあります。

追加料金がかからない！

Interface型は利用するだけで時間単価＋データ処理単価がかかりますが、Gateway型（S3とDynamoDB用）は無料です。これはインフラコストを気にするSREとしては涙が出るほど嬉しいポイントです。

設定が極めてシンプル

一度ルートテーブルに書いてしまえば、あとは自動的に面倒を見てくれます。

—

4. 現場で役立つチェックリスト

最後に、構築後に「あれ、繋がらないぞ？」とならないためのポイントを伝授します。

1. ルートテーブルの紐付け確認：エンドポイント作成画面で、ちゃんと対象のサブネットが属するルートテーブルにチェックを入れましたか？
2. セキュリティグループは不要：Gateway型エンドポイント自体にはセキュリティグループは適用されません。あくまで「ルーティング」の制御なので、サブネットのACL（ネットワークACL）でS3への通信がブロックされていないか確認しましょう。
3. IAMポリシー：エンドポイントには「どのS3バケットへのアクセスを許可するか」というポリシーを設定できます。デフォルトでは「全許可」になっていますが、本番環境では「特定のバケットのみ許可」するように絞るのがセキュリティの鉄則です。

—

まとめ：ネットワークを「近道」させよう

Gateway型VPCエンドポイントは、一度仕組みを知ってしまえば、これほど心強い味方はいません。

「インターネットを通らない」という安心感と、「通信が早くなる」という効率性。これらを手に入れるために必要なのは、たった数行のルートテーブル設定だけです。

初めてインフラを触る皆さんも、ぜひ怖がらずに「秘密のトンネル」を掘ってみてください。パケットたちが快適に目的地まで走っていく姿を想像すると、ネットワーク設計がもっと楽しくなるはずですよ！

それでは、また次回の深掘り記事でお会いしましょう。ハッピー・クラウド・ネットワーキング！