AWS の VPC にふれていて、「プライベートサブネットでもインターネットからパケットが届いているのでは？」と思ったので確認してみました。
\nプライベートサブネットでも、パブリック IP があればインターネットからパケットが届きます。
\nAWS の VPC では、サブネットをパブリックサブネットとプライベートサブネットと呼び分けたりします。
\nそして、
\nなどと説明がされる場合があります。
\nこの説明を踏まえて、「プライベートサブネットであれば、インターネットからパケットは届かない」と思ってしまう方も少なくないと思います。
\n実際にどうなのか、試してみました。
\nプライベートサブネットに EC2 インスタンスを起動して、踏み台サーバを経由して SSH でアクセスしてみます。
\nこのとき、プライベートサブネットの EC2 インスタンスに、パブリック IP アドレスを割り当てるようにします。
\n※ セキュリティグループでは、すべてのプロトコルを許可しています。
\nパケットが届くか ping で確認するため、EC2 インスタンスの内部で tcpdump を実行しておきます。
\n$ sudo tcpdump -n icmpこの状態で、別のマシンから EC2 インスタンスのパブリック IP アドレスに ping を打つと…
\n$ sudo tcpdump -n icmp\ntcpdump: verbose output suppressed, use -v[v]... for full protocol decode\nlistening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes\n04:44:34.651927 IP 203.0.113.10 > 10.0.129.69: ICMP echo request, id 63224, seq 0, length 64\n04:44:34.651953 IP 10.0.129.69 > 203.0.113.10: ICMP echo reply, id 63224, seq 0, length 64\n04:44:35.654127 IP 203.0.113.10 > 10.0.129.69: ICMP echo request, id 63224, seq 1, length 64\n04:44:35.654154 IP 10.0.129.69 > 203.0.113.10: ICMP echo reply, id 63224, seq 1, length 64※ ping を実行したマシンの IP アドレスは例示用の値に書き換えてあります。
\nこのように、EC2 インスタンスにインターネットからパケットが届いていることが分かります。\n(ちなみに、ping コマンドは応答を得られません)
\nつまり、EC2 インスタンスに対してインターネットからパケットが到達するかどうかは、パブリックサブネットかどうかではなく、パブリック IP があるかどうかで決まります。
\nNAT Gateway があれば、応答も得られるのでは？と思ったので試してみましたが、NAT Gateway を作成してルートテーブルに設定しても、ping コマンドに応答はありませんでした。
\nこの理由はすぐに分からず、これ以上深掘りしていません。\n(もし分かる方は教えていただきたいです)
\nここで、そもそもパブリックサブネットの定義を確認しておきます。
\nAWS のドキュメントだと、以下のような説明を見つけられました。
\n\n\nパブリックサブネットは、インターネットゲートウェイへのルートが含まれているルートテーブルに関連付けられているサブネットです。
\n
また、以下のような文言もありました。
\n\n\nパブリックサブネットのインスタンスはアウトバウンドトラフィックを直接インターネットに送信できますが、プライベートサブネットのインスタンスはできません。
\n
パブリックサブネットは、アウトバウンドのトラフィックが直接インターネットに送信されないだけで、インバウンドについては関係ないように読めます。
\nこの記事で試した結果とも一致します。
\nAWS の VPC について、
\nといった説明は不正確で、
\nということでした。
","fields":{"slug":"/posts/aws-vpc-inbound-packet","tagSlugs":["/tag/aws/","/tag/network/"],"autoRecommendPosts":["how-to-study-aws-basics","aws-copilot-v0-1-0","4295010650","udemy-aws-container"]},"frontmatter":{"date":"2023-02-24T05:31:24.962Z","description":"AWS の VPC にふれていて、「プライベートサブネットでもインターネットからパケットが届いているのでは？」と思ったので確認してみました。","tags":["aws","network"],"title":"【AWS】VPC のプライベートサブネットでも、インターネットからパケットは届く","socialImage":null,"recommendPosts":null}}},"pageContext":{"slug":"/posts/aws-vpc-inbound-packet"}},"staticQueryHashes":["251939775","3942705351","401334301"]}