リージョンとAZ

リージョンは、東京や大阪のような地域ごとのまとまりです。リージョンの中に、互いに離れた複数のアベイラビリティーゾーン（AZ）があります。AZは、電源やネットワークが独立したデータセンターの集まりです。1つのAZが止まっても動くように、2つ以上のAZに分けて置くのが基本です。

VPCとサブネット

VPCは、自分専用のネットワークです。IPアドレスの範囲を決め、それをサブネットに分けます。サブネットは1つのAZの中にあります。AWSは各サブネットで5つのアドレスを予約するので、/24のサブネットで使えるのは 256 − 5 = 251個です。

公開サブネットと非公開サブネット

• 公開サブネット … ルートテーブルに、インターネットゲートウェイへの道がある。ALBなどを置く
• 非公開サブネット … インターネットへの直接の道が無い。アプリやデータベースを置く
• NATゲートウェイ … 非公開サブネットから外へ出る通信だけを通す

2つの防火壁

• セキュリティグループ … インスタンスなどに付ける。許可だけを書く。行きを許せば戻りも通る（ステートフル）
• ネットワークACL … サブネットに付ける。許可と拒否を書け、番号の小さいルールから順に見る。行きと戻りを別々に許す（ステートレス）

特定のIPアドレスを拒否したいなら、ネットワークACLです。

• リージョンとAZ、2つ以上のAZに分ける理由
• VPCとサブネットの設計と、予約アドレスの計算
• 公開・非公開サブネットとNATゲートウェイ
• セキュリティグループとネットワークACLの違い