Cloud Firewall:アクセス制御ポリシーに関するよくある質問

WAF (透過型プロキシモード) とインターネット境界ファイアウォールの両方を有効にした場合、転送ポート経由のトラフィックは Cloud Firewall のアクセス制御ポリシーで制御できますか? {#waf-transparent-proxy}

はい、制御できます。Web Application Firewall (WAF) の透過型プロキシモードとインターネット境界ファイアウォールの両方が有効になっている場合、インターネット境界ファイアウォール用に作成したアクセス制御ポリシーは、転送ポート経由のトラフィックに適用されます。

ただし、転送ポート経由のトラフィックについては、ログ監査、ログ分析、およびトラフィック統計は利用できません。他のポート経由のトラフィックは影響を受けません。

アクセス制御ポリシーのクォータは拡張できますか?

• 従来のサブスクリプション 1.0 課金方式の場合、インターネット境界、NAT 境界、および VPC 境界のアクセス制御ポリシーのクォータが不足している場合は、 Cloud Firewall 購入ページで [追加ポリシークォータ] を購入してクォータを拡張できます。

• 従来の従量課金 1.0 課金方式の場合、アクセス制御ポリシーのクォータを拡張することはできません。

• 新しい 2.0 課金方式の場合、追加ポリシークォータに対する追加料金はかかりません。

詳細については、「従来の課金方式 1.0 とアップグレード手順」をご参照ください。

保護対象の VPC トラフィック帯域幅は拡張できますか? {#vpc-bandwidth}

はい、拡張できます。デフォルトの保護対象 VPC トラフィック容量がニーズを満たさない場合は、[保護対象 VPC トラフィック] パラメータを設定して、VPC 間トラフィックのピーク制限を増やすことができます。

Cloud Firewall は IPv6 CIDR ブロックのトラフィックをブロックできますか? {#ipv6}

はい、ブロックできます。インターネット境界ファイアウォール用のアクセス制御ポリシーを作成して、IPv6 CIDR ブロックのトラフィックを制御します。IPv6 サポートは、すべての Cloud Firewall エディションで利用できます。詳細については、「インターネット境界ファイアウォールのアクセス制御ポリシーを作成する」をご参照ください。

Cloud Firewall とセキュリティグループの違いは何ですか? {#cloud-firewall-vs-security-groups}

Cloud Firewall とセキュリティグループは相互補完的な関係にあります。セキュリティグループは Elastic Compute Service (ECS) インスタンス間でホストレベルのトラフィックフィルタリングを提供し、Cloud Firewall はネットワーク境界およびインスタンス間レベルで一元的な保護を提供します。多層防御のために両方を使用します。

具体的には次のとおりです：

• [セキュリティグループ]：ECS が提供する仮想ホストファイアウォールであり、ECS インスタンス間のトラフィックを制御します。

• Cloud Firewall：複数のネットワーク境界で動作します。

  • インターネット境界ファイアウォール：インターネット境界でトラフィックを制御します。

  • NAT ファイアウォール：NAT 境界でトラフィックを制御します。

  • VPC ファイアウォール：VPC 境界でトラフィックを制御します。

  • 内部ファイアウォール：ECS インスタンス間のトラフィックを制御します。

セキュリティグループが提供する機能に加えて、Cloud Firewall は次の機能を追加します。

• アプリケーションベースのアクセス制御：ポートを指定せずに、プロトコル (HTTP など) でトラフィックを制御します。

• ドメイン名ベースのアクセス制御：ECS インスタンスが特定のドメイン名にのみリクエストを送信できるようにします。

• 侵入防止：一般的な脆弱性とブルートフォース攻撃に対する事前の保護を提供します。

• 監視モード：ブロックせずにトラフィックを監視します。ポリシー検証に役立ちます。

• 完全なトラフィックログとリアルタイム分析

• 一元的なセキュリティ管理：Cloud Firewall コンソールの内部ファイアウォールのポリシーは、ECS セキュリティグループに自動的に同期されます。

トラフィックマッチング順序：インバウンドトラフィックの場合、Cloud Firewall が最初に評価され、次にセキュリティグループが評価されます。アウトバウンドトラフィックの場合、セキュリティグループが最初に評価され、次に Cloud Firewall が評価されます。トラフィックは、Cloud Firewall ポリシーとセキュリティグループルールの両方を通過した場合にのみ許可されます。

