インターネットファイアウォール、VPC ファイアウォール、および内部ファイアウォールのアクセス制御ポリシーの例を示します。
インターネットファイアウォールポリシーの例
Cloud Firewall は、インターネットに面した (南北) インバウンドおよびアウトバウンドトラフィックを制御します。インターネットファイアウォールのアクセス制御ポリシーの設定では、すべてのポリシーパラメータについて説明しています。
特定のポートへのインバウンドパブリックトラフィックの許可
例：ECS インスタンスにプライベート IP 10.1.XX.XX と EIP 200.2.XX.XX/32 が割り当てられています。次のポリシーは、TCP ポート 80 のみへのすべてのインバウンドインターネットトラフィック (0.0.0.0/0) を許可します。
Cloud Firewallコンソールにログインします。
左側のナビゲーションウィンドウで、.
インバウンド タブで、ポリシーの作成 をクリックします。インバウンドポリシーの作成 パネルの カスタム作成 タブで、次のポリシーを設定します。
インスタンスの TCP ポート 80 へのパブリックトラフィックを許可するようにポリシーを設定し、OK をクリックします。
主なパラメータ：
パラメータ
説明
設定例
[ソースタイプ]
トラフィックの送信元。ソースタイプを選択し、ソースアドレスを入力します。
IP
[アクセスソース]
0.0.0.0/0説明0.0.0.0/0は、すべてのパブリック IP アドレスを表します。[送信先タイプ]
トラフィックの宛先。宛先タイプを選択し、宛先アドレスを入力します。
IP
[宛先]
200.2.XX.XX/32[プロトコルタイプ]
トランスポート層プロトコル: [TCP]、[UDP]、[ICMP]、または [すべて]。不明な場合は [すべて] を選択してください。
TCP
[ポートタイプ]
宛先ポートタイプとポート番号。
Port
[ポート]
80/80[アプリケーション]
トラフィックのアプリケーションタイプ。
ANY
[アクション]
一致したトラフィックに対するアクション。
許可
[優先度]
ポリシーの優先度。デフォルト: [最低]。
Highest
[有効化ステータス]
ポリシーを有効にするかどうかを指定します。有効にしたポリシーのみが適用されます。
Enabled
すべてのインスタンスへのすべてのパブリックトラフィックを拒否するポリシーを設定し、OK をクリックします。
次のパラメータを使用して拒否ポリシーを作成します。
[宛先]：
0.0.0.0/0説明0.0.0.0/0は、すべてのインスタンスの IP アドレスを表します。[プロトコルタイプ]： ANY
[ポート]：
0/0説明0/0は、インスタンスのすべてのポートを表します。[アプリケーション]: 任意
[アクション]: ドロップ
[優先度]：最低
[ホストの TCP ポート 80 への受信トラフィックを許可するポリシー] が [ホストへのすべての受信トラフィックを拒否するポリシー] よりも優先度が高いことを確認してください。
VPC ファイアウォールポリシーの例
VPC ファイアウォールは、VPC 間のトラフィック (東西トラフィック) を制御します。VPC ファイアウォールのアクセス制御ポリシーの設定では、すべてのポリシーパラメータについて説明しています。
異なる VPC 内の ECS インスタンス間のトラフィックの拒否
デフォルトでは、CEN または Express Connect によって接続された VPC 内の ECS インスタンスは通信できます。
例：VPC1 と VPC2 は CEN によって接続されています。ECS1 (10.33.XX.XX/32) は VPC1 内にあり、ECS2 (10.66.XX.XX/32) は VPC2 内にあります。次のポリシーは、ECS1 から ECS2 へのアクセスを拒否します。
Cloud Firewallコンソールにログインする
左側のナビゲーションペインで、 を選択します。
VPC 境界 ページで、ポリシーの作成 をクリックします。
ポリシーの作成 - VPC ボーダー パネルで、次の表に従ってポリシーを設定し、確認 をクリックします。
主なパラメータ：
パラメータ
説明
設定例
[ソースタイプ]
トラフィックのソースタイプ。
IP
[アクセスソース]
トラフィックのソースアドレス。
10.33.XX.XX/32[送信先タイプ]
トラフィックの宛先タイプ。
IP
[宛先]
トラフィックの宛先アドレス。
10.66.XX.XX/32[プロトコルタイプ]
トラフィックのプロトコル。
TCP
[ポートタイプ]
ポートタイプ。
Port
[ポート]
ポートタイプ の設定に基づいてポートを入力するか、選択 をクリックして [ポートアドレス帳] を選択します。
0/0[アプリケーション]
アプリケーションタイプ。
ANY
[アクション]
