AWSのセキュリティグループのどれが実行されるか知りたいです。

Question

AWSのセキュリティグループのインバウンドルールを下記画像のように作成したのですが、
この場合、実行されるセキュリティグループは常に一番上にある１でしょうか？
結論、２と３のインバウンドルールの存在意味がなく、１がずっと実行されちゃうのと思ったのですが、その認識で合っていますでしょうか？

Answer 1

この場合、実行されるセキュリティグループは常に一番上にある１でしょうか？

どれに当てはまるかを考えても、あまり意味はありません。「どれか」に当てはまれば通すことになります。

２と３のインバウンドルールの存在意味がなく、１がずっと実行されちゃうのと思ったのですが

ご提示の画像からは判断できません。Sourceの設定次第で変化しえます。

Comments

[kazuyakunnn]

画像を更新致しました。
Sourceの部分を書いたのでご回答の程、よろしくお願いいたします。

[kazuyakunnn]

例えばですが、SSHとRDPのソースが任意のIPアドレスを設定してた場合、その任意のIPアドレスからアクセスした場合、SSHとRDPのセキュリティグループは実行されますでしょうか？
それとも、0.0.0.0に設定してるセキュリティグループが実行されてしまいますか？

[maisumakun]

「0.0.0.0」とだけ書くと、このIPアドレスでは通信不能なので、実質出番がなくなります。

[kazuyakunnn]

どちらが優先されるのかが疑問なんですよね。。
質問の仕方が下手ですみません。

[maisumakun]

> SSHとRDPのセキュリティグループは実行されますでしょうか？
それとも、0.0.0.0に設定してるセキュリティグループが実行されてしまいますか？

どちらにせよ「通信できる」ので、区別する必要がありません。

[kazuyakunnn]

1についてのソースは
0.0.0.0/0 でした。

[kazuyakunnn]

結論、RDPとSSHだけに絞りたいんですが、その場合１のセキュリティグループが存在していると、どんなユーザーでもEC2にアクセスしてしまうリスクがあると思ったので消したほうが良いですかね？

[maisumakun]

> どちらが優先されるのかが疑問なんですよね

どうしてそれを考える必要があるのですか？

OR条件なので、「どれか」にあてはまれば通す、その理解だけで問題ないと考えますが、「どれが適用されたか」を考えないといけない特別な事情があるのでしょうか？

[kazuyakunnn]

特に特別な事情とかは無いです。
疑問に思っただけですね。

AWSのネットワークACLとは違い実行される優先度は無い感じですか？

[maisumakun]

通過と拒否を組み合わせる、あるいはどれに当てはまったかで処理を振り分けるというのであれば優先順位も必要ですが、許可するものを積み重ねるだけである以上、優先順位は（仮にあったとしても）何の意味も持ちません。

なぜそこにこだわるのでしょうか？

[kazuyakunnn]

任意のIPアドレスのみのSSHとRDP接続を許したいんですよね。
それ以外のIPアドレスからのアクセスは一切許可したくありません。

この場合ですと、0.0.0.0/0のルールは消したほうがいいですかね？
ソースが0.0.0.0/0に設定されている場合、すべてのIPアドレスからアクセスできますよという認識です。

[maisumakun]

> RDPとSSHだけに絞りたいんですが、その場合１のセキュリティグループが存在していると、どんなユーザーでもEC2にアクセスしてしまうリスクがあると思ったので消したほうが良いですかね？

RDPやSSHのユーザー制限の問題は、それぞれのサーバが担うものです。他のポートを開けているかどうかは（それ自体が不必要なのも間違いないですが）また別問題です。

[maisumakun]

> この場合ですと、0.0.0.0/0のルールは消したほうがいいですかね？
ソースが0.0.0.0/0に設定されている場合、すべてのIPアドレスからアクセスできますよという認識です。

はい、その認識で問題ありません。

[kazuyakunnn]

一番聞きたいところですが、今回の画像の場合、
任意のIPアドレス以外のすべてのIPアドレスからRDPやSSHを含むすべてのポート・プロトコルへのアクセスが可能という（1のルールが存在している為。）認識であっていますでしょうか？

[maisumakun]

はい。

[kazuyakunnn]

1が存在している事で、セキュリティ面でリスクがあるという認識でよいですか？

[maisumakun]

そうですね、不必要なポートを開けているのはリスクにしかならないです（もちろん、「EC2サイドでも弾く」などしていれば直接的な脅威となるリスクは低いですが）。

[kazuyakunnn]

だいぶ理解できました！ありがとうございます。

[kazuyakunnn]

最後の疑問点ですが、
例えば私が設定した任意のIPからの通信が行われた場合、2と３が実行される感じですか？
※2と3は同じ任意のIPアドレス

１のすべてのユーザーからすべてのポート・プロトコルへのアクセスを許可するルールが存在している事で、2と3のルールを設定している意味が無くね？と思ったのですが、認識あっていますかね？

[maisumakun]

そうですね、2や3のルールがあろうがなかろうが、1のルールがすべてを許可してしまえば最終結果は「すべて許可」です。

[kazuyakunnn]

めちゃくちゃ疑問解けました！下手な質問に真摯に答えて下さり、ありがとうございました。