434-AWS SAP AWS 「理論・実践・一問道場」ソース/デスティネーションチェック

type

status

date

slug

summary

理論

この問題に関連する汎用的知識は、ネットワークのトラフィック転送に関する設定や、特に Amazon EC2インスタンスのソース/デスティネーションチェックに関するものです。以下にその要点をまとめます。

1. ソース/デスティネーションチェック (Source/Destination Check)

EC2インスタンスはデフォルトでソース/デスティネーションチェックが有効になっています。この設定により、インスタンスはそのトラフィックの送信元または宛先として機能する必要があります。

プロキシインスタンスやネットワークのゲートウェイとして機能するインスタンスの場合、このチェックを無効にする必要があります。無効化すると、インスタンスは他のインスタンスのトラフィックを中継することができます。

2. 透明プロキシの実装

プロキシインスタンスは、ネットワーク上でデータの中継を行うことを目的としています。EC2インスタンスが透明プロキシとして機能する場合、そのトラフィックを適切に転送するために、ソース/デスティネーションチェックを無効にすることがよくあります。

透明プロキシの一般的な使い方には、インターネットへのアクセス制御やセキュリティスキャンの実行が含まれます。

3. セキュリティグループとネットワーク

セキュリティグループは、インスタンス間の通信を許可または拒否するための設定です。しかし、プロキシの問題はセキュリティグループの設定だけでは解決できません。プロキシインスタンスが他のインスタンスのトラフィックを適切に転送できるようにするためには、ソース/デスティネーションチェックを無効にする必要があります。

セキュリティグループは通信のセキュリティを担保しますが、トラフィックの転送には影響を与えません。

4. Elastic Network Interface (ENI)

EC2インスタンスには、複数のネットワークインターフェース（ENI）を追加できます。これにより、1つのインスタンスが複数のネットワークに接続できるようになります。ENIを追加することで、インスタンスのネットワーク接続性を強化できますが、プロキシとしての機能を提供するためには、やはりソース/デスティネーションチェックの無効化が必要です。

結論

ソース/デスティネーションチェックを無効にすることで、EC2インスタンスが他のインスタンスのトラフィックを正しく転送できるようになります。特に、プロキシとして機能するインスタンスでは、この設定が不可欠です。

実践

略

一問道場

質問 #434

ある会社が新しいセキュリティ要件を実装しました。この新しい要件によれば、会社はVPC内のAWSインスタンスからのすべてのトラフィックをスキャンして、会社のセキュリティポリシーに違反していないか確認しなければなりません。このスキャンの結果、特定のIPアドレスへのアクセスをブロックすることができます。

この要件を満たすために、会社は透明なプロキシとして機能するAmazon EC2インスタンスのセットをプライベートサブネットにデプロイしました。会社はこれらのEC2インスタンスに承認されたプロキシサーバーソフトウェアをインストールしています。会社は、すべてのサブネットのルートテーブルを変更し、対応するプロキシソフトウェアをインストールしたEC2インスタンスをデフォルトルートとして使用するように設定しました。また、会社はセキュリティポリシーに準拠したセキュリティグループを作成し、これらのEC2インスタンスに割り当てています。

これらの設定にもかかわらず、EC2インスタンスのトラフィックはインターネットに正しく転送されていません。

この問題を解決するためにソリューションアーキテクトは何をすべきですか？

A. プロキシソフトウェアを実行しているEC2インスタンスでソース/デスティネーションチェックを無効にする。

B. プロキシEC2インスタンスに割り当てられたセキュリティグループに、同じセキュリティグループが割り当てられたインスタンス間でのすべてのトラフィックを許可するルールを追加する。このセキュリティグループをVPC内のすべてのEC2インスタンスに割り当てる。

C. VPCのDHCPオプションセットを変更し、DNSサーバーのオプションをプロキシEC2インスタンスのアドレスを指すように設定する。

D. 各プロキシEC2インスタンスに追加のElastic Network Interface（ENI）を割り当てる。これらのネットワークインターフェースのうち、1つはプライベートサブネットへのルートを持ち、もう1つはインターネットへのルートを持つようにする。

解説

この問題では、プロキシとして機能するAmazon EC2インスタンスがインターネットへのトラフィックを正しく転送できない問題について問われています。解決策として最も適切な選択肢は A です。以下に各選択肢について詳しく解説します。

A. プロキシソフトウェアを実行しているEC2インスタンスでソース/デスティネーションチェックを無効にする。

正解です。Amazon EC2インスタンスにはデフォルトでソース/デスティネーションチェックが有効になっています。これは、インスタンスがそのトラフィックの発信元または宛先である必要があることを意味します。プロキシインスタンスでは、別のインスタンスのトラフィックを転送するため、このチェックを無効にする必要があります。これにより、プロキシインスタンスがトラフィックを正常に中継できるようになります。

B. プロキシEC2インスタンスに割り当てられたセキュリティグループに、同じセキュリティグループが割り当てられたインスタンス間でのすべてのトラフィックを許可するルールを追加する。このセキュリティグループをVPC内のすべてのEC2インスタンスに割り当てる。

誤りです。セキュリティグループはネットワークのセキュリティを制御しますが、ソース/デスティネーションチェックが無効になっていない場合、プロキシインスタンスが正常にトラフィックを転送できません。セキュリティグループのルールを追加しても、ソース/デスティネーションチェックを無効にしない限り、トラフィックの転送はできません。

C. VPCのDHCPオプションセットを変更し、DNSサーバーのオプションをプロキシEC2インスタンスのアドレスを指すように設定する。

誤りです。DNSの設定を変更しても、トラフィックの転送に関する問題は解決しません。問題の根本的な原因は、ソース/デスティネーションチェックが有効であることです。この設定はDNS解決に関連するもので、トラフィックの転送を制御するものではありません。

D. 各プロキシEC2インスタンスに追加のElastic Network Interface（ENI）を割り当てる。これらのネットワークインターフェースのうち、1つはプライベートサブネットへのルートを持ち、もう1つはインターネットへのルートを持つようにする。

誤りです。ENIを追加しても、プロキシインスタンスが正常にトラフィックを転送するためには、ソース/デスティネーションチェックを無効にする必要があります。ネットワークインターフェースを追加することは、トラフィック転送の問題を解決するための直接的な方法ではありません。

結論:

A. ソース/デスティネーションチェックを無効にするが最も適切な解決策です。プロキシインスタンスが他のインスタンスのトラフィックを正常に転送するには、この設定が必須です。