変更要約: SOA-C02 第5章を Associate 級に深掘り（比較表・シナリオ・FAQ・ひっかけ＋深掘り段落、図を日本語化）
5.1VPC ネットワーキングの運用
VPC の公開/非公開サブネット、IGW と NAT ゲートウェイ、セキュリティグループと NACL の違い、VPC エンドポイント、VPC フローログによるトラブルシュートを理解します。SOA-C02 の「ネットワーキングとコンテンツ配信」の出発点です。
ネットワークの疎通トラブルは運用で頻出です。VPC のサブネット・ルーティング・セキュリティグループ/NACL の違いを正しく理解することが切り分けの鍵です。
5.1.1接続と制御
- IGW：公開サブネットのインターネット接続。NAT ゲートウェイ：非公開サブネットのアウトバウンドのみ。
- セキュリティグループ：インスタンス（ENI）/ステートフル/許可のみ。NACL：サブネット/ステートレス/許可・拒否。
- VPC エンドポイント：インターネットを経由せず S3 等の AWS サービスへプライベート接続。
- VPC フローログ：許可/拒否された通信を記録し、疎通トラブルの切り分けに使う。
「疎通しない原因の切り分け＝SG/NACL/ルートテーブル/フローログを確認」「NACL はステートレスなので戻り通信も明示許可が必要」「プライベートにAWS サービス＝VPC エンドポイント」 は SOA で頻出です。
ネットワーク疎通のトラブルシュートは「経路を上流から下流へ順に確認」が定石です。確認順は
①ルートテーブル（宛先への経路があるか・公開サブネットは IGW、非公開は NAT ゲートウェイ 経由）→
②NACL（サブネット境界・ステートレスなので戻り通信も明示許可が必要・番号順評価）→
③セキュリティグループ（ENI 単位・ステートフルで戻り通信は自動許可・許可ルールのみ）。SG は「許可のみ」、NACL は「許可＋拒否」で、特定 IP のブロックは NACL の役割です。AWS サービスへインターネットを経由せず接続するには VPC エンドポイント（S3/DynamoDB 向けの ゲートウェイ型＝ルートテーブルに追加、その他の インターフェイス型＝PrivateLink/ENI）を使います。疎通の事実確認には VPC フローログ（ACCEPT/REJECT を記録）、到達性の論理検証には Reachability Analyzer が有効です。NAT ゲートウェイはマネージドで AZ 単位（冗長化は各 AZ に配置）、自前運用の NAT インスタンスより推奨されます。
| 観点 | セキュリティグループ | NACL |
|---|---|---|
| 適用範囲 | インスタンス（ENI） | サブネット |
| 状態 | ステートフル | ステートレス |
| ルール | 許可のみ | 許可＋拒否 |
| 特定 IP のブロック | 不可 | 可能 |
シナリオ：Web サーバーに接続できない。 上流から確認：ルートテーブル（IGW/NAT への経路）→NACL（インバウンドとアウトバウンド＝戻りポートの両方を許可しているか）→セキュリティグループ（該当ポートの許可）。事実は VPC フローログの REJECT で裏取りし、論理経路は Reachability Analyzer で確認。攻撃元 IP の遮断は NACL の Deny で行います。
Q. 戻り通信も許可が要るのは？ NACL（ステートレス）。SG はステートフルで自動許可。Q. 特定 IP をブロックするには？ NACL の Deny（SG は許可のみ）。Q. 非公開サブネットの外向き通信は？ NAT ゲートウェイ。Q. S3 へプライベート接続？ ゲートウェイ型 VPC エンドポイント。Q. 疎通の事実確認？ フローログ。
混同に注意：
①NACL はステートレス——戻り通信（エフェメラルポート）も明示許可が必要（SG は自動）。
②SG は許可のみで拒否ルールを書けない——ブロックは NACL。
③ゲートウェイ型エンドポイント（S3/DynamoDB）はルートテーブルに追加が必要、忘れると到達不可。
④NAT ゲートウェイは AZ 障害に備え各 AZ に置く。
セキュリティグループはステートフルなので戻り通信を自動許可します。NACL はステートレスなので、インバウンドとアウトバウンドの両方を許可する必要があります。
5.1.2この節のまとめ
- SG（インスタンス/ステートフル）／NACL（サブネット/ステートレス） を切り分けで確認
- 疎通調査はフローログ、AWS へプライベートはVPC エンドポイント
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. インスタンスへの通信が届かない原因を切り分けたい。確認すべきものの組み合わせとして最も適切なのはどれですか？
Q2. NACL に関する正しい記述はどれですか？
Q3. 非公開サブネットの EC2 がインターネットへ更新を取りに行く（アウトバウンドのみ）には何が必要ですか？