// シス担のミカタ
クラウドネットワーキング

Reachability Analyzer りーちゃびりてぃあなりぁいざー

AWS VPCネットワーク疎通確認セキュリティグループルートテーブルトラブルシューティングネットワーク診断
Reachability Analyzerについて教えて

簡単に言うとこんな感じ！

AWS上のサーバーAからサーバーBに「通信できる？」を調べてくれるツールだよ！実際に通信パケットを飛ばさなくても、設定を自動チェックして「ここがブロックしてます！」って原因まで教えてくれるんだ。ネットワーク探偵みたいなイメージ！

Reachability Analyzerとは

Reachability Analyzer（リーチャビリティ アナライザー） は、AWS（Amazon Web Services）が提供するネットワーク診断ツールです。AWS上の仮想ネットワーク環境（VPC）内で、あるリソースから別のリソースへの通信経路が正しく設定されているかを、実際の通信を発生させることなく静的に解析・検証する機能です。

AWS VPCでは、セキュリティグループ（仮想ファイアウォール）、ネットワークACL（サブネット単位のアクセス制御）、ルートテーブル（通信経路の設定）など、複数の設定が組み合わさってネットワークが構成されます。これらの設定が複雑に絡み合うと「なぜか通信できない」という状況が発生しがちですが、Reachability Analyzerはその原因をピンポイントで特定してくれます。

ビジネス的な価値は「問題の早期発見」と「設定ミスの可視化」です。システム担当者がネットワークの全設定を手動で追わなくても、ツールが自動的に経路を追跡し、どの設定がボトルネックになっているかを明示してくれるため、トラブル対応時間を大幅に短縮できます。

仕組みと主な機能

Reachability Analyzerは「送信元」と「送信先」を指定するだけで、AWSが内部的にすべての設定を解析し、通信の可否と経路を返してくれます。

項目内容
解析対象EC2インスタンス、ENI（ネットワークカード）、インターネットゲートウェイ、VPNゲートウェイ、ロードバランサーなど
チェック内容セキュリティグループ・ネットワークACL・ルートテーブル・VPCピアリング設定
パケット送信不要（設定を静的に解析するだけ）
結果到達可能（Reachable）/ 到達不可（Not reachable）＋ブロック箇所の特定
利用料金解析1回ごとに課金（2024年時点で1回あたり約$0.10）

解析の流れ

① 送信元リソースを指定（例: EC2インスタンスA）
      ↓
② 送信先リソースを指定（例: EC2インスタンスB）
      ↓
③ プロトコル・ポートを指定（例: TCP 443）
      ↓
④ AWS が設定を自動解析
      ↓
⑤ 結果表示：到達可能 or ブロック箇所の特定

「到達不可」の場合に特定できるブロック箇所

  • セキュリティグループ のインバウンド／アウトバウンドルール
  • ネットワークACL のDeny設定
  • ルートテーブル に経路が存在しない
  • VPCピアリング の設定漏れ
  • インターネットゲートウェイ が未アタッチ

歴史と背景

  • 2019年11月 — AWS re:Invent 2019にてVPC Reachability Analyzerとして発表・提供開始
  • 背景 — クラウド利用の普及により、VPCの構成が複雑化。セキュリティグループだけでも数十〜数百のルールを持つ構成が当たり前になり、人手でのトラブルシューティングが限界に
  • 2021年 — AWS Network Managerとの統合が強化され、マルチアカウント・マルチリージョン環境でも利用可能に
  • 2022年以降 — AWSコンソールのVPCダッシュボードに標準統合。CLIやAPI経由での自動化も容易になり、CI/CDパイプラインへの組み込みが普及

関連ツール・機能との比較

Reachability Analyzerと混同されやすいAWSのネットワーク関連ツールを整理します。

AWS ネットワーク診断ツール 比較 Reachability Analyzer 静的解析 パケット送信: 不要 ブロック箇所: 特定可 コスト: 解析1回ごと課金 対象: VPC内リソース間 💡 設定ミスの特定に最適 VPC Flow Logs 実通信のログ記録 パケット送信: 実通信必要 ブロック箇所: ログから推測 コスト: データ量で課金 対象: 実際の通信トラフィック 💡 事後の通信記録・監査に Network Access Analyzer ポリシー違反検出 パケット送信: 不要 ブロック箇所: 範囲スキャン コスト: スキャン数で課金 対象: 意図しないアクセス検出 💡 セキュリティ監査に最適 ※ 3つは補完関係にあり、用途に応じて使い分ける

実務でのユースケース

シーン使い方
新規システム構築後の確認設計通りにネットワークが繋がるか、リリース前に検証
「繋がらない！」トラブル対応どの設定がブロックしているか即特定
セキュリティレビュー意図しない通信経路が開いていないか確認
CI/CDパイプラインへの組み込みインフラ変更時に自動で疎通テストを実施

関連する規格・RFC

※ Reachability Analyzerはクラウドベンダー（AWS）独自のサービスであり、IETFやISOなどの標準規格に直接対応する仕様はありません。ただし、解析対象となるネットワーク技術は以下の規格に基づきます。

規格・RFC番号内容
RFC 4632CIDR（クラスレスドメイン間ルーティング）— ルートテーブル解析の基礎
RFC 793TCP（伝送制御プロトコル）— ポートベースの到達性検証の基礎
RFC 792ICMP — ping疎通確認の基礎となるプロトコル

関連用語