テクノロジー 2026.9.9

Amazon VPC（Virtual Private Cloud）とは？現役AWSエンジニアが構成要素から設計まで徹底解説

KANADE

「AWSでEC2を立てようとしたらVPCが出てきたけど、これって何？」「サブネットとかルートテーブルとか、どこから手をつければいい？」

AWSを使い始めた方が必ず直面するのが、このVPC（ブイピーシー）という壁です。設定しないとEC2もRDSも動かせないのに、いきなりCIDRやサブネットの話が出てきて、「ネットワークって難しそう……」と感じてしまう方は少なくありません。

この記事では、現役AWSエンジニアが、VPCの概念から実務での設計ポイントまでを体系的に解説します。初心者の方がつまずきやすいポイントを丁寧に押さえながら、実際の構築に役立つ設計の考え方も紹介します。読み終えたときには、「VPCで何をどう設定すればいいか」の全体像がはっきりするはずです。

1. Amazon VPCとは？「AWS上の自分専用ネットワーク」【まずは結論】
2. Amazon VPCの主要構成要素6つを図解で理解する
3. セキュリティグループとネットワークACLの違いは？
4. Amazon VPCを利用する3つのメリット
5. VPCの接続オプション4選：外部・他VPCとの連携方法
6. VPC設計で押さえる5つのポイント【現役エンジニアが解説】
7. EC2・ECS・S3との連携：実践的なVPC活用パターン
8. Amazon VPCの料金：基本は無料、有料になるのはどこから？
9. AWS認定試験でのVPC出題傾向【SAA・DVA受験者必見】
10. よくある質問（FAQ）
まとめ：Amazon VPCはAWSインフラの「土台」
参考リンク
関連記事

監修：KANADE
■保有資格
AWS Certified Cloud Practitioner / AWS Certified AI Practitioner / AWS Certified Solutions Architect - Associate / AWS Certified Developer - Associate / AWS Certified Machine Learning Engineer - Associate / AWS Certified SysOps Administrator - Associate / AWS Certified Data Engineer - Associate / AWS Certified DevOps Engineer - Professional / AWS Certified Solutions Architect - Professional / AWS Certified Security - Specialty / AWS Certified Database - Specialty / AWS Certified Data Analytics - Specialty / AWS Certified Machine Learning - Specialty / AWS Certified SAP on AWS - Specialty / AWS Certified Advanced Networking - Specialty / AWS Authorized Instructors
食品業界からIT業界未経験でALHへ入社。AWS環境上で稼働するシステムインフラの設計から運用保守を担当。

運営元：ALH株式会社
ALH株式会社は、AWSパートナーネットワーク（APN）において、以下の認定を取得しているAWSパートナー企業です。
◆ AWS 1000 APN Certification Distinction
AWS認定資格の取得数が1,000件を超えたパートナーに与えられる認定
◆ AWS Training Partner
AWS公認の研修トレーニングを提供できるパートナー認定

◆ AWS Select Tier Services Partner
AWSサービスの構築・運用において一定の実績を持つパートナー認定

1. Amazon VPCとは？「AWS上の自分専用ネットワーク」【まずは結論】

1-1. VPCの定義と正式名称

Amazon VPC（Virtual Private Cloud）は、AWS上に論理的に分離された「自分専用の仮想ネットワーク」を構築できるサービスです。

VPCのフルネームは「Amazon Virtual Private Cloud」。「Virtual（仮想の）」「Private（専用の）」「Cloud（クラウド）」という名前の通り、AWSというパブリッククラウドの中に、自分だけが使えるプライベートなネットワーク空間を作り出せます。

このネットワーク空間の中に、EC2インスタンス（仮想サーバー）やRDS（データベース）、ECSコンテナなど、さまざまなAWSリソースを配置して使います。

EC2やRDSといったコンピューティング・データベース系の主要サービスは、VPCがなければ動かせません（一方で、S3やDynamoDB、IAM、Route 53のように、VPCの外で動くサービスもあります）。VPCがAWSインフラの「土台」と呼ばれるゆえんです。

