初学者向け：セキュリティグループのインバウンドとアウトバウンドの違い整理と実際に触ってみた

Last updated at 2024-12-18Posted at 2024-12-18

はじめに

セキュリティグループについて勉強を始めたとき、正直なところ、インバウンドルールやアウトバウンドルールの仕組みを理解するのに少し時間がかかりました。

しかし、AWSにおいてセキュリティグループは非常に重要な概念です。セキュリティグループを学ぶことは、AWSを学ぶことそのものと言っても過言ではありません（笑）。

この記事では、AWSを学び始めた方や、これからEC2でサーバーを構築しようと思っている方向けに、セキュリティグループの基礎知識や具体例を交えてわかりやすく解説します。

セキュリティグループは、AWSにおける仮想ファイアウォールの役割を果たす重要な機能です。

セキュリティグループは、特定のトラフィック（通信）を許可または拒否するルールを設定します。

セキュリティグループでは、「どのポート」「どのプロトコル」「どのIPアドレス」などから通信を許可するかを柔軟に設定できます。

例えば、Webサーバーであれば、HTTP通信（80番ポート）を全世界から許可する設定をセキュリティグループで定義します。

一方で、データベースサーバーなど機密性の高い通信は、特定のIPアドレスのみに限定することでセキュリティを確保することができます。

AWSのセキュリティグループはステートフルな特性を持っており、一度許可された通信に対する応答トラフィックは自動的に許可されます。

インバウンドルールは、外部からEC2インスタンスに向かうトラフィックを制御する設定です。

簡単に言えば、「どんな通信をインスタンスに受け入れるか」を決めるルールです。

SSHアクセスを許可する場合は、ルールでポート22を開放し、特定のIPアドレス（例: 管理者のPC）からのアクセスのみを許可します。

Webサーバーを運用する場合は、ポート80（HTTP）やポート443（HTTPS）を開放して、全世界からのアクセスを受け付けます。

インバウンドルールでは、通信元のIPアドレスや範囲（CIDR形式）を細かく制御できるため、適切に設定することでセキュリティを向上させることができます。

アウトバウンドルールは、EC2インスタンスから外部に向かうトラフィックを制御する設定です。

簡単に言えば、「どんな通信をインスタンスから外に送るか」を決めるルールです。

インターネットに接続する場合は、ポート80や443を開放して、インターネットへの通信を許可します。

特定のデータベースに接続する場合は、ポート3306（MySQL）などを開放し、データベースサーバーのIPアドレスのみに通信を許可します。

AWSのセキュリティグループはデフォルトで「全てのアウトバウンドトラフィックが許可」されていますが、必要に応じて制限を加えることでセキュリティを強化できます。

インバウンドルールは、外部からの通信をインスタンスが受け入れる条件を指定するルールです。

一方で、アウトバウンドルールは、インスタンスから外部に送信する通信の条件を指定するルールです。

ここまでの説明で、セキュリティグループ、インバウンドルール、アウトバウンドルールの基本が理解できたと思います。

以下に要点を簡単に表でまとめました。

特徴	インバウンドルール	アウトバウンドルール
通信の方向	外部 → EC2インスタンス	EC2インスタンス → 外部
制御対象	インスタンスが受け入れる通信を制御	インスタンスから送信する通信を制御
主な用途	- SSHアクセス許可 - Webサーバーの通信許可	- インターネットアクセス - 外部APIやDB接続
設定例	- ポート22: 特定IPからのSSHアクセス許可 - ポート80: 全世界からのHTTPアクセス許可	- ポート443: インターネット接続許可 - ポート3306: 特定DBへの接続許可
デフォルト設定	全てのトラフィックを拒否	全てのトラフィックを許可
セキュリティのポイント	適切なIP範囲を指定し、不必要なポートは開放しない	必要最低限の外部通信に絞り、意図しない通信を制限