同一VPC内のプライベートサブネットにあるworkspacesクライアントからパブリックサブネットにあるEC2 に「3128」ポート通信を許可するには

Question

実現したいこと

同一VPC内のプライベートサブネットにあるworkspacesクライアントからパブリックサブネットにあるEC2
に「3128」ポート通信を許可したく思う。

前提

(1)VPCネットワーク(10.0.0.0/16)、パブリックサブネット(10.0.1.0/24)、
プライベートサブネット(10.0.2.0/24、10.0.3.0/24)
(2)パブリックサブネットにあるEC2のセキュリティグループのインバウントルールに
カスタムTCP、ポート範囲3128、カスタム(10.0.0.0/16)とした。
結果としては3128通信がworkspacesクライアントからできているが、インバウンドルールに、カスタム(10.0.0.0/16)
とすることで、プライベートアドレスなら同じVPC内で良いのだが、グルーバルアドレスで「10.0.0.0/16」の範囲のもの
も許可されてしまうと、本来許可したくないものも許可されてしまってまずい。プライベートアドレスの範囲で絞るには
どうしたらいいのでしょうか。または、同一VPC内の通信は許可する設定はどこでするのでしょうか。

宜しくお願い致します。

Answer 1

まず、懸念しているようなことは発生しません。

プライベートIPで使われるアドレス空間はプライベートIPで使うために予約されており、その範囲のIPはグローバルIPでは使用されないことになっています。
グローバルIPは割り当てられた機器ごとに一意である必要があるため、プライベートIPで使用されるIPを使うとおかしなことになってしまいます。
それを避けるために、そのようなルールで割り当てられています。

グローバルIPアドレスは大本はICANNが管理しており、日本ではJPNICが管理しています。

そのため、普通にセキュリティグループでプライベートIPを使って接続制限すればインターネットから接続されることはありません。

ただ、個人的にはIPを使うよりもセキュリティグループを接続元として接続許可を行う方法を推奨したいです。
セキュリティグループはインバウンドの接続元、アウトバウンドの接続先にセキュリティグループ自体を設定できます。
これを行うと特定のセキュリティグループを設定しているリソースとの通信のみを許可できます。
Workspacesにもセキュリティグループが設定できるので、Workspacesに設定しているセキュリティグループを接続元としてEC2インスタンス側のセキュリティグループに許可設定を入れるといいでしょう。

しれっと混ぜ込んでいる同一VPC内での通信については、少なくともデフォルトのVPCやコンソールで作成したVPCについては、デフォルトで自VPCへの通信をlocalに転送するルールが設定されたルートテーブルが各サブネットに設定されているはずで、それによって自VPC内にあるリソース同士のIPアドレスを使用した通信が可能になっています。
もちろん、それに加えてセキュリティグループの設定が必要です。

※参考
勘違いしてない？IPアドレスとサブネットマスクの仕組みを図で再確認
一応、ネット上で今回の記載内容について簡単に確認できる記事です。

マスタリングTCP/IP　入門編（第6版）
IPアドレスのみならず、TCP/IPというプロトコルやネットワークの基礎周りを一通り抑えたければこれを読むことを強くお勧めします。リファレンスとしても良いと思います。
初版は1994年で以前より多くの初学者に勧められる名著ですが、内容はけして古いままでなく、版を重ねて内容も新しいものを取り入れて更新されています。（現在は2019年の第6版が最新）

Answer 2

この回答はGPT-4による自動生成回答です

AWSのVPC内での通信についての質問ですね。

AWSのセキュリティグループでは、特定のIPアドレス範囲を指定して通信を許可することができます。今回の場合、プライベートサブネット内のWorkspacesクライアントからパブリックサブネット内のEC2への通信を許可したいとのことなので、以下のように設定することで実現可能です。

1. EC2のセキュリティグループのインバウンドルールに、カスタムTCPルールを追加します。
2. ポート範囲には3128を指定します。
3. 送信元には、Workspacesクライアントが存在するプライベートサブネットのIPアドレス範囲を指定します。例えば、プライベートサブネットが10.0.2.0/24と10.0.3.0/24であれば、これらをそれぞれ別々のルールとして追加します。

以上の設定により、指定したプライベートサブネットからの通信のみが許可され、他のIPアドレスからの通信はブロックされます。

なお、同一VPC内の通信を一律に許可する設定は存在しません。VPC内の各リソースはセキュリティグループやネットワークACLによって保護されており、これらの設定によって通信の許可/不許可が決まります。