AWSのNACLとNATゲートウェイを理解する【VPCのネットワーク制御】

2026-06-13

今回はVPCの追加知識としてNACL（ネットワークACL）とNATゲートウェイを学びました。

NACLってなに？小学生でもわかる説明

イメージはマンションの入口ゲートです。

セキュリティグループが「各部屋のドアの鍵」なら、NACLは「マンション全体の入口ゲート」です。

VPCコンソールの左メニュー「ネットワークACL」をクリック。

インバウンドルールはこうなっていました：

ルール番号	タイプ	許可/拒否
100	すべてのトラフィック	Allow
*	すべてのトラフィック	Deny

NACLは番号が小さい順にルールを評価して、最初にマッチしたルールが適用されます。

100番：全トラフィックをAllow → ここでマッチ → 終了
*番  ：全トラフィックをDeny  → 100番でマッチ済みなので到達しない

つまり今の設定は全部許可の状態です。デフォルトVPCはこの設定になっています。

インターネット
　　↓
NACL（マンションの入口ゲート）← サブネット単位で制御
　　↓
セキュリティグループ（部屋のドア）← EC2単位で制御
　　↓
EC2

NACLは全許可なので、実質的なアクセス制御はセキュリティグループだけでやっている状態です。これは一般的な構成なのでこのままでOKです。

イメージはマンションの管理人室です。

プライベートサブネット（外から直接入れない部屋）にいるEC2が、インターネットに出ていくときに使う中継点です。

プライベートサブネットのEC2
　　↓
NATゲートウェイ（管理人室経由で外に出る）
　　↓
インターネットゲートウェイ
　　↓
インターネット

構成	NATゲートウェイ
今のcharakatsu.com（パブリックサブネット）	不要
本格的な構成（プライベートサブネット）	必要

今はEC2がパブリックサブネットに置いてあるので不要です。RDSをプライベートサブネットに移動するような本格的な構成にしたときに必要になります。