1-2. なぜVPCが必要なのか：オンプレミスとの違い

オンプレミス（自社でサーバーを持つ従来型の環境）では、ネットワークを設計するためにルーターやスイッチなどの物理機器を調達し、ケーブルを配線する必要がありました。費用も時間もかかる作業です。

VPCを使えば、この作業をすべてソフトウェアで、数分で完了できます。 IPアドレスの範囲を指定し、サブネットを切って、ゲートウェイを設定する。すべてAWSマネジメントコンソール上のクリック操作で完結します。

また、同じAWSアカウントを複数のチームで使っていても、VPCを分けることでネットワーク同士が完全に分離されます。「開発環境と本番環境のサーバーを誤って繋いでしまった」というトラブルも、VPCを適切に設計することで防げます。

1-3. デフォルトVPCとカスタムVPCの違い

AWSアカウントを作成すると、各リージョンに「デフォルトVPC」が自動的に作成されます。学習目的でEC2を試す程度であれば、このデフォルトVPCをそのまま使うことができます。

ただし、本番環境での利用にはデフォルトVPCをそのまま使うのは推奨されません。デフォルトVPCはすべてのサブネットがインターネットに接続された設定になっており、意図せずリソースが外部からアクセスできる状態になるリスクがあるためです。

実務では、セキュリティ要件や設計方針に合わせて「カスタムVPC」を一から作成するのが基本です。

項目	デフォルトVPC	カスタムVPC
作成タイミング	アカウント作成時に自動生成	手動で作成
CIDR	172.31.0.0/16（固定）	任意で設定
サブネット	パブリックのみ	パブリック・プライベートを任意で設計
推奨用途	学習・検証	本番環境

2. Amazon VPCの主要構成要素6つを図解で理解する

VPCは6つの主要コンポーネントの組み合わせで成り立っています。 この6つを理解することが、VPC理解の核心です。

2-1. サブネット：ネットワークを役割で分割する

サブネット（Subnet）は、VPCのIPアドレス空間をさらに細かく分割した「区画」です。

たとえば、VPCに10.0.0.0/16というIPアドレス範囲を割り当てた場合、その中を10.0.1.0/24（Webサーバー用）、10.0.2.0/24（データベース用）といった形でサブネットに分割します。

サブネットには2種類あります。

パブリックサブネット：インターネットゲートウェイ（後述）への経路を持ち、外部からアクセスできるリソース（Webサーバーやロードバランサーなど）を配置する
プライベートサブネット：インターネットへの直接経路を持たない。データベースや内部APIサーバーなど、外部に晒したくないリソースを配置する

この2種類を使い分けることが、VPCセキュリティ設計の基本です。

なお、サブネットは必ず1つのアベイラビリティゾーン（AZ）に属します。AZとは、AWSリージョン内の物理的に分離されたデータセンターのことです。本番環境では複数のAZにサブネットを配置し、障害時の冗長性を確保します（詳しくは「設計のポイント」の章で解説します）。

2-2. インターネットゲートウェイ（IGW）：外部への扉

インターネットゲートウェイ（IGW：Internet Gateway）は、VPCとインターネットを繋ぐ「扉」です。

パブリックサブネットに配置したEC2インスタンスがWebサイトを公開したり、外部のAPIを呼び出したりできるのは、このIGWがあるからです。IGWはVPCに1つアタッチするだけで使えます。

VPCにIGWをアタッチしても、それだけではインターネット通信はできません。後述するルートテーブルに「インターネット向けのトラフィックはIGWへ送れ」という経路を追加して初めて機能します。

2-3. NATゲートウェイ：プライベートサブネットからの外部接続

NATゲートウェイ（NAT Gateway）は、プライベートサブネット内のリソースがインターネットへアウトバウンド通信できるようにするための仕組みです。

「プライベートサブネットは外部から接続できないはずでは？」と思うかもしれません。アウトバウンド（内から外）とインバウンド（外から内）は別物です。NATゲートウェイを使うことで、次のような一方通行が実現します。