一般ポリシーグループとエンタープライズポリシーグループの違いは何ですか? {#common-vs-enterprise-policy-groups}

内部ファイアウォールのポリシーグループは、ECS セキュリティグループにマッピングされ、ECS インスタンス間のインバウンドおよびアウトバウンドトラフィックを制御します。この 2 つのタイプは、容量とグループ間の動作が異なります。

詳細については、「基本セキュリティグループと高度セキュリティグループ」をご参照ください。

システムデフォルトポリシーを無効にすると、Alibaba Cloud 内部アクセスに影響しますか? {#disable-system-default-policies}

いいえ、影響しません。ポリシーリストの中央にあるシステムデフォルトポリシー (「システムデフォルト。ICMP リクエストを許可」など) を無効にしても、通常の Alibaba Cloud 内部アクセスには影響しません。最初の許可ポリシーと最後の拒否ポリシーのみを有効にして、意図したアクセス制御動作を実現できます。

ドメイン名に対してアウトバウンド HTTP または HTTPS アクセス制御ポリシーを設定しました。ポリシーが有効かどうかを確認するにはどうすればよいですか? {#check-http-https-policy}

curl コマンドを使用してドメインに実際の HTTP または HTTPS リクエストを送信し、Cloud Firewall コンソールでポリシーヒット数と監査ログを確認します。

例：

curl -k "https://www.aliyundoc.com"

デフォルトの許可ポリシーを適用すると、解決できない競合があるというメッセージが表示されます。どうすれば修正できますか? {#conflict-cannot-be-resolved}

これは、ターゲット IP アドレスに関連付けられたセキュリティグループルールが、適用しようとしているデフォルトの許可ポリシーと同じ優先度、プロトコルタイプ、ポート範囲、および認可オブジェクトを持っている場合に発生します。

ECS コンソールの [セキュリティグループ] ページに移動し、競合するルールの優先度を調整します。詳細については、「セキュリティグループルールを変更する」をご参照ください。サポートが必要な場合は、を送信してください。

[Quick Apply] アイコンが使用できないのはなぜですか? {#quick-apply-unavailable}

[Quick Apply] アイコンは、ターゲット IP アドレスに対して競合するセキュリティグループルールが存在する場合に使用できません。デフォルトの許可ポリシーを適用する前に、IP アドレスに関連付けられた ECS セキュリティグループでルールの競合を解決してください。詳細については、「インターネット境界ファイアウォール」をご参照ください。

[Quick Apply] アイコンは、次の理由でも使用できない場合があります。

• IP アドレスに関連付けられたセキュリティグループが高度セキュリティグループであるためです。高度セキュリティグループはデフォルトの許可ポリシーをサポートしていません。

• IP アドレスに対してインターネット境界ファイアウォールが無効になっているためです。

インターネットベースのスキャンによる不審なアウトバウンド接続の誤検知を解消するにはどうすればよいですか? {#false-positives}

これは、インバウンドアクセスが必要なポートに制限されていない場合に発生する既知の動作です。

発生理由：攻撃者がサーバーの閉じたポートをスキャンすると、サーバー (または NAT ゲートウェイ) はポートに到達できないことを示す Internet Control Message Protocol (ICMP) パケットを返します。Cloud Firewall はこの ICMP パケットを受信リクエストに関連付けることができないため、パケットをサーバーによって開始されたアウトバウンド接続として扱います。スキャナの IP アドレスが脅威インテリジェンスライブラリに表示される場合、Cloud Firewall はアラートを生成します。

対照的に、SYN パケットが開いているポートに到達すると、サーバーは SYN-ACK パケットを返し、Cloud Firewall は両方を同じ接続の一部として扱います。アラートは生成されません。

解決策：ワークロードに必要なポート経由のトラフィックのみを許可するインバウンドアクセス制御ポリシーを作成します。これにより、閉じたポートのスキャン応答が誤ったアラートをトリガーするのを防ぎます。詳細については、「インターネット境界ファイアウォールのアクセス制御ポリシーを作成する」をご参照ください。

インターネット境界ファイアウォールで 0.0.0.0/0 に対するアウトバウンド拒否ポリシーを設定しましたが、一部のトラフィックがまだ許可されています。なぜですか? {#deny-not-blocking-all}

