VPSでのIP制限はどう行えばよいか

前提・実現したいこと

1つのAmazon Lightsailで複数の社内向けサービスを公開しているが、
すべてのサービスを社外のIPからアクセスをできないようにしたい。

現状

現在、Lightsail内には、複数のDockerコンテナが立ち上がっており、
IP＋ポート番号で各種サービスにアクセスできる作りになっています。

http://hogehoge:55555/　　サービスA
http://hogehoge:55556/　　サービスB
http://hogehoge:55557/　　サービスC

各サービスごとにDocker-composeが存在し、
また、それぞれのDocker-composeにnginxが入っています。
IP制限に関しては、すべてnginxで行っています。

# nginx.conf
（略）
# IP制限
# 会社のアドレス
allow 11.22.33.44; 
allow 11.22.33.55; 
deny all;
（略）

すべてのサービスのnginxに上記コードを実装しています。

問題

上記の設定で、各コンテナに対し、
指定したIP以外での接続はできないことを確認しましたが、
nginxのaccess_logなどを確認すると、
日々、海外などから複数のアクセスが確認されています。

nginxのIP制限で弾いている、サービス自体にアクセスは行えていないと信じたいですが、
これを不安に思い、AmazonのWAFの導入を考えてましたが、
WAFは公開されているユーザに対して、悪意ある行動を制限するもののように感じましたので、
そもそもIP制限外のユーザ対象に用意すべきサービスではないのかと迷っています。

結果気になっているポイント

①nginxのIP制限でもセキュリティ上の懸念は無いか
②全サービス制限IPは同じなので、nginxではなくiptablesでIP制限を行ったほうがよいか
③この社内向けVPSでWAFは導入するメリットがあるのか

一般的なサーバ構築やセキュリティのレベルがわからず、
どの程度の実装まで行えば安全なのかもわからない状態です。

補足情報

VPS：AmazonLightsail
OS：ubuntu 18.04.1 LTS
ポート：Lightsailはサービスの数だけポート開放しています

maisumakun

2019/09/06 02:06

もっと上位ではなく、nginxでIP制限をかけている理由はなにかありますか？

funmas

2019/09/06 02:19

サービスごとにIPを切り分けているわけではないので特にはありません安全にIPを制限できれば使用するものは何でも良い形です、今回は学習の過程でnginxを選定する運びになりましたが、iptablesのほうがいいのではと感じています

行動規範の内容に同意します

回答2件

ベストアンサー

①nginxのIP制限でもセキュリティ上の懸念は無いか

設定が正しくされているという前提であれば、nginx自体の脆弱性を突かれなければ問題が無いと思われます。

②全サービス制限IPは同じなので、nginxではなくiptablesでIP制限を行ったほうがよいか

nginxよりはiptables等で行った方が良いケースに思います。
理由としては

不要なトラフィックをdockerにたどり着くまでに遮断できる
仕組み上、nginxで制御するより負荷が低くなる
(多分)nginxよりはiptablesの方が致命的な脆弱性が発見される可能性は低いはず

あたりでしょうか。

③この社内向けVPSでWAFは導入するメリットがあるのか

社内IPからのアクセスで悪意の持ったアクセスが存在する可能性があると想定するのであればメリットはあると思われます。
ただ、後からWAFを導入する場合は誤検知による機能障害の発生とその調整コストは発生するので、そのあたりのバランスを考えて導入を検討するしかありません。

投稿2019/09/06 02:44

編集2019/09/06 02:45

tanat

総合スコア18713

Y.H.

2019/09/06 02:50

「社内IPからのアクセスで悪意の持ったアクセス」には2種類るので運用耐えれるのなら入れておいたほうがいいでしょうね。・悪意を持った人が行う悪意のあるアクセス・アクセス元PCがマルウェアやウイルスに感染した結果による悪意のあるアクセス

funmas

2019/09/06 03:12

>tanat様回答ありがとうございます！ ①nginx自体の脆弱性がない限りという点、安心しました。 ②お教えいただいた内容から、現状の運用だとnginxでIP制限を行うメリットが見当たらなさそうなのでiptablesに移行したいと思います。 ③現状社内IPからは想定していませんでした。運用コストのほうが大きそうなので、もう一度考えてみたいと思います。 >Y.H様社内PCが感染してサーバに影響及ぼす可能性、確かに考慮外でした。その点も踏まえてWAF導入の是非を考えてみたいと思います。お二方、ご回答いただきありがとうございました。

tanat

2019/09/06 04:25

> Y.H.さん補足ありがとうございます。他だと標的型攻撃等に依る意図しない攻撃なんかも考えられますね。 > funmasさん LightSailについての質問だったので回答には含めていませんでしたが、可能であればLightSailからEC2に移行して、セキュリティグループで対応するともっと楽で安全（というか、AWSが管理してくれる）になると思いますので、検討されてみても良いかなと思います。

行動規範の内容に同意します