WAFに地域を制限する新機能がでました。geolocationについて検証しました。ついでにroute53のgeolocationも検証しました。
1.route53のgeolocation検証
検証
アクセスをUS（アメリカ）だけに限定して、あらゆる方法で日本からのアクセスどこまで防いでくれるか検証
検証環境
・route53にて[test.example.com]と登録後geolocaionをUSに設定する。（ドメインは例です。）
・EC2静的webホストのインスタンスを作成
・EC2にEIPを付与
・Applicattion load blanceでインスタンスを紐付け
ALBのヘルスチェックを通して検証
結果（左アクセス方法と右結果）
ドメインアクセス--------------------------拒否(ドメインが見つかりませんでした。)
EC2のパブリックドメイン-----------------アクセスできた
EC2のEIP------------------------------------アクセスできた
ALBのドメイン-----------------------------アクセスできた
ALBのネットワークインターフェース----アクセスできた
感想
当たり前ですがRoute53を通らない方法でやると通る。
2.WAFのGeoMatch検証
検証
US以外のアクセスすべて拒否設定で日本からアクセス検証
（上記のroute53で設定した。geolocationはもとに戻しています。）
検証環境
・EC2静的webホストのインスタンスを作成
・EC2にEIPを付与
・Applicattion load blanceでインスタンスを紐付け
・WAFGeoMatchをUS(アメリカ)以外全部拒否設定
結果（左アクセス方法と右結果）
ドメインアクセス--------------------------拒否(HTTPStatus:403)
EC2のパブリックドメイン-----------------アクセスできた
EC2のEIP------------------------------------アクセスできた
ALBのドメイン-----------------------------拒否(HTTPStatus:403)
ALBのネットワークインターフェース----拒否(HTTPStatus:403)
感想
通常のアクセスする順番が「クライアント⇒route53⇒ALB(WAFアタッチ)⇒EC2」なので、WAFで拒否してくれるが、EC2に直接アクセスするとALBは通らないのでアクセス可能になってしまう。
本来であれば、WEBインスタンスを作るときにEC2に直接EIPとパブリックドメインはつけることがないので問題ないと思います。
地域のアクセス制限するのならWAFのほうが良い。