Cloud Firewall は、トラフィックのドメイン名またはアプリケーションタイプをまだ識別できない場合、後続のポリシーが識別を完了できるように、トラフィックを一時的に許可します。これは 2 つのシナリオで適用されます。

• ドメイン名がまだ識別されていない：優先度の高いドメイン名ベースのポリシーが存在し、Cloud Firewall が送信元 IP、宛先 IP、およびアプリケーションタイプを識別しているが、ドメイン名を識別していない。Cloud Firewall は、後続のポリシーによってドメイン名を解決できるように、トラフィックの継続を許可します。

• アプリケーションタイプがまだ識別されていない：優先度の高いアプリケーションベースのポリシーが存在し、Cloud Firewall が送信元 IP、宛先 IP、およびポートを識別しているが、アプリケーションタイプを識別していない。Cloud Firewall は、アプリケーションタイプを識別できるように、トラフィックの継続を許可します。

この動作を防ぐには、次のいずれかの方法を使用します。

オプション 1：厳格モードを有効にする

厳格モードでは、Cloud Firewall はアプリケーションタイプまたはドメイン名が識別されるまでポリシーの評価を継続します。拒否ポリシーが設定されている場合、Unknown と識別されたトラフィックは拒否されます。詳細については、「アクセス制御エンジンのモードを設定する」をご参照ください。

オプション 2：レイヤー 4 ポリシーのみを使用する

[アプリケーション] を [ANY] に設定し、[宛先] にドメイン名を指定しないレイヤー 4 アクセス制御ポリシーを作成します。トラフィックがレイヤー 4 ポリシーと一致すると、Cloud Firewall はアプリケーション層の識別を待たずに、ポリシーアクションを即座に適用します。詳細については、「インターネット境界ファイアウォールのアクセス制御ポリシーを作成する」をご参照ください。

優先度の高いアクセス制御ポリシーがトラフィックと一致しないのはなぜですか? {#high-priority-policy-not-matching}

優先度の高いアクセス制御ポリシーが期待どおりにトラフィックと一致しない場合は、次の一般的な原因を確認してください。

原因 1：送信元制限の不一致

優先度の高いポリシーが送信元 IP 制限を指定しているが、トラフィックログの実際の送信元 IP が許可された範囲内に含まれていない。ログの送信元 IP を確認し、それに応じてポリシーの送信元 IP 設定を更新してください。

原因 2：キャッチオール拒否ポリシーがない

限定的な許可ポリシー (たとえば、特定の IP からの SSH アクセスのみを許可するなど) が設定されていても、優先度の低い許可ルールやデフォルトの許可ルールが存在するため、他の IP アドレスがサービスに到達できてしまいます。最も低い優先度 (ポリシーリストの最後に配置) でキャッチオール拒否ポリシーを追加し、[プロトコル] を [すべてのプロトコル] に、[ポート] を 0/0 に、送信元および宛先の両方の IP アドレスを 0.0.0.0/0 に設定します。これにより、それより前のポリシーに一致しないすべてのトラフィックがブロックされます。

ポリシーが有効になっていることを確認するには、保護されたリソースと同じ VPC または同じリージョンにないホストから接続をテストしてください。

原因 3：アドレス帳にエントリがない

ポリシーが送信元 IP アドレスにアドレス帳を使用するように設定されているが、トラフィックの送信元 IP がアドレス帳にリストされていないため、期待されるトラフィックが一致しない。Cloud Firewall コンソールで、[保護設定] > [ポリシー設定] > [アドレス帳] に移動してアドレス帳エントリを確認し、不足している IP アドレスを追加してください。

原因 4：システムデフォルトポリシーの干渉

許可リストポリシーと拒否ポリシーの両方を設定したにもかかわらず、許可リストにない IP アドレスが ICMP (ping) ターゲットに到達できることがあります。これは通常、組み込みの「システムデフォルト。ICMP リクエストを許可」ポリシーが、お客様の拒否ポリシーよりも優先度が高いために発生します。これを解決するには、最後の拒否ポリシーの送信元 IP アドレスを 0.0.0.0/0 に変更してください。

