はじめに
- AWS上で、NetworkFirewallの構築をした際に気を付けるポイントについて共有します
対象者
- AWSでNetworkFirewallをMSR構成で構築予定の方
前提条件
- MSRとは
- ルートテーブルでVPCのサブネット宛てのルートを設定できる機能
- 参考:https://d1.awsstatic.com/webinars/jp/pdf/services/202110_AWS_Black_Belt_Network_Firewall_advanced01.pdf
アーキテクチャ構成
以下の構成を例に解説します。
Networkfirewallを利用した構成は大きく以下の2パターンがあります。
パターン①(本構成)：EC2→Networkfirewall→Nat/ALB
パターン② ：EC2→Nat/ALB→Networkfirewall
以下構成図の構成はMSR機能を利用することでNetworkFirewallエンドポイントをALBとEC2の間に配置しています。この構成を取るメリットとして、networkfirewallでブロックする通信がある分Nat Gatewayのコストが小さいことと、Networkfirewall目線で接続元のEC2のアドレスが見えることが考えられます。
発生した事象と注意点
EC2に対する通信をALBのみに制限したい際に以下の図のセキュリティグループのように接続元をセキュリティグループIDで指定する設定をしていました。
以下の状態の場合、ALBからEC2に対するヘルスチェックが通りません。
正しくは、以下の図のように、セキュリティグループIDではなく、サブネットのCIDRを明示的に許可してあげる必要があります。
以下のAWSのセキュリティグループに関するページに以下の記載があるのですが、本構成のNetworkfirewallのようなミドルボックスアプライアンスを使用する場合はセキュリティグループIDを指定することができません。
ミドルボックスアプライアンスを介して異なるサブネット内の 2 つのインスタンス間のトラフィックを転送するようにルートを設定するには、両方のインスタンスのセキュリティグループでインスタンス間のトラフィックがフローできるようにする必要があります。各インスタンスのセキュリティグループは、他のインスタンスのプライベート IP アドレス、または他のインスタンスを含むサブネットの CIDR 範囲を送信元として参照される必要があります。他のインスタンスのセキュリティグループを送信元として参照する場合、インスタンス間のトラフィックは許可されません。
調べても見つかりにくい情報だったため、ご参考になれば幸いです。
おわりに
- ヘルスチェックの疎通確認で、VPCのReachability Analyzerを使ったのですが、通信経路をトレースできて事象解決に役立ちました。