構成図

今回、IP制限をかけるインフラの構成の概要は以下とします。

要点
- WPはEC2上で動いている
- EC2の前にELBが配置されている
- ELBの前にCloudFrontが配置されている
- この構成だとEC2に届くアクセス元IPはCloudFrontのものになる

要件

今回の要件お場合、AWS WAF でIP制限をかけるのが、最も適していました。
理由は下記になります。

URL単位でIP制限がかけられる
制限の拡張が容易
- ホワイトリストに登録するIP、および制限をかけたいURIがリスト形式で管理できる
任意のAWSリソース（CloudFront,ELB...)を選んで制限がかけられる
- つまりCloudFrontをWAFの対象とすることで、アクセス元IPがCloudFrontのものに変わる前に制限がかけられる

サービスの利用料金がかかることが挙げられます。

料金は
・サイトへのアクセス量
・制限の複雑さ
で変化します。

■参考
月毎で200万リクエスト程度のサイトにIP制限をかけた場合は月額1,000円程度

料金の詳細は公式を参照

AWSでIP制限をかける手段と、今回の要件ではなぜそれが適さない方法だったのかの理由です。

できること
- 接続元IP、HTTP、HTTPS、ドメイン、URLを条件に制限できる。
今回の要件に合わなかった理由
- ELBでもURL毎のIP制限が可能だが、以下の理由で保守が大変と思ったため
  - ELBが複数ある場合、１台づつ設定を反映させる必要がある（設定が一元管理できない）
  - 許可したいIPのリスト管理ができない

できること
- プロトコル（HTTP,TCP,UDP...）単位で制限できる
- AWSリソース（EC2,ELB...）単位で制限がかけられる
- ホワイトリスト形式の制限のみ対応
今回の要件に合わなかった理由
- URL単位で制限できない

できること
- プロトコル（HTTP,TCP,UDP...）単位で制限できる
- サブネット単位で制限がかけられる
- セキュリティグループと違い、ブラックリスト形式の制限にも対応
今回の要件に合わなかった理由
- URL単位でIP制限できない

nginxと同様。

Web ACL（Web Access Control List）は、
IPやURIなどによる制限をまとめおく箱のようなイメージです。

AWS WAFコンソールの左メニューからWeb ACLsを選択
以下を入力
- Nameを入力
- Resource typeは制限をかけるAWSリソースを選択する、今回はCloudFrontを選択
- Add AWS resourcesを選んで、制限をかけたいCloudFrontを選択する
次画面のAdd rules and rule groupsでは、このWeb ACLに追加するRuleを作成できる
- Ruleとは、IP制限やURI制限などのアクセスに対する制限を指している
Ruleの追加は後から追加するのでこの時点では何もしない
Default ActionにはAllowを選択する
- Default ActionはこのWebACLに当たったアクセスをデフォルトで許可するかブロックするかの設定
- BlockにするとRuleで明示的に許可したアクセス以外はブロックされる
次ページのSet rule priorityは、追加したRuleの優先順位を設定できる
Ruleを設定していないので何もせずに次へ
次ページのConfigure metricsは、ログの設定ができる
- 具体的には以下の設定
  - 「作成したRuleのデータをCloudWatchに貯めるか」
  - 「このWebACLに当たったリクエストを解析してグラフ表示などできるようにしておくか」
好みで設定して、次ページでこれまでの設定を確認し、WebACLを作成

Capacityについて

画像ではURI制限のCapacityが25になっているが、これは優先度とは関係ありません。

Capacityは、そのWebACLが持てるRuleの処理量のようなもので、
数値が大きいほど処理量が多くなります。

Capacityが1500を超えるRuleの追加はできません。
※AWSに申請すれば拡張は可能らしい。

最後にRuleタブにて想定通りの設定になっているか確認する
以下事項を確認
- IP制限Ruleの優先順位がURI制限より高いこと
- IP制限RuleのActionがAllowになっていること
- URI制限RuleのActionがBlockになっているこ
- デフォルトのActionがAllowになっていること

上記でAWSのIP制限の対応は完了です。

D’s Baseでは、“アプリケーション開発” に携わるディレクターのノウハウ共有や、ディレクターとエンジニアが少しでも仕事が進めやすくなるような情報を発信していきます。