AWS VPC ルーティングの仕組み

📌

ルートテーブルとは何か

ルートテーブル（Route Table）は、サブネット内のリソースがパケットを送信するとき「このパケットはどこに転送すべきか」を決定する道案内表です。現実世界でいえば、郵便局の仕分けシステムに似ています。宛先の郵便番号を見て「この手紙は東京行きの箱に」「この手紙は大阪行きの箱に」と仕分けるように、ルートテーブルはパケットの宛先IPアドレスを見て適切な転送先を決めます。

ルートテーブルは複数の「ルートエントリ」で構成されます。各エントリは「Destination（宛先CIDR）」と「Target（転送先）」のペアです。例えば 10.0.0.0/16 → local は「10.0.0.0/16 宛のパケットはVPC内で処理する」という意味で、0.0.0.0/0 → igw-xxx は「その他全ての宛先はIGW経由でインターネットに送る」という意味です。

VPCを作成すると「メインルートテーブル」が自動作成されます。明示的にルートテーブルを紐付けないサブネットはこのメインルートテーブルを使用します。しかしベストプラクティスとしては、パブリック用・プライベート用に別々のカスタムルートテーブルを作成し、明示的にサブネットに紐付ける（アソシエーション）ことが推奨されます。これにより、設定ミスでメインルートテーブルを変更しても影響範囲を限定できます。

🗺️

サブネットとルートテーブルの関係

VPC内の各サブネットには必ず1つのルートテーブルが紐付いています。EC2がパケットを送ると、そのEC2が所属するサブネットのルートテーブルが自動的に参照されます。つまりルートテーブルはサブネット単位で設定するもので、「このサブネットの通信はこのルールで振り分ける」という役割です。

ここで重要なのは、サブネットに「パブリック」「プライベート」という属性は存在しないということです。紐付いているルートテーブルの中身がサブネットの性質を決めます。デフォルトルート（0.0.0.0/0）がIGWを指していればパブリック、NATを指していればプライベートになります。ルートテーブルを差し替えるだけで性質が変わります。

自分でルートテーブルを紐付けていないサブネットは、VPCの「メインルートテーブル」が自動で使われます。メインルートテーブルにはlocalルートしかないため、紐付けを忘れたサブネットは事実上プライベート（インターネット接続なし）になります。

🎯

最長プレフィックスマッチとは何か

最長プレフィックスマッチ（Longest Prefix Match）は、複数のルートが宛先IPアドレスにマッチする場合に、最も具体的な（プレフィックス長が最大の）ルートを選択するルールです。これはAWS固有の概念ではなく、インターネットのルーティングプロトコル全般で使われる基本原則です。

例えば宛先が 10.0.1.50 の場合、10.0.1.0/24（24ビット一致）、10.0.0.0/16（16ビット一致）、0.0.0.0/0（0ビット一致）の3つにマッチしますが、24ビットが最長なので /24 のルートが選ばれます。直感的には「最も詳しい住所を知っているルートに任せる」と理解できます。

この仕組みにより、VPC内通信（local）とインターネット通信（IGW/NAT）を1つのルートテーブルで正しく振り分けることができます。10.0.0.0/16 → local は /16 で、0.0.0.0/0 → IGW は /0 なので、VPC内宛のパケットは常にlocalが優先されます。

🏠

local ルートの役割

localルートはVPC作成時に自動的に全てのルートテーブルに追加されるルートで、削除できません。VPCのCIDRブロック宛のパケットをVPC内部のルーターが直接処理することを意味します。例えばVPCが10.0.0.0/16の場合、10.0.x.xの範囲内宛のパケットはIGWやNATを経由せず、VPC内で直接ルーティングされます。

localルートがあるおかげで、同じVPC内の異なるサブネット間の通信は自動的に行えます。パブリックサブネットのALBからプライベートサブネットのEC2への通信、プライベートサブネット間のRDS接続など、VPC内通信はlocalルートが処理します。追加の設定は不要で、セキュリティグループとNACLのみで制御します。

最長プレフィックスマッチにより、localルート（/16）はデフォルトルート（/0）よりも常に優先されます。つまり、VPC内宛のパケットがIGW経由でインターネットに出てしまうことは絶対にありません。VPC内通信が確実にVPC内で完結するこのメカニズムは、セキュリティとパフォーマンスの両面で重要です。

🚪

デフォルトルート（0.0.0.0/0）とは何か

デフォルトルート（0.0.0.0/0）は「他のどのルートにもマッチしなかったパケットの行き先」を指定するルートです。0.0.0.0/0は全てのIPアドレスにマッチしますが、プレフィックス長が0なので最長プレフィックスマッチにより最も優先度が低くなります。つまり「最後の砦」として機能します。

パブリックサブネットでは 0.0.0.0/0 → igw-xxx と設定し、VPC外宛のパケットをIGW経由でインターネットに送ります。プライベートサブネットでは 0.0.0.0/0 → nat-xxx と設定し、NAT Gateway経由でインターネットに出ます。

デフォルトルートが存在しないサブネットでは、VPC外宛のパケットはルートが見つからず破棄されます。これは意図的にインターネット通信を禁止したい場合（DB専用サブネット等）には正しい設定ですが、多くの場合は設定ミスです。EC2からOSパッチが取得できない等の障害の原因として最も多いのがこのデフォルトルートの未設定です。

📎

メインルートテーブル

VPCを作成すると「メインルートテーブル」が1つ自動で作られます。このテーブルには local ルートだけが入っています。サブネットを作った直後は、このメインルートテーブルが暗黙的に紐付きます。

自分で別のルートテーブル（カスタムルートテーブル）を作成してサブネットに明示的に紐付けると、そのサブネットはメインルートテーブルを使わなくなります。紐付けを忘れたサブネットはメインルートテーブルが使われるので、メインRTの中身を変えると意図しないサブネットに影響が出ます。

⚠️

ルートテーブル設定ミスによるトラブルシューティング

「EC2からインターネットに繋がらない」という障害の原因で最も多いのがルートテーブルの設定ミスです。ここでは実際によくある3つのケースを、ルートテーブルの中身を見ながら確認します。

📝

AWS 認定試験（SAA）レベルの問題