はじめに
検証環境のパブリックサブネットにNATインスタンスを構築したものの、プライベートサブネットに構築したインスタンス経由で、どんなインターネットにも接続できてしまうので、Squidインスタンスを用いて制限をかけようと思います。
【前回の構築ブログ】
・NATインスタンス(EC2)をハンズオン
【参考】
・squid ドキュメント
ざっくりSquid
Squidはオープンソースのプロキシサーバー及びキャッシュサーバー。
クライアントコンピュータがインターネット等のリクエストを送信する際に、中間でリクエストを処理しアクセス制御等の複数機能を提供する。
【参考】
・IT用語辞典
構成図
前回構築している構成に、squidを設定したEC2を構築
ハンズオン
構築のながれ
1.EC2(squid)インスタンス構築（マネジメントコンソール）
2.EC2(squid)インスタンスの設定（SSH接続）
3.EC2(クライアント)の設定（リモートデスクトップ）
1. EC2(squid)インスタンス構築（マネジメントコンソール）
1.1.Squidインスタンスをセットアップ
Amazon Web Services (AWS) アカウントにログインし、下記設定値のEC2インスタンスを作成。
| 項目 | 設定値 |
|---|---|
| インスタンスタイプ | t2.micro |
| AMI ID | ami-0df2ca8a354185e1e(Amazon Linux) |
| サブネット | パブリックサブネット |
| パブリック IP の自動割り当て | ◯ |
1.2. セキュリティグループの設定
インスタンス作成時にセキュリティグループを設定し、プライベートサブネットからのアクセスのみを開放。
【インバウンド】
| タイプ | プロトコル | ポート範囲 | ソース | CIDR |
|---|---|---|---|---|
| すべてのトラフィック | すべて | すべて | カスタム | 【プライベートサブネットCIDR】 |
【アウトバウンド】
| タイプ | プロトコル | ポート範囲 | ソース | CIDR |
|---|---|---|---|---|
| すべてのトラフィック | すべて | すべて | カスタム | 0.0.0.0/0 |
1.3. IAMロールの設定
SSMよるフリートマネージャよりアクセスも出来るように作成
| 許可ポリシー | タイプ |
|---|---|
| AmazonSSMManagedInstanceCore | AWS 管理 |
1.4. インスタンスを起動
上記設定後、『インスタンスを起動』を押下
1.5.NATインスタンスのSG設定
NATインスタンスにSquidインスタンスからの3128のインバウンドを許可する
1.5.1.NATインスタンスのSGへ移動
『対象 NATインスタンス』 → タブ『セキュリティグループ』 → 『セキュリティグループ』を押下
1.5.2.SGの設定画面へ移動
『インバウンドルールの追加』を押下
1.5.3.SquidインスタンスのプライベートIP追加
手順1.4で立ち上がった、SquidインスタンスのプライベートIPから3128の受け入れを設定
2.EC2(squid)インスタンスの設定（SSH接続）
2.1.squidをインストール
squidをインストールする
sudo yum install squid
2.2.各サーバごとに設定ファイルを作成
sudo vi /etc/squid/squid.confするのではなく、今後の拡張性より各サーバごとに設定ファイルを編集するためconf.d配下に設定ファイルを作成
sudo mkdir /etc/squid/conf.d
sudo vi /etc/squid/conf.d/client1_restrictions.conf
2.3.設定ファイルを編集する
下記設定を設定ファイルに記載
・1行目：restricted_clientという名前のACLで、「172.16.10.119/32」のクライアントサーバを対象とする
・2行目：yahoo_domainsという名前のACLで、「.yahoo.com」「.yahoo.co.jp」ドメインを対象とする
・3行目：restricted_client は yahoo_domains にアクセスが出来ない
acl restricted_client src 172.16.10.119/32
acl yahoo_domains dstdomain .yahoo.com .yahoo.co.jp
http_access deny restricted_client yahoo_domains
2.4.Squidのメイン設定ファイル（/etc/squid/squid.conf）を編集し、conf.d ディレクトリ内の設定ファイルをインクルードするよう設定
2.4.1.Squidのメイン設定ファイルを編集
sudo vi /etc/squid/squid.conf
##### 2.4.2.Squidのメイン設定ファイルに、インクルード設定 設定ファイルの最初に以下の行を追加して、conf.d ディレクトリ内のすべての設定ファイルを読み込むように設定します。 ```shell include /etc/squid/conf.d/*.conf ```
2.5.Squidの設定を反映し、Squidを再起動
sudo systemctl restart squid
3.EC2(クライアント)の設定（リモートデスクトップ）
3.1.フリートマネージャーからリモートデスクトップ(RDP)を選択
『AWS SystemsManager』 → 『フリートマネージャー』 → 『ノードアクション』 → 『リモートデスクトップ（RDP）との接続』を押下
※個人の環境の影響になるかと思いますが、自分はフリートマネージャーの画面にEC2が反映されるまで10分程度かかりました。
3.2.フリートマネージャーからリモートデスクトップ(RDP)でアクセス
3.3.Windowsの[インターネットオプション] > [接続] > [LANの設定]で、プロキシサーバーのアドレスとポート指定
アドレスにはSquidプロキシサーバーのプライベートIPアドレスを、ポートには3128を入力
挙動の確認
1.1.リモートデスクトップ(RDP)先から、インターネットへアクセス
1.2.Squidで制御したyahooへのアクセスが出来ない
2.EC2(Squid)でログの確認
下記コマンドでアクセスを制御していることを確認
sudo cat /var/log/squid/access.log | grep TCP_DENIED
レスポンスとして下記のようなログが出力される
さいごに
やっと”見ちゃダメ”なサイトを制御することができるようになりました。
Squidは他にもキャッシュなどの設定も出来ることなど、新しい発見が多い構築となりました。