要約

AWSでは、AWS Transit Gateway（TGW）およびAWS Gateway Load Balancer（GWLB）を用いた、セキュリティ仮想アプライアンスの導入が可能
- 概念はAWS公式のドキュメントがよくまとまっているので、そちら参照 *1
導入に際しては、GWLB・TGWに加え、VPC・Subnet毎のネットワーク（ルーティング）設定が肝になる
- こちらも別記事がよくまとまっているので、詳細はそちら参照 *2
本記事では、実際に設定を行ってみて判明した内容も含め、
- マルチAZ環境を想定した、具体的なルーティング設定例 を紹介
- 特に「インターネットからVPC内へのインバウンド通信」をセキュリティ仮想アプライアンスで検査する場合のルーティング例について、以下の2パターンを解説
  1. VPC Ingress Routing *3 を用いた、SSL終端前の通信を転送するパターン
  2. 通常のSubnet RouteTableを用いた、SSL終端後の通信を転送するパターン
- それぞれのパターンについての細かな留意点を記載
  - 所感として、パターン1は制約が多く、パターン2が良いように思う
参考記事

システム構成イメージ

ルーティング設定例（赤字部分の設定が特徴）
実際に構築してみて判明したこととして、
- セキュリティ仮想アプライアンスに到達する通信のアクセス元IPアドレスは、ALBのプライベートIPアドレス となる
- ALBへの通信を試みた通信元端末のIPアドレスを取得したい場合は、XFF（X-Forwarded-For） Headerの値をセキュリティ仮想アプライアンス側で参照する必要あり *4
参考記事
*4 https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/application/load-balancer-listeners.html#x-forwarded-headers