[AWS] デフォルトのセキュリティグループを使用して混乱した件

Last updated at 2025-05-01Posted at 2025-05-01

はじめに

以下のサンプル構成を作成して負荷分散を試した際、VPCのデフォルトセキュリティグループを使用したことで不要な混乱を招いてしまいました。セキュリティグループ（以下、SG）関連で躓くことが多いので備忘もかねて記載いたします。

・サンプル構成
NLB (Network Load Balancer) → ALB (Application Load Balancer) → EC2

実体験を踏まえ、「デフォルトのセキュリティグループは使わないようにしよう！」というのが本記事の主題になります。

※以下、サンプル構成を作った際の記事です。

【前提】
EC2のセキュリティグループでは、すべて(0.0.0.0/0)からのHTTPアクセスが許可されている状態です。

異変に気付いたのは記事を読んでくれた同僚からの言葉でした。
「NLB → ALBのアクセスが明示的に許可されていない状態だけど、なんでアクセスできてるの？」
確かに。。混乱したので状況を整理しながら調査してみました。

現状整理
発覚当時のデフォルトSGは以下であり、NLB, ALBのSGとして使用していました。そのため、NLB → ALBのアクセスOK、ALB → NLBのアクセスOKの状態になっています。

【気になる点！】
・デフォルトインバウンドルールを削除すると、アクセス不可になる？
・NLB, ALBのどちらかのSGを別のものへ変えると、アクセス不可になる？

※NLB, ALBのSGをそれぞれ用意し、適切なルールを付与すればアクセス可能となるのは自明ですが、ベストプラクティスの提示もかねて、以下「推奨」で解説します。

[実施]
デフォルトインバウンドルールを削除し、再度NLBのDNS名でアクセスしてみます。
[結果]
変わらずアクセスできています。（F5更新しても同様にアクセス可能）

IPアドレスで試しても、アクセスできています。
[考察]
デフォルトインバウンドルール（自身へのアクセス許可）があり、それがALB, NLBにアタッチされているため、アクセスできていると考えていましたが、そうではなさそうです。

※ちなみに、NLB, ALBのリソースマップに異常はありませんでした。

※以下、仮説1. にて修正した箇所は元に戻したうえで実施します。

[実施]
以下、新たなSG（*1）を作成しアタッチした後、再度NLBのDNS名でアクセスしてみます。(アウトバウンドは、0.0.0.0/0/すべてを許可)
[結果]
変わらずアクセスできています。（F5更新しても同様にアクセス可能）
※IPアドレスの方でもOKでした。
[考察]
NLBのSGを新たなもの（*1）へ変更したことにより、NLB → ALBのアクセスが許可されていない状態となりましたが、Webサイトへはアクセスできていました。もしかしたら、ALBがみていたのはクライアントIPだったのかな？（クライアントIPからのアクセスは許可している）
※両者のセキュリティルールは以下のような状態です。