アウトバウンドは可能：プライベートサブネット内のEC2がソフトウェアアップデートを取得するためにインターネットに接続できる
インバウンドは不可：インターネット側からプライベートサブネット内のリソースに直接アクセスすることはできない

NATゲートウェイ自体はパブリックサブネットに配置し、Elastic IP（固定IPアドレス）を割り当てて使います。なお、NATゲートウェイは稼働時間とデータ転送量に応じて料金が発生します（料金の章で詳述）。

2-4. ルートテーブル：通信の交通整理役

ルートテーブル（Route Table）は、サブネット内のトラフィックをどこへ転送するかを定義する「経路表」です。

たとえば、パブリックサブネットのルートテーブルには以下のような経路が設定されます。

宛先	ターゲット
10.0.0.0/16（VPC内）	local（VPC内で転送）
0.0.0.0/0（インターネット）	igw-xxxxxxxx（IGW）

プライベートサブネットの場合、0.0.0.0/0の宛先をNATゲートウェイに向けることで、インターネットへのアウトバウンド通信が可能になります。

各サブネットに1つのルートテーブルを関連付けます。ルートテーブルを正しく設定しないと「EC2を起動したのにつながらない」という最もよくあるトラブルに直結するため、VPC設計で最も注意が必要なコンポーネントのひとつです。

2-5. セキュリティグループ：インスタンス単位のファイアウォール

セキュリティグループ（Security Group）は、EC2インスタンスなどのリソースに付与する仮想ファイアウォールです。

ポート番号やIPアドレスを指定して、インバウンド（受信）とアウトバウンド（送信）のトラフィックを制御します。

「Webサーバーへの80番ポート（HTTP）は許可」
「データベースへの3306番ポートはWebサーバーのセキュリティグループからのみ許可」

セキュリティグループの大きな特徴はステートフル（状態を保持する）であることです。インバウンドで許可した通信は、その応答（アウトバウンド）が自動的に許可されます。つまり、ルールを書く際は受信側だけを意識すればよく、管理がシンプルです。

2-6. ネットワークACL（NACL）：サブネット単位の通信制御

ネットワークACL（Network Access Control List）は、サブネット単位で適用するトラフィック制御の仕組みです。

セキュリティグループとの大きな違いはステートレス（状態を保持しない）であること。インバウンドとアウトバウンドのルールを別々に定義する必要があります。また、ルール番号の小さい順に評価され、「拒否」を明示的に書くことができます。

実務では、セキュリティグループで細かい制御を行い、NACLはサブネット全体に一括で適用したいシンプルなルール（特定IPをブロックするなど）に使うケースが多いです。詳しくは次章で解説します。

3. セキュリティグループとネットワークACLの違いは？

日常的なアクセス制御はセキュリティグループで、サブネット全体へのブロックが必要な場合にNACLを補助的に使う、というのが実務の基本です。

混乱しやすいこの2つを、現役エンジニアの視点で整理します。

3-1. ステートフル vs ステートレス

項目	セキュリティグループ	ネットワークACL
適用単位	リソース（EC2など）単位	サブネット単位
ステート	ステートフル	ステートレス
送受信のルール	インバウンドのみ書けばOK	インバウンド・アウトバウンド両方必要
デフォルト動作	インバウンド：すべて拒否（許可が必要）／アウトバウンド：すべて許可	すべて許可
拒否ルール	書けない（許可のみ）	書ける
評価方式	すべてのルールを評価	番号順に評価（最初にマッチしたルールが適用）

※上の「デフォルト動作」は、新規に作成した場合を基準にしています。厳密には次の違いがあります。VPC作成時から用意されているデフォルトのセキュリティグループは、同じセキュリティグループを付けたリソース同士のインバウンド通信を許可する初期ルールを持ちます。またネットワークACLも、デフォルトのネットワークACLはインバウンド・アウトバウンドともすべて許可ですが、自分で新規作成したカスタムネットワークACLは、ルールを追加するまで通信をすべて拒否した状態から始まります。

