ラボ概要
このラボでは、外部から HTTP でアクセスできない Web サーバー EC2 を題材に、VPC の到達性を「ルートテーブル → セキュリティグループ → ネットワーク ACL」の順で体系的に切り分けて修正します。事前構築テンプレートがわざと 3 か所を壊した状態で環境を用意しているので、あなたはそれを 1 つずつ特定して直し、最終的にブラウザでページが表示できる状態を目指します。
学習目標
- パブリックサブネット内の EC2 に外部から到達するために必要な 3 つのネットワーク要素（ルート・セキュリティグループ・ネットワーク ACL）を理解する
- 到達性の問題を「どの層で止まっているか」切り分ける手順を身につける
- ルートテーブルに Internet Gateway 向けのデフォルトルートを追加する
- セキュリティグループ（ステートフル）に HTTP のインバウンド許可を追加する
- ネットワーク ACL（ステートレス）の拒否ルールを見つけて修正し、戻り通信の評価方向まで正しく理解する
- VPC Reachability Analyzer で構成上の到達性をツールで裏取りする
前提
このラボは事前構築テンプレート（CloudFormation）で次のリソースがすでに作成済みの状態から始まります。手動での作成は不要です。
- VPC
clouddo-reachability-vpc（CIDR10.50.0.0/16） - Internet Gateway
clouddo-reachability-igw（VPC にアタッチ済み） - パブリックサブネット
clouddo-reachability-public-subnet（10.50.1.0/24、自動パブリック IP 割り当て有効） - ルートテーブル
clouddo-reachability-public-rt（デフォルトルートが欠落） - セキュリティグループ
clouddo-reachability-web-sg（HTTP インバウンドが欠落、SSH のみ許可） - ネットワーク ACL
clouddo-reachability-public-nacl（HTTP インバウンドを明示的に拒否） - EC2 インスタンス
clouddo-reachability-web（t3.micro / Amazon Linux 2 / ポート 80 で Web サーバー稼働済み）
ラボの構成
- 1現状の確認（まず「つながらない」を体験する）
- 2インスタンスとサブネットの場所を確認する
- 3第 1 層: ルートテーブルを修正する（IGW へのデフォルトルート追加）
- 4第 2 層: セキュリティグループを修正する（HTTP インバウンド許可）
- 5第 3 層: ネットワーク ACL を修正する（拒否ルールの除去と戻り通信の理解）
- 6動作確認とツールでの裏取り
- 7動作確認
- 8完了チェックリスト
- 9後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- Amazon VPC ドキュメント — VPC・サブネット・ルーティングの公式ユーザーガイド
- VPC ルートテーブル — Internet Gateway 向けデフォルトルートなど経路設定の解説
- セキュリティグループ — ステートフルなインスタンス単位ファイアウォールの仕組み
- ネットワーク ACL — ステートレスなサブネット境界フィルタと評価順・戻り通信
- VPC Reachability Analyzer — 構成ベースで到達性を解析するトラブルシューティングツール
- Amazon EC2 ドキュメント — EC2 インスタンスの基本とネットワーク設定