目次

AWS

AWSのネットワークACLを徹底的に考える


目次



ネットワークACLとは


ネットワークACLの設定メモ


エフェメラルポート

戻りの通信で、クライアントが利用するポートの範囲。(1024-65536)


ネットワークACLの上限

VPC辺りのネットワークACLの数 200
ネットワークACL当たりのルールの数 20 最大40まで引き上げることができます。
数が多いとパフォーマンスに影響します。


ネットワークACLのデフォルト設定

インバウンド通信

ルール番号タイププロトコルポート範囲送信元許可/拒否
100 すべてのトラフィックすべてすべて0.0.0.0/0 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny

アウトバウンド通信

ルール番号タイププロトコルポート範囲送信元許可/拒否
100 すべてのトラフィックすべてすべて0.0.0.0/0 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny


ネットワークACLの設定例

特定のIPでSSHで外部へのアクセスを禁止するネットワークACL例

インバウンド

ルール番号タイププロトコルポート範囲送信元許可/拒否
100 すべてのトラフィックすべてすべて0.0.0.0/0 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny

アウトバウンド

ルール番号タイププロトコルポート範囲送信元許可/拒否
99 SSH(22) SSH 22 10.0.0.12/32 Deny
100 すべてのトラフィックすべてすべて0.0.0.0/0 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny


特定のIP以外SSHで外部へのアクセスを禁止するネットワークACL例

インバウンド

ルール番号タイププロトコルポート範囲送信元許可/拒否
100 すべてのトラフィックすべてすべて0.0.0.0/0 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny

アウトバウンド

ルール番号タイププロトコルポート範囲送信元許可/拒否
98 SSH(22) SSH 22 10.0.0.12/32 Allow
99 SSH(22) SSH 22 0.0.0.0/0 Deny
100 すべてのトラフィックすべてすべて0.0.0.0/0 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny


SubnetへのHTTPを許可するネットワークACL例

インバウンド

ルール番号 タイプ プロトコル ポート範囲 送信元 許可/拒否
100 HTTP(80) TCP(6) 80 0.0.0.0/0 Allow
110 HTTP(443) TCP(6) 443 0.0.0.0/0 Allow
* すべてのトラフィック すべて すべて 0.0.0.0/0 Deny

アウトバウンド

ルール番号タイププロトコルポート範囲送信元許可/拒否
1000 Custom TCP Rule TCP 1024-65535 10.0.0.0/16 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny


SubnetへのSSHを許可するネットワークACL例

インバウンド

ルール番号 タイプ プロトコル ポート範囲 送信元 許可/拒否
100 SSH(22) SSH 22 0.0.0.0/0 Allow
* すべてのトラフィック すべて すべて 0.0.0.0/0 Deny

アウトバウンド

ルール番号タイププロトコルポート範囲送信元許可/拒否
1000 Custom TCP Rule TCP 1024-65535 10.0.0.0/16 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny


おすすめネットワークACL設定

おすすめネットワークACL設定例１

インバウンド
インバウンドは、SecurityGroupで制御するため、緩めにする

ルール番号 タイプ プロトコル ポート範囲 送信元 許可/拒否
100 すべてのトラフィックすべてすべて0.0.0.0/0 Allow
* すべてのトラフィックすべてすべて0.0.0.0/0 Deny

アウトバウンド

ルール番号 タイプ プロトコル ポート範囲 送信元 許可/拒否 備考
1 すべてのトラフィック すべて すべて 10.0.0.5/0 Allow サーバで制御する場合全許可
100 SSH(22) SSH 22 10.0.0.12/32 Allow 特定のIPのみSSH許可
200 RDP(3389) RDP 3389 10.0.0.50/32 Allow 特定のIPのみRDP許可
1000 Custom TCP Rule TCP 1024-65535 0.0.0.0/0 Allow 戻りの通信は許可
* すべてのトラフィック すべて すべて 0.0.0.0/0 Deny