3-2. 適用範囲と優先度の違い

ネットワークACLはサブネットの「出入り口」に設置されるイメージです。サブネットを出入りするすべての通信に適用されます。

セキュリティグループはEC2インスタンスひとつひとつに付与されます。同じサブネット内のEC2同士の通信も制御できるため、よりきめ細かい制御が可能です。

通信の流れとしては、インバウンド（外部から入る通信）は「NACL → セキュリティグループ」の順、アウトバウンド（VPC内から出る通信）は「セキュリティグループ → NACL」の順で評価されます。

3-3. 実務でのおすすめ使い分け

実際の現場での使い方を整理するとこうなります。

セキュリティグループ（主役）

Webサーバーは80/443番ポートのみ許可
DBサーバーはWebサーバーのセキュリティグループからの3306番のみ許可
ほとんどのアクセス制御はここで完結させる

ネットワークACL（補助役）

特定の不審なIPアドレスからの通信をサブネット全体でブロックしたいとき
コンプライアンス要件上、サブネットレベルでの制御が求められるとき

4. Amazon VPCを利用する3つのメリット

4-1. コストを抑えて仮想ネットワークを構築できる

オンプレミスでネットワーク環境を構築する場合、ルーター・スイッチ・ファイアウォール機器の調達費、ラッキングや配線の工事費、さらに保守費用が継続的にかかります。一方、VPCそのものは無料です（一部機能を除く。詳細は料金の章で解説）。

ネットワーク機器の調達待ち時間もなく、コンソール操作数分で本番さながらのネットワーク環境を用意できます。特にスタートアップや新規プロジェクトのような「すぐに動かしたい」場面で、このスピードは大きなアドバンテージです。

4-2. カスタマイズ性が高く要件に応じた設計が可能

IPアドレスの範囲、サブネットの数と配置、インターネットへの接続の有無、オンプレミスとの接続方式などをすべて自由に設計できます。

小規模なWebアプリから、オンプレミスと連携したハイブリッドクラウド構成、マルチリージョン展開まで、VPCの設計次第でどんな要件にも対応できます。

4-3. セキュリティと可視性を一括管理できる

セキュリティグループやNACLによるアクセス制御に加え、VPCフローログ（後述）を使えばVPC内を流れる全トラフィックのログを取得できます。

「どのIPアドレスからどのポートに接続があったか」「通信が拒否されたのはどのルールか」を事後に確認できるため、セキュリティインシデントの調査や、想定外の通信パターンの把握に役立ちます。

5. VPCの接続オプション4選：外部・他VPCとの連携方法

VPCは単独でも使えますが、複数のVPCを繋いだり、オンプレミス環境と接続したりする構成も頻繁に使われます。主な接続オプションは4つです。

5-1. VPCピアリング：VPC間のプライベート接続

VPCピアリングは、2つのVPCをプライベートに接続する機能です。

異なるAWSアカウント間やリージョン間でも使えます。接続したVPC同士は、インターネットを経由せずにプライベートIPアドレスで通信できます。

ただし、VPCピアリングは1対1の接続です。3つ以上のVPCを相互に接続したい場合、「A-B」「B-C」「A-C」とすべての組み合わせに対してピアリングを張る必要があります。VPCが増えるほど管理が複雑になるため、多数のVPCを繋ぐ場合はTransit Gatewayが適しています。

5-2. AWS Transit Gateway：多数のVPCをハブで束ねる

Transit Gatewayは、複数のVPCやオンプレミス環境を1つのハブに集約して接続するサービスです。

ピアリングが「1対1」なのに対して、Transit Gatewayは「ハブアンドスポーク」構成を取ります。新しいVPCをTransit Gatewayに接続すれば、デフォルトのルートテーブル設定では既存のすべてのVPCと通信できるようになるため、VPC数が増えても設計がシンプルなまま保てます（ルートテーブルやアソシエーションを個別に設定すれば、通信できるVPCの範囲を絞ることもできます）。

