AWSを触り始めて最初の壁がVPCでした。オンプレのネットワークと対応づけると一気に分かったので、初心者向けに整理します。
VPCは「クラウドの中の自分専用ネットワーク」
VPC（Virtual Private Cloud）は、AWSの中に作る、あなた専用の仮想ネットワークです。オンプレで言えば「自社のネットワーク一式」に相当します。ここにサーバ（EC2）やDBを置いて、通信のルールを自分で決めます。
まずCIDRでアドレス範囲を決める
VPCを作るとき、使うIPアドレスの範囲をCIDRで指定します。
例: 10.0.0.0/16 （10.0.0.0 〜 10.0.255.255）
この範囲の中を、後でサブネットに区切っていきます。オンプレのアドレス設計と同じ考え方です。
VPCの中の登場人物
- サブネット: VPCをさらに小さく区切ったもの。ここにEC2を置く。
- ルートテーブル: どの宛先をどこへ送るかの経路表。
- インターネットゲートウェイ（IGW）: VPCをインターネットにつなぐ出入口。
- セキュリティグループ / ネットワークACL: 通信を許可/拒否するファイアウォール。
オンプレの「セグメント・ルーティング・ゲートウェイ・FW」が、そのままクラウドの部品になっています。
リージョンとアベイラビリティゾーン（AZ）
VPCはリージョン（東京など地域）の中に作り、その中の複数のAZ（データセンター群）にサブネットを分けて置けます。AZをまたいで配置すると、片方のAZが障害でも生き残る冗長構成が作れます。これがクラウドの可用性設計の基本です。
最小構成のイメージ
VPC (10.0.0.0/16)
├─ パブリックサブネット (10.0.1.0/24) ─ IGW経由でネットへ ─ Webサーバ
└─ プライベートサブネット (10.0.2.0/24) ─ 直接ネットに出ない ─ DB
Webは外に公開、DBは隠す。この分離がVPC設計の出発点です。
まとめ
VPCは「クラウド上に作る自分専用ネットワーク」。CIDRで範囲を決め、サブネットで区切り、ルートテーブルとゲートウェイで通信を制御する——オンプレの考え方がそのまま効きます。まずは「VPC＝自社ネットワーク」と対応づけると、全体像がスッと入ってきます。