はじめに
クラウドでの運用をしていると、普段あまり見ないIPアドレスに出会うことがあります。本記事では、AWS環境でよく使われる特殊なIPレンジ「169.254」（いわゆるリンクローカルアドレス）に焦点を当て、その技術的背景や具体的な用途、実務での注意点をやさしく解説します。
この記事を読むと、次のことが分かるように書いています。
- 169.254アドレスがどんな場面で出てくるか（例：EC2のメタデータへのアクセス）
- どのように活用されるか（クラウド間接続や自動設定などの具体例）
- 運用やセキュリティで気をつけるポイント
対象はクラウド初心者から中級者までを想定しています。専門用語はなるべく控え、具体例を交えて説明しますので、実運用にすぐ役立つ理解が得られるはずです。次章から順に、技術的な背景とAWSでの代表的な利用ケースを丁寧に解説していきます。
169.254.169.254とは何か？AWSにおける用途
概要
169.254.169.254は、クラウド上のインスタンス自身が持つ特別なIPアドレスです。外のインターネットを使わずに、自分の情報（メタデータ）を取得できます。たとえば、インスタンスIDやリージョン、ユーザーデータ、IAMロールの一時的認証情報などが取れます。
どうやって使うか（例）
インスタンス内からHTTPで問い合わせます。具体例:
curl http://169.254.169.254/latest/meta-data/instance-id
このコマンドでインスタンスIDが返ってきます。ユーザーデータやネットワーク情報も同様に取得できます。
何が便利か
- 起動時の自動設定: 起動スクリプトが自分の設定を自動で読み込みます。
- 認証情報の安全な配布: IAMロールを使うと、一時的なキーをメタデータ経由で受け取れます。アプリが秘密情報を直接持たずに済みます。
注意点（簡潔に）
このアドレスはインスタンス内からのみアクセス可能です。外部のサービスに公開しないように注意してください。AWSでは新しい呼び出し方式（トークン取得）を導入し、より安全に利用できます。
169.254.0.0/16レンジの技術的な背景と利用ケース
概要
169.254.0.0/16はリンクローカルアドレスと呼ばれ、RFC 3927で定められています。主にDHCPでアドレスが取れないときに端末が自動で取る一時的なIP（APIPA）に使われます。ルーターを越えてルーティングされないため、同一の物理／論理セグメント内での通信に限定されます。
自動設定の流れ（簡単な流れ）
- 端末がDHCPで応答を得られないと、169.254.x.yの範囲からランダムに候補を選びます。
- ARPで同じアドレスが使われていないか確認（ARPプローブ）します。
- 衝突がなければそのアドレスを使い、同一ネットワーク内の最低限の通信が可能になります。例：ノートPC同士でファイル共有やプリンタ接続ができる場合があります。
クラウドやネットワーク機器での利用ケース
AWSなどのクラウドやDirect Connect、ルータ間のBGPピアでは、リンクローカルの169.254レンジをピアリングや管理用の短距離アドレスとして使うことがあります。例えば、専用線の片側でBGPネイバーを作る際に固定ルートを設定せずにローカルでやり取りする目的で使われます。
注意点・運用上のヒント
- 手動でこのレンジを割り当てるとアドレス競合や予期せぬ通信障害を招く恐れがあります。Cisco系の推奨でも手動割当は避けるべきとされています。\n- トラブル時はまずDHCP状況、arpingやip addrで実際の状態を確認してください。\n- クラウド環境で使う場合はベンダードキュメントに従い、用途を明確にして運用ルールを作ると安全です。
AWS Direct Connectやクラウド間接続での169.254アドレス活用
使われ方の具体例
専用線接続やクラウド間リンクでは、ルーター同士のBGPピアに169.254.x.xが割り当てられます。例えば、中国リージョンと東京リージョンをCMIのクラウドコネクトで直結する際、各ピア間のインターフェースにリンクローカルを使います。これによりグローバルIPを消費せずにピア間の制御通信を行えます。
利点
- グローバルアドレス枯渇を防ぎます。
- ピア間通信が限定されるためセキュリティ上有利です。
- ルーティングや認証だけに使うことで運用を単純化できます。
運用上の注意点
- ドキュメントで割り当てを明確にし、重複を避けてください。
- BGP設定で169.254を誤って広報しないようフィルタを設けてください。
- モニタリングを行い、リンクの切替やリネゴシエーション時の挙動を確認してください。
ただし、リンクローカルはあくまでピア限定の通信に留め、他のルーティング領域へ拡散させない運用が重要です。
セキュリティ・運用上の注意点
メタデータへのアクセス制御
169.254.169.254はインスタンス内からのみ参照できますが、アプリや脆弱なサービスが外部からリクエストを中継すると情報漏洩（例：SSRF）を招きます。不要なサービスは止め、アプリ側で外部からの任意リクエストを厳しく検査してください。
IMDSv2の利用と設定
AWSはIMDSv2を推奨します。IMDSv2は一時的なセッショントークンでやり取りするため、不正な単純リクエストを防げます。必ず「IMDSv2を必須」に設定し、ホップリミットを必要最小にしてください。
IAM・権限設計
インスタンスに割り当てるロールは最小権限とし、アクセスキーやシークレットはインスタンスメタデータに置かない運用を心がけます。ロールやポリシーは定期的に見直し、不要な権限を削除してください。
ネットワークと運用上の注意
リンクローカル（169.254.0.0/16）はトラブルシューティングで有用ですが、手動で割り当てると衝突を招きます。VPNやオンプレ側のルーティングと誤って重複しないよう設計段階で確認してください。
実務での対策例
- OSレベルで169.254へのHTTPアクセスを制限する（例：iptablesでプロセス単位に制御）
- メタデータへのアクセスログを収集し異常検知を行う
- テスト環境でIMDS設定の変更を検証してから本番反映する
これらを組み合わせることで、情報漏洩リスクと運用トラブルを減らせます。
まとめ・AWSでの169.254活用のポイント
要点
169.254.169.254はEC2インスタンスが自分の情報（メタデータや資格情報）を取得するための特別なIPです。169.254.0.0/16はリンクローカル（APIPA）範囲で、DHCPが使えない場面やクラウド接続のピアアドレスとして使われます。
運用で押さえるべきポイント
- IMDSv2を有効にしてトークンベースのアクセスを必ず使ってください。これによりメタデータの不正取得を防げます。
- インスタンスのメタデータアクセスを必要最小限に制限します。アプリやコンテナから直接メタデータを参照しない設計が望ましいです。
- ネットワーク設計で169.254/16をユーザー割り当てアドレスに使わないでください。AWSやピア機器がこの範囲を利用することがあります。
設定と監視の具体例
- EC2の「メタデータオプション」でIMDSv2を必須化し、hop limitを1に設定します。これで別のネットワークネームスペースからのアクセスを減らせます。
- Direct Connectや仮想インターフェースの設定時は、AWSが提示する169.254のピアIPに注意し、ドキュメント化しておきます。
- ログや監査でメタデータアクセスの異常を検知するルールを作ります。
注意点
セキュリティ対策と運用手順を両方整備してください。適切に設定すれば、169.254レンジは便利で安全に利用できます。