ただしTransit Gatewayは利用料金が発生します。少数のVPCを繋ぐ場合はVPCピアリングの方がコスト効率が良いケースもあります。

5-3. VPCエンドポイント：インターネットを使わずAWSサービスに接続

VPCエンドポイントは、VPC内のリソースがS3やDynamoDBなどのAWSサービスに、インターネットを経由せずプライベートに接続するための仕組みです。

プライベートサブネット内のEC2からS3にデータをアップロードしたい場合、NATゲートウェイ経由でインターネットに出て接続するのが通常の経路です。しかしVPCエンドポイント（ゲートウェイ型）を使えば、NATゲートウェイを経由しないため転送コストが削減でき、通信もAWSネットワーク内に留まります。

S3やDynamoDBへの接続には「ゲートウェイ型」エンドポイント（無料）が使えます。その他のAWSサービスへの接続には「インターフェイス型」エンドポイント（有料）が用いられます。

5-4. Site-to-Site VPN / Direct Connect：オンプレミスとの接続

オンプレミス環境とVPCを繋ぐ方法は主に2つあります。

①AWS Site-to-Site VPN

インターネット上に暗号化された仮想トンネルを作り、オンプレミスのネットワークとVPCを接続します。導入が比較的手軽で、数時間で設定できます。ただし、インターネット回線を使うため帯域の保証はありません。

②AWS Direct Connect

オンプレミスとAWSを専用線で物理接続します。帯域が安定しており、大量データ転送やレイテンシが重要なシステムに向いています。ただし、専用線の手配に時間とコストがかかります。

項目	Site-to-Site VPN	Direct Connect
接続方式	インターネット経由（暗号化）	専用線
帯域の安定性	変動あり	安定
導入スピード	数時間〜数日	数週間〜数ヶ月
コスト	比較的安価	高価
向いている用途	低コストでの接続、災害対策	大量データ転送、金融・基幹系

6. VPC設計で押さえる5つのポイント【現役エンジニアが解説】

VPCは一度作成すると変更が難しい設定が多いため、最初の設計が非常に重要です。 私が現場で実際に意識している設計のポイントを5つ紹介します。

6-1. CIDRは広めに取る：後から変えられないIPアドレス設計

VPCのCIDR（Classless Inter-Domain Routing）ブロック、つまりIPアドレスの範囲は、作成後に変更できません。（既存のCIDRブロックのサイズ変更は不可。セカンダリCIDRの追加は可能ですが制約があります）

後から「もっとIPアドレスが必要だった」という事態を防ぐため、最初から大きめのCIDRを割り当てるのが鉄則です。

実務でよく使われるのは /16（65,536個のIPアドレス）です。サブネット1つあたりは /24（256個）を目安にすると管理しやすくなります。ただし、各サブネットではAWSが先頭4つと末尾1つの計5個のIPアドレスを予約するため、/24でも実際に使えるのは251個です。

また、オンプレミスとVPN接続する予定がある場合、オンプレミスのネットワークとIPアドレス範囲が重複しないよう注意が必要です。重複があると接続時にルーティングの競合が発生します。

6-2. マルチAZ構成で可用性を確保する

本番環境では、同じ役割のサブネットを複数のアベイラビリティゾーン（AZ）に作成するのが基本です。

1つのAZに障害が発生しても、他のAZのリソースで処理を継続できるため、サービスの可用性が上がります。たとえばパブリックサブネットを2つのAZに配置し、ロードバランサーを使ってトラフィックを分散する構成は、Webサービスの定番設計です。

6-3. パブリック/プライベートサブネットを役割で分離する

インターネットからアクセスされる可能性があるリソースと、そうでないリソースを同じサブネットに混在させないようにします。

パブリックサブネット：ロードバランサー、踏み台サーバー（Bastionホスト）
プライベートサブネット：アプリケーションサーバー（EC2）、データベース（RDS）、コンテナ（ECS）

