変更要約: in-scope サービス網羅: サービスメッシュ/発見/端末VPN(App Mesh/Cloud Map/Client VPN)を追加
1.1VPC と IP アドレッシングの設計
ネットワーク設計の土台——VPC、CIDR、サブネット、重複しないアドレス計画、マルチ AZ——を理解します。最初の設計が後の拡張性と接続性を左右します。
AWS のネットワークは VPC（仮想プライベートクラウド） から始まります。VPC には CIDR ブロック（例 10.0.0.0/16）で IP アドレス範囲を割り当て、その中を サブネットに分けます。
1.1.1CIDR とアドレス計画
- CIDR は最初に慎重に決める：後から VPC の主 CIDR は変更できない（追加は可能）。十分広く取り、拡張余地を残す。
- オンプレミスと重複させない：重複するとピアリングやハイブリッド接続でルーティングが破綻する。
- サブネットは AZ 単位：1 つのサブネットは 1 つの AZ に属する。可用性のため複数 AZにまたがって配置する。
- IPv6 は任意で併用：必要なら VPC/サブネットに IPv6 を付与できる（デュアルスタック）。
「VPC の主 CIDR は後から変更不可（追加のみ可）」「オンプレや他 VPC と CIDR を重複させない」「サブネット＝単一 AZ・可用性はマルチ AZ」 は ANS-C01 で頻出です。重複 CIDR は設計段階で必ず排除します。
AWS は各サブネットの先頭 4 つと末尾 1 つ、計 5 個の IP を予約します。小さすぎる /28 サブネットでは使える IP が極端に少なくなる点に注意します。
ANS-C01 のアドレス設計は「将来の接続性を壊さない CIDR 計画」を問います。VPC の主 CIDR は変更不可で、不足時はセカンダリ CIDRを追加します（ただし RFC1918 のブロックや既存 CIDR と重複しない範囲で）。最大の落とし穴は重複 CIDR——オンプレ、他 VPC、買収先、SaaS 接続先と範囲が被ると、ピアリング/Transit Gateway/VPN/Direct Connect でルーティングが成立しないため、組織で IPAM（IP Address Manager）を使ってアドレス空間を一元計画・割当するのが定石です。どうしても重複する相手と接続する場合は PrivateLink（CIDR 非依存）や NAT による重複回避（プライベート NAT/二重 NAT）で回避します。サブネットは AZ 単位で、各サブネットは AWS が5 IP を予約（.0 ネットワーク、.1 ルーター、.2 DNS、.3 予約、末尾ブロードキャスト相当）。DNS は VPC の Route 53 Resolver（.2 リゾルバ）と enableDnsSupport/enableDnsHostnames 属性で制御し、オンプレとの名前解決には Resolver のインバウンド/アウトバウンドエンドポイントを使います。IPv6 はデュアルスタックで付与でき（/56 を VPC、/64 をサブネット）、IPv6 は原則グローバル一意のため NAT 不要、外向き専用は Egress-Only IGW を使います。設計の要は、重複しない CIDR を IPAM で計画し、拡張余地・マルチ AZ・DNS/IPv6 まで見据えて初期設計することです。
| 設計事項 | ルール/手段 | 要点 |
|---|---|---|
| 主 CIDR | 変更不可・セカンダリで追加 | 最初に広めに・重複なし |
| 重複の回避 | IPAM で一元計画 | 重複はハイブリッド/ピアリングを破壊 |
| 重複相手との接続 | PrivateLink / プライベート NAT | CIDR 非依存で回避 |
| サブネット/DNS/IPv6 | AZ 単位・Route 53 Resolver・デュアルスタック | 予約 5 IP・IPv6 は NAT 不要(EIGW) |
シナリオ：複数チームが各自で VPC を作った結果、CIDR が重複し、Transit Gateway で相互接続できない。今後の拡大にも備えたい。→ IPAM で組織のアドレス空間を一元管理し、重複しないプール/割当ルールを定義。既存の重複 VPC は再 CIDR 化（再構築）か、当面は PrivateLink でサービス単位接続して回避。新規 VPC は IPAM から払い出し、十分広い主 CIDR＋将来用のセカンダリ余地、マルチ AZ サブネット、必要なら IPv6 デュアルスタックで設計します。
FAQ：CIDR が足りなくなったら？ 主 CIDR は変更できないため、セカンダリ CIDR を追加して新しいサブネットを作ります（既存サブネットの拡張ではない）。重複しない範囲を選ぶ必要があり、最初から IPAM で計画しておくと枯渇や重複を避けられます。どうしても重複する相手と接続するなら PrivateLink やプライベート NAT で回避します。
ひっかけ：「VPC が手狭になったので主 CIDR を広げる」という選択肢は誤り——主 CIDR は変更不可で、追加（セカンダリ CIDR）しかできません。また、オンプレと重複する CIDRで VPC を作ると、後から VPN/Direct Connect/ピアリングでルーティングできず作り直しになります。重複は設計段階で IPAM により必ず排除します。
1.1.2この節のまとめ
- 土台＝VPC＋CIDR＋サブネット、CIDR は広めに・重複なし
- 可用性＝マルチ AZ にサブネットを分散
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. オンプレミスと VPN/Direct Connect で接続する予定の新規 VPC を設計しています。アドレス設計で最も重要なのはどれですか？
Q2. VPC を 10.0.0.0/16 で作成した後、その主 CIDR ブロック自体を変更したくなりました。正しい説明はどれですか？
Q3. 高可用性のため、サブネットの配置はどうすべきですか？