【AWS】 ネットワークACLの使いどころについて

Question

###前提・実現したいこと
現在、AWSを利用して複数台のサブネット、さらにそれぞれのサブネットの中に複数台のインスタンスが存在する。
ような構成でシステムを構築しております。

そこでセキュリティの観点で色々調べていたら、以下のようなものを見つけました。

• セキュリティーグループ(EC2に割り当てる
• ネットワークACL(サブネットに割り当てる

同一サブネット内のEC2にそれぞれセキュリティグループを割り当てるよりサブネットにACLを設定することでまとめて制御できていいのかなと考えておりました。

しかし、システムの構築には terraform を利用しており 1つセキュリティグループを作ってしまって、それを使いまわしで設定するのと何ら変わりないと思っています。

もう少し調べた結果 セキュリティグループと ACL の違いに ステートレス・ステートフルである点が違うということがわかりました。

しかしながら、 ACL は個別のインスタンスに対して設定するのではなくまとめて制御が可能という意義しか見出せておりません。

ステートレスであることから、 いわゆる エフェメラルポート に関して何らかの制御を加えたい場合は ACL でしかできないのだろうなと考えています。
その場合ってどのような場合なんだろう、と思いました。

結局聞きたいこと

• エフェメラルポーとを制御する場合ってどんなときだろう。
• まとめて制御する・1点目以外で ネットワークACL を利用する意義

宜しくお願いします ????

Answer 1

まとめて制御する・1点目以外で ネットワークACL を利用する意義

ちょっと古いのですが、AWS Summit Tokyo 2015 の資料で、「TA-08: ネットワーク Deep Dive」の 18ページ目「ネットワークACL vs セキュリティグループ」に比較表がありました。

http://media.amazonwebservices.com/jp/summit2015/docs/TA-08-Tokyo-Summit-2015.pdf

Comments

[TakaYama]

ありがとうございます。
自分の調査不足でしたね。

改めて調べていて
https://8bitodyssey.com/archives/4192

にある
```
Security Groups の設計はホワイトリスト形式。アクセスを許可する IP アドレスを指定する、というもので、特定の IP アドレスをブロックすることはできそうにない。
```
この文章を読んでしっくりしました。

ご意見ありがとうございました。