この分離があることで、万が一Webサーバーが侵害されても、データベースには直接アクセスできないという多層防御が実現します。

6-4. 初心者がやりがちな設計ミス3選

実際の現場でよく見かける失敗パターンを3つ紹介します。

① ルートテーブルの設定漏れ

サブネットを作成してIGWをアタッチしたのに通信できない、というケースの大半はルートテーブルの設定漏れです。パブリックサブネットのルートテーブルに 0.0.0.0/0 → IGW の経路を追加し忘れていないか確認しましょう。

② セキュリティグループの設定が緩すぎる

「どこからでも接続できるようにする」という意味で 0.0.0.0/0（すべてのIPから許可）を設定してしまうケースがあります。本番環境では、接続元IPやセキュリティグループを絞って最小権限で設定するのが原則です。

③ CIDRが被ってピアリングできない

後からVPCピアリングやVPN接続を試みたとき、CIDRが重複していて接続できないというケースは非常によくあります。設計段階でネットワーク全体のIPアドレス計画を立てておくことが重要です。

6-5. VPCフローログを有効化してトラブルに備える

VPCフローログは、VPCを流れるIPトラフィックの情報をキャプチャして記録する機能です。

「なぜこの通信が拒否されているのか」「どのIPから大量のアクセスが来ているか」を事後に分析できます。有効化するとCloudWatch LogsまたはS3にログが出力されます。

本番環境ではVPCフローログを最初から有効化しておくことを強く推奨します。トラブルが起きてから有効化しても、それ以前のログは取得できないからです。

フローログ自体の設定は無料ですが、CloudWatch LogsやS3への保存・転送には別途料金が発生します。

7. EC2・ECS・S3との連携：実践的なVPC活用パターン

VPCの概念を理解したら、実際の構成例を見てみましょう。

7-1. 3層アーキテクチャの基本構成（Web/App/DB）

Webアプリケーションの定番構成は、3層アーキテクチャです。

層	配置場所	主なリソース
Webサーバー層	パブリックサブネット	ELB（ロードバランサー）、Nginxなど
アプリケーション層	プライベートサブネット	EC2、ECSコンテナ
データベース層	プライベートサブネット	RDS、DynamoDB

ユーザーからのリクエストはロードバランサーが受け取り、プライベートサブネットのアプリケーションサーバーへ転送。アプリケーションサーバーは同じプライベートサブネット（またはさらに別のサブネット）にあるデータベースにアクセスする、という流れです。

インターネットから直接アクセスできるのはロードバランサーだけ、というシンプルで堅牢な設計です。

7-2. ECSコンテナ環境でのVPC設計

コンテナオーケストレーションサービスのAmazon ECS（Elastic Container Service）もVPC内で動作します。

ECSのタスク（コンテナ）はプライベートサブネットに配置し、外部からのアクセスはALB（Application Load Balancer）をパブリックサブネットに置いて中継するパターンが一般的です。

ECSタスクがECR（コンテナレジストリ）やS3、CloudWatch Logsなどにアクセスする必要がある場合、NATゲートウェイ経由でインターネットに出る方法と、VPCエンドポイントを使ってプライベートにアクセスする方法があります。コスト面ではVPCエンドポイントが有利なケースもあります。

▼ECSについてはこちら

【初心者向け】 Amazon ECSの基本概念をわかりやすく解説してみた

2025.1.14

7-3. S3へのアクセスにVPCエンドポイントを使う理由

プライベートサブネット内のEC2からS3にデータを書き込む場面を考えてみましょう。

NATゲートウェイ経由：インターネットを一度経由するため、NATゲートウェイのデータ処理料金が発生する
VPCエンドポイント（ゲートウェイ型）経由：AWSネットワーク内を通るため、NATゲートウェイを使わずS3に到達できる。ゲートウェイ型エンドポイント自体は無料

