プライベートサブネットからインターネット接続を行う際のセキュリティー上の危険性について

Question

AWSにおきまして、パブリックサブネットからプライベートサブネットへ接続し、ターミナルより、「yum update -y」などとし、インターネットへ接続し、アップデートを行う際のルートテーブルの設定について、お聞きしたいことがございます。
まず、前提としまして、パブリックサブネットとプライベートサブネットの２つをVPC内に作成しました。
そして、パブリックサブネットからプライベートサブネットへ接続をするため、NATゲートウェイをパブリックサブネットへ設定しました。次に、プライベートサブネットのルートテーブルを編集し、「送信先」に「0.0.0.0/0」を入力し、「ターゲット」にはパブリックサブネットへ設定したNATゲートウェイを指定しました。
ここで、疑問なのですが、「送信先（0.0.0.0/0）」というのは、インターネットを指しているのでしょうか？
インターネットから、NATゲートウェイへ情報のレスポンスを行わなければならない為、フルオープン（0.0.0.0/0）としているのでしょうか？しかし、もし自分の理解が正しかったとしますと、NATゲートウェイへインターネットからのアクセスが可能となり、セキュリティの観点からしましても、なんのためにプライベートサブネットを作成しているのかが、いまいち分かりません。
AWSの学習をしていたのですが、ここの点につきまして、少し混乱してしまっている為、ご助言いただけますと幸いです。
よろしくお願いします。

Answer 1

0.0.0.0/0については調べればいっぱい出てきますが例えばWikipediaとかも見てみてください。
この辺もいいかも。
これはAWSに限らず、OSI参照モデルにおけるネットワーク層のお話ですね。そのあたりをもう少し勉強してみてください。
あとは、NATそのものについても。

0.0.0.0/0をNatGatewayに向けているのならプライベートサブネットから外に出ていく通信は全てNatGatewayを経由します。
NatGatewayのあるサブネットのルートテーブルにはインターネットゲートウェイが0.0.0.0/0のターゲットとして指定されているはずです。
なので、NatGatewayを経由してインターネットに出ていくことになります。
一方、プライベートサブネットにインターネットゲートウェイが紐付いておらず、グローバルIPを外から参照する術がないので、プライベートサブネット内のインスタンスにインターネットから直接アクセスすることはできません。

Comments

[aae_11]

ご丁寧に教えていただきありがとうございます。
やはりNATや「0.0.0.0/0」について、きちんと理解する必要があるんですね...
>プライベートサブネット内のインスタンスにインターネットから直接アクセスすることはできません。
ご回答いただきました、こちらの点についてなのですが、NATゲートウェイを通して、プライベートサブネットへアクセスが可能な為、どこからでも悪意を持った人間からのアクセスもできてしまうのではないかと思ったのですが、そういったことは起こらないような設定がNATゲートウェイにされているといった感じなのでしょうか？

[yu_1985]

>NATゲートウェイを通して、プライベートサブネットへアクセスが可能な為、
もう一度同じことを書きますが、NATそのものについてもう少し調べてみてください。
インターネットからはNATのIPアドレスは解決できますが、その裏側のプライベートネットワークのIPアドレスの解決はできません。
（ここではインターネットとプライベートネットワークの間のNATの話をしています。念の為）

[aae_11]

ご返信ありがとうございます。
すみません。NATについて、きちんと調べてみたいと思います。

Answer 2

「送信先」に「0.0.0.0/0」を入力し、

そもそも、こういうふうに設定してるのはあなたでは？
なぜこういう設定にしてるんでしょうか。

＃あなたが自分でしてることをなんの関係もない赤の他人に聞いてどーしろとｗ