一致したトラフィックに対するアクション。
ドロップ
内部ファイアウォールポリシーの例
内部ファイアウォールは、ECS インスタンス間のトラフィックを制御します。ポリシーは ECS セキュリティグループに同期され、発行後に有効になります。セキュリティグループの設定では、すべてのポリシーパラメータについて説明しています。
ポリシーグループ内の ECS 通信の有効化
デフォルトでグループ内通信を許可する ECS セキュリティグループとは異なり、Cloud Firewall 内部ファイアウォールでは明示的な許可ポリシーが必要です。
例：ECS1 (10.33.XX.XX) と ECS2 (10.66.XX.XX) は、ポリシーグループ sg-test 内にあります。次のポリシーは、これらの間の通信を有効にします。
Cloud Firewallコンソールにログインします。
左側のナビゲーションペインで、 を選択します。
セキュリティグループの設定 ページで、対象のポリシーグループを見つけ、操作 列の ポリシー設定 をクリックします。
インバウンド タブで、ポリシーの作成 をクリックします。
次のパラメータを使用してインバウンド許可ポリシーを設定します。
パラメータ
説明
設定例
[ポリシータイプ：]
ポリシータイプ。
許可
[プロトコルタイプ]
プロトコルタイプ。
TCP
[ポート範囲]
ポート範囲。
0/0[ソースタイプ]、[ソースオブジェクト]
トラフィックソース。ポリシーの方向がInboundの場合に必須です。
ソースタイプ： ポリシーグループ
ソースオブジェクト： sg-test
[ターゲット選択]
トラフィックの宛先。インバウンドポリシーに必要です。
アドレスセグメントアクセス (CIDR ブロック： 10.66.XX.XX)
説明ポリシーグループ内のすべての ECS インスタンス間の通信を有効にするには、ターゲット選択 を All ECS Instances に設定します。
ポリシーグループ内の特定の ECS インスタンス間の通信を有効にするには、ターゲット選択 を CIDR Block に設定し、ピア ECS インスタンスの CIDR ブロックを入力します。
拡張セキュリティグループを使用している場合は、アウトバウンド許可ポリシーも設定する必要があります。
通常セキュリティグループは、デフォルトですべてのアウトバウンドトラフィックを許可します。
次のパラメータを使用してアウトバウンドポリシーを設定します。
[ソースタイプ]： IP
[ソースオブジェクト]：
10.66.XX.XX[CIDR ブロック]:
10.33.XX.XX
ポリシーグループ間の ECS 通信の有効化
例：ECS1 (10.33.XX.XX) と ECS2 (10.66.XX.XX) は、異なるポリシーグループにあります。次のポリシーは、これらの間の通信を有効にします。
Cloud Firewallコンソールにログインします。
左側のナビゲーションペインで、 を選択します。
セキュリティグループの設定 ページで、ECS1 を含むポリシーグループを見つけ、操作 列の ポリシー設定 をクリックします。
インバウンド タブで、[ポリシーの作成] をクリックします。
次のパラメータを使用してインバウンド許可ポリシーを設定します。
パラメータ
説明
設定例
ポリシータイプ
ポリシータイプ。
許可
[プロトコルタイプ]
プロトコルタイプ。
TCP
[ポート範囲]
ポート範囲。
0/0[ソースタイプ]、[ソースオブジェクト]
トラフィックの送信元。インバウンドポリシーに必要です。
ソースタイプ： IP
ソースオブジェクト：
10.66.XX.XX
[ターゲット選択]
トラフィックの宛先。インバウンドポリシーに必要です。
アドレスセグメントアクセス (CIDR ブロック： 10.33.XX.XX)
説明sg-test2 ポリシーグループの ECS インスタンスが sg-test1 ポリシーグループのすべての ECS インスタンスにアクセスできるようにする場合は、ターゲット選択をAll ECS Instancesに設定します。
sg-test2 ポリシーグループの ECS インスタンスが sg-test1 ポリシーグループ内の特定の ECS インスタンスにアクセスできるようにするには、ターゲット選択 を CIDR Block に設定し、sg-test1 ポリシーグループの ECS インスタンスの CIDR ブロックを入力します。
拡張セキュリティグループを使用している場合は、アウトバウンド許可ポリシーも設定する必要があります。
通常セキュリティグループは、デフォルトですべてのアウトバウンドトラフィックを許可します。
次のパラメータを使用してアウトバウンドポリシーを設定します。
[ソースタイプ]： IP
[ソース]：
10.33.XX.XX[CIDR ブロック]：
10.66.XX.XX
同様に、ECS2 に対応するインバウンドおよびアウトバウンド許可ポリシーを設定します。