S3への転送量が多い構成では、VPCエンドポイントを使うことでコストを大幅に削減できます。セキュリティ面でも、通信がインターネットに出ないため安心です。

▼EC2、S3についてはこちら

【2026年最新】Amazon EC2とは？インスタンスタイプの選び方と料金体系を現役AWSエンジニアが解説

2026.7.27

AWS S3 ストレージクラス8種はどう選ぶ？料金で損しない使い分けを現役エンジニアが解説

2026.8.4

8. Amazon VPCの料金：基本は無料、有料になるのはどこから？

8-1. VPC自体は無料で使える

Amazon VPCそのものは無料です。 VPCの作成、サブネットの作成、ルートテーブルの設定、セキュリティグループの設定などに料金はかかりません。

また、インターネットゲートウェイもアタッチするだけなら無料です。

8-2. 課金が発生する主な機能一覧

一方で、以下の機能は利用に応じて料金が発生します。

機能	課金の仕組み
NATゲートウェイ	稼働時間（時間単位）＋処理データ量（GB単位）
VPCエンドポイント（インターフェイス型）	稼働時間（時間単位）＋処理データ量（GB単位）
VPCエンドポイント（ゲートウェイ型）	無料（S3・DynamoDB）
VPCピアリング	アベイラビリティゾーンをまたぐデータ転送に課金（同一AZ内は無料）
AWS Transit Gateway	アタッチメント数（時間単位）＋処理データ量
AWS VPN	接続時間（時間単位）
VPCフローログ（保存）	ログ保存先（CloudWatch Logs・S3）の料金に準ずる
パブリックIPv4アドレス（EIP含む）	確保しているすべてのパブリックIPv4アドレスに時間単位で課金（$0.005/時間、使用中のEIPも対象）

※料金は AWS公式の料金ページ（https://aws.amazon.com/jp/vpc/pricing/）で最新情報をご確認ください。

8-3. コスト最適化のヒント

実務でのコスト削減ポイントを3つ紹介します。

① NATゲートウェイは本当に必要か確認する

プライベートサブネット内のリソースが外部接続を必要とするケースを整理し、必要な場合のみNATゲートウェイを使います。接続先がAWSサービス（S3・ECR・CloudWatch Logsなど）の場合、VPCエンドポイントへの切り替えでコストを削減できる場合があります。

② 使っていないパブリックIPv4アドレス（EIP）を解放する

2024年2月の料金改定以降、パブリックIPv4アドレスは使用中・未使用を問わず時間単位で課金されます（EIPも同様です）。使っていないEIPはもちろん、稼働中のものについても本当に必要かを見直し、不要なアドレスは解放しましょう。

③ VPCフローログの保存期間を設定する

CloudWatch Logsにフローログを保存している場合、ログの保存期間（リテンション）を適切に設定してコストを抑えます。

9. AWS認定試験でのVPC出題傾向【SAA・DVA受験者必見】

AWS認定試験、特にAWS Certified Solutions Architect - Associate（SAA）はVPCの理解を問う問題が多く出題されます。

試験で頻繁に問われるテーマは次の通りです。

テーマ	試験での問われ方の例
パブリック/プライベートサブネット	「インターネットから直接アクセスできないサブネットはどれか」
セキュリティグループ vs NACL	「ステートフル/ステートレスの違い」「拒否ルールを設定できるのはどちらか」
VPCエンドポイント	「インターネットを経由せずS3に接続するには」
NATゲートウェイ	「プライベートサブネットからインターネットにアウトバウンドするには」
VPCピアリング vs Transit Gateway	「多数のVPCを効率よく接続するには」
ルートテーブル	「EC2がインターネットに繋がらない原因はどれか」

これらは試験対策としてだけでなく、実務でも直接役立つ知識です。「資格取得を通じてVPCの設計力を体系的に身につけたい」という方には、Solutions Architect - Associateの取得を特におすすめします。

