VPC 設計② セキュリティグループと NACL
Pro会員限定上級約39分6レッスン
「app-c からだけ DB に繋がらない」を、SG（ステートフル）と NACL（ステートレス）の違いから切り分けます。VPC フローログの REJECT を読み、戻りのエフェメラルポートを NACL で許可し、SG の許可を CIDR から SG 参照に絞り、使われていない SG を棚卸しします。
対象者: 「繋がらない」を SG と NACL の両面から切り分けたい方
前提知識: VPC 設計① サブネットとルートテーブル 修了程度
この教材を終えると、できるようになること
- describe-security-groups と describe-network-acls を読み、両者の評価のしかたの違いを説明できるようになる。
- CloudWatch Logs に出したフローログを filter-log-events で絞り込み、REJECT の記録から送信元・宛先・ポートを読み取れるようになる。
- create-network-acl-entry で、出ていく方向のエフェメラルポートを必要な相手にだけ許可できるようになる。
- authorize-security-group-ingress の --source-group で SG を参照する許可を作り、広い CIDR の許可を安全な順序で外せるようになる。
- describe-network-interfaces の group-id フィルターで SG の利用状況を確かめ、未使用の SG を削除できるようになる。
修了後の姿: マルチアカウント・ネットワーク・可観測性・自動化まで含めて、AWS環境を安全に設計・運用・改善できるクラウドエンジニアへ。
Chapter 12つのファイアウォールを切り分ける
SG はインスタンスの前、NACL はサブネットの境界。性質の違いが原因の場所を教えてくれる。
- SG と NACL を並べて読むステートフルとステートレス、許可だけと許可・拒否約7分（有料会員限定）
- VPC フローログで REJECT を見つける落とされた通信の「向き」が、原因の場所を教える約8分（有料会員限定）
- NACL に戻りのエフェメラルポートを足すステートレスなので、返事の通り道も許可する約7分（有料会員限定）
- SG の許可を CIDR から SG 参照に絞る「VPC 全体から」ではなく「web と api の SG から」約8分（有料会員限定）
- 使われていない SG を棚卸しして消す「付いていない」を確かめてから消す約6分（有料会員限定）
- 確認クイズ: SG と NACLステートフルとステートレスの切り分け約3分（有料会員限定）