特定のサブドメインへのアクセスのみを許可し、ドメインの残りの部分をブロックするにはどうすればよいですか? {#subdomain-access-control}

異なる優先度を持つ 2 つのポリシーを使用します。ターゲットサブドメインの許可ポリシーとワイルドカードパターンの拒否ポリシーです。許可ポリシーは拒否ポリシーよりも優先度が高い必要があります。

xyz.com を例に、abc.xyz.com のみを許可する場合：

1. *.xyz.com へのアクセスを [ブロック] し、優先度を [最低] に設定するポリシーを作成します。

2. abc.xyz.com へのアクセスを [許可]し、その優先度を [最高]に設定するポリシーを作成します。

abc.xyz.com の許可ポリシーは優先度が最も高いため、ワイルドカードブロックの前に評価されます。他のすべてのサブドメインは、ワイルドカードブロックポリシーに一致します。詳細については、「インターネットファイアウォールのアクセス制御ポリシーを作成する」をご参照ください。

Cloud Firewall を使用して Bastion ホストのドメイン名に対するアクセス制御を強化するにはどうすればよいですか? {#bastionhost}

Bastionhost は、ID 認証、アカウント管理、および監査を処理する運用および保守 (O&M) 管理プラットフォームです。機密性の高いアカウント情報を保存し、ドメイン名ベースのアクセスをサポートしているため、Bastion ホストのログインページに到達した権限のないユーザーが、多数のアセットにアクセスする可能性があります。

Bastionhost と Cloud Firewall の両方を購入すると、Bastionhost は Cloud Firewall のアセットタイプとして自動的に追加され、購入した Bastion ホストは Cloud Firewall アセットリストに自動的に同期されます。これにより、1 つの場所から Bastion ホストのパブリック IP アドレスにアクセス制御、侵入防止、およびネットワークトラフィック分析を適用できます。

次のポリシーを設定してください。

• インバウンドアクセス制御 (インターネット境界ファイアウォール)：インターネットまたは指定された地域のインターネットから Bastion ホストの開いているポートへのトラフィックを許可します。

• アウトバウンドアクセス制御 (インターネット境界ファイアウォール)：Bastion ホストから必要なパブリック IP アドレスへのトラフィックのみを許可します。

• 侵入防止：Bastion ホストのファイアウォールを有効にして、インバウンドおよびアウトバウンドトラフィックを Cloud Firewall 経由で保護のためにリダイレクトされるようにします。

完全な設定手順については、「Cloud Firewall と Bastionhost を一緒にデプロイする場合のアクセス制御ポリシーを設定する」をご参照ください。

繰り返し時間範囲が 2 つの暦日にまたがる場合、アクセス制御ポリシーは有効になりますか? {#spanning-two-days}

はい、有効になります。[繰り返しサイクル] が 2 つの暦日にまたがり (たとえば、18:00 から翌日の 08:00 まで)、[有効日] の開始時刻がその範囲内にある場合、ポリシーの終了時刻は翌日の指定された時刻にロールオーバーされます。

例：[繰り返しサイクル] = 毎週火曜日 18:00–08:00 (+1)、[有効日] = 2024.08.20–2024.08.22。

ポリシーは、2024 年 8 月 20 日の 18:00 から 2024 年 8 月 21 日の 08:00 まで有効になります。

トランジットルーター用 VPC ファイアウォールのトラフィックリダイレクトシナリオを変更したときに、一方向トラフィックがブロックされた場合はどうすればよいですか? {#unidirectional-traffic-blocked}

これは、トラフィックリダイレクトシナリオを有効または無効にするときの移行中に発生する非対称ルーティングが原因です。

[発生理由]：VPC 1 → VPC 2 トラフィックの許可ポリシーとデフォルトの拒否ポリシーがある場合、リダイレクトシナリオを有効または無効にすると、一時的に非対称ルーティングが作成されます。ICMP および UDP トラフィックの応答パケットは、新しい未承諾トラフィックとして扱われ、Cloud Firewall にリダイレクトされます。これらの応答パケットでは送信元と宛先の IP が逆になっているため、許可ポリシーと一致せず、拒否ポリシーによってブロックされます。TCP トラフィックは影響を受けません。

解決策：短期的なトラフィック中断が許容できない場合は、ファイアウォールを有効または無効にする前に、Cloud Enterprise Network (CEN) トランジットルーター用の VPC ファイアウォールで最高優先度の一時的な 0.0.0.0/0 許可ポリシーを設定してください。これにより、移行中の逆方向トラフィックが許可されます。ファイアウォールが完全に有効または無効になった後、一時的なポリシーを削除してください。