▼SAA、DVAに関心のある方はこちらもご覧ください

AWS SAAとは？難易度・勉強時間を合格者152名の実績をもとに解説

2026.6.22

AWS DVAとは？難易度・勉強方法・DVA-C02対策を解説【合格者監修】

2024.8.16

10. よくある質問（FAQ）

Q1. VPCとVPNの違いは何ですか？
VPC（Virtual Private Cloud）はAWSクラウド内に構築する仮想ネットワークのことです。VPN（Virtual Private Network）はインターネット上に暗号化された仮想トンネルを作る技術のことで、別々の概念です。AWSには「AWS Site-to-Site VPN」というサービスがありますが、これはVPCとオンプレミスをVPN技術で接続するためのサービスです。「VPCがネットワーク空間の名前」「VPNが接続方式の名前」と整理すると分かりやすいです。

Q2. デフォルトVPCは削除してもいいですか？
削除できますが、削除したデフォルトVPCを復元することはできません。ただし、AWSマネジメントコンソールの「アクション」→「デフォルトVPCの作成」、またはAWS CLIのcreate-default-vpcコマンドを使えば、利用者自身で新しいデフォルトVPCを再作成できます（以前はAWSサポートへの申請が必要でしたが、現在はセルフサービスで対応可能です）。なお、再作成後のサブネットのCIDRやAZの対応関係は、削除前のものと一致しない場合があります。学習・検証用途では使い勝手がよいため、意図的に削除する理由がない限りは残しておくことをおすすめします。本番環境用のカスタムVPCは別途作成して使い分けましょう。

Q3. VPCのCIDRブロックを後から変更できますか？
既存のCIDRブロックを変更することはできません。 ただし、セカンダリCIDRブロックを追加することは可能です（追加できる範囲には制約があります）。IPアドレス不足に陥った場合、セカンダリCIDRの追加か、VPCを新規作成して移行することになります。設計段階で十分な広さのCIDRを確保しておくことが大切な理由はここにあります。

Q4. セキュリティグループとNACLはどちらを使うべきですか？
基本的にはセキュリティグループをメインに使います。ほとんどのアクセス制御はセキュリティグループで完結できます。NACLを使うのは、「特定のIPをサブネット全体でブロックしたい」「コンプライアンス要件でサブネット単位のアクセス制御が求められる」といった補助的な場面が中心です。NACLはステートレスなため、インバウンドとアウトバウンドのルールをそれぞれ設定する必要があり、設定ミスが起きやすい点も注意が必要です。

Q5. VPCフローログは何に使いますか？
主に3つの用途があります。①セキュリティ調査：不審なIPから大量のアクセスが来ていないか確認する。②トラブルシューティング：「なぜこの通信が届かないのか」を拒否ログから特定する。③コンプライアンス対応：一部の業界規制や社内ポリシーで、ネットワーク通信の記録が求められる場合。本番環境では事前に有効化しておくことを強く推奨します。

まとめ：Amazon VPCはAWSインフラの「土台」

この記事で解説したことを整理します。

Amazon VPCは、AWSクラウド上に論理的に分離された仮想ネットワークを構築するサービス
6つの主要コンポーネント（サブネット・IGW・NATゲートウェイ・ルートテーブル・セキュリティグループ・NACL）を組み合わせてネットワークを設計する
セキュリティグループ（ステートフル・リソース単位）とNACL（ステートレス・サブネット単位）は役割が異なる。基本はセキュリティグループで制御する
接続オプションは目的に応じて使い分ける（VPCピアリング・Transit Gateway・VPCエンドポイント・VPN/Direct Connect）
設計のポイントはCIDRを広めに取ること、マルチAZ構成、パブリック/プライベートの分離、フローログの事前有効化
VPC自体は無料。NATゲートウェイ・Transit Gateway・インターフェイス型エンドポイントは有料

VPCは「難しそう」と感じる方が多いですが、構成要素の役割を一つひとつ理解していけば、全体像が見えてきます。まずはデフォルトVPCで試しながら、徐々にカスタムVPCの設計に挑戦してみてください。