プライベートサブネットはなぜ必要なのか？

Question

ec2のプライベートサブネットは、インタネットゲートウェイとの接続を持たない領域であり、そのためデータベースとかの秘匿性の高いものを置くのに適していると言われていると思います。
ですが別にそのデータベースがパブリックipアドレスを持たない限りは、外部からそのデータベースに接続するのは不可能なので、別にパブリックサブネットにデータベースを設置しても良いのではないかと思うのですが、どうでしょうか？

Answer 1

あくまで一例ですが、
アウトバウンド(内部→外部の通信)の制御を考えた場合、プライベートサブネットに置く方が楽ですね。
何らかの理由で踏み台にされたり、マルウェアやウィルスに汚染されて外部に対して通信を行ってしまうようなケースについて非常に有効です。

Comments

[takuyaKK]

パブリックサブネットに置くと、ウイルスに感染して外部に通信を行ない、大事な情報を一緒に送信してしまう恐れがあるけど、プライベートサブネットにおいておけば、外部に対して通信を行うことが不可能だから安心ということでしょうか？

[tanat]

はい。
少なくともその点においてはパブリックサブネットに置くより制御/管理するのが楽になります。

個別の論点は色々ありますが、
通信要件を明確にして最低限必要な通信を許可/管理するというのが基本です。
アウトバウンドが必要無いインスタンスやサービスはプライベートサブネットに置き、アウトバウンドが必要な場合だけパブリックサブネットに置くという観点で考えると「別にパブリックサブネットに置いても良いけど、無駄に心配事が増えるので止めたて置いたほうが楽」という考え方ですね。

[takuyaKK]

理解できました！ありがとうございます！

[yu_1985]

> 外部に対して通信を行うことが不可能

これについてはちょっと違って、NATを通して内部から外部への通信をさせることはよくあります。
どちらかというと、外部からのアクセスを明示的に遮断できることのほうが大きなメリットと考えます。
ただ、NATを介することで通信先を制御することも可能なので、外部の通信の制御という意味ではそういうやり方もあります。

[takuyaKK]

確かにデータベースとかはnat使って色々インストールするとか本に書いてありました！ありがとうございます！