ファイアウォールの有効化と無効化に関する FAQ - Cloud Firewall

このトピックでは、Cloud Firewall でのファイアウォールの有効化と無効化に関するよくある質問への回答、ファイアウォールの有効化による影響、ファイアウォールの有効化後のルートとトラフィックの変更などについて説明します。

アカウントで Cloud Firewall をアクティブ化できないのはなぜですか？
Cloud Firewall をリリースするにはどうすればよいですか？
インターネットファイアウォール
NAT ファイアウォール
VPC ファイアウォール

ファイアウォールを有効化するとどのような影響がありますか？

ファイアウォールタイプ	影響
インターネットファイアウォール	インターネットファイアウォールを作成、有効化、または無効化すると、数秒以内に保護のためにインターネットファイアウォールにリソースを追加したり、インターネットファイアウォールからリソースを削除したりできます。現在のネットワークトポロジを変更する必要はありません。ワークロードは影響を受けません。
NAT ファイアウォール	NAT ファイアウォールを作成する場合、または無効化後に NAT ファイアウォールを削除する場合、ワークロードは影響を受けません。作成期間は、NAT ゲートウェイに関連付けられている Elastic IP アドレス (EIP) の数によって異なります。EIP が 1 つ追加されるごとに、作成期間は約 2 ～ 5 分長くなります。 NAT ファイアウォールの有効化または無効化には約 10 秒かかります。永続的な接続は 1 ～ 2 秒間中断される場合があります。短時間の接続は影響を受けません。
Express Connect 回線用に作成された仮想プライベートクラウド (VPC) ファイアウォール Basic Edition 転送ルータ用に作成された VPC ファイアウォール	VPC ファイアウォールを作成する場合、または無効化後に VPC ファイアウォールを削除する場合、ワークロードは影響を受けません。作成期間は約 5 分です。 VPC ファイアウォールの有効化または無効化には約 5 ～ 30 分かかります。作成期間はルートの数によって異なります。永続的な接続は数秒間中断される場合があります。短時間の接続は影響を受けません。説明 VPC ファイアウォールを有効にする前に、アプリケーションが TCP 経由で自動的に接続を再確立するように構成されているかどうかを確認し、アプリケーションの接続状態に細心の注意を払うことをお勧めします。これは、接続の中断を防ぐのに役立ちます。
Enterprise Edition 転送ルータ用に作成された VPC ファイアウォール	自動トラフィックリダイレクト VPC ファイアウォールを作成する場合、または無効化後に VPC ファイアウォールを削除する場合、ワークロードは影響を受けません。作成期間は約 5 分です。 VPC ファイアウォールの有効化または無効化には約 5 ～ 30 分かかります。作成期間はルートの数によって異なります。ワークロードは影響を受けません。手動トラフィックリダイレクト VPC ファイアウォールを作成する場合、または無効化後に VPC ファイアウォールを削除する場合、ワークロードは影響を受けません。作成期間は約 5 分です。 VPC ファイアウォールを有効または無効にすると、ワークロードが影響を受ける期間はトラフィックリダイレクトモードによって異なります。

Cloud Firewall をリリースするにはどうすればよいですか？

Cloud Firewall が不要になった場合は、Cloud Firewall のリリースを参照してリリースし、不要な料金が発生しないようにすることができます。

アカウントで Cloud Firewall をアクティブ化できないのはなぜですか？

原因

Cloud Firewall コンソールにログインすると、このアカウントは Cloud Firewall を起動できません というメッセージが表示されます。この問題は、次のシナリオで発生する可能性があります。

アカウントが Alibaba Cloud アカウントであり、一元管理のメンバーとして追加されている。
アカウントが Resource Access Management (RAM) ユーザーであり、必要な権限を持っていない。

ソリューション

Cloud Firewall コンソールの右上隅にあるプロファイル画像にポインタを移動すると、アカウントのタイプを表示できます。

アカウントが Alibaba Cloud アカウントの場合は、そのアカウントを使用して Cloud Firewall コンソールにログインし、Cloud Firewall をアクティブ化する必要があります。次に、アカウントに属するクラウドアセットの保護を有効にします。詳細については、「Cloud Firewall の購入」をご参照ください。
アカウントが RAM ユーザーの場合は、RAM ユーザーが属する Alibaba Cloud アカウントを使用して、[createSlr]、[AliyunYundunCloudFirewallReadOnlyAccess]、[AliyunYundunCloudFirewallFullAccess] のポリシーを RAM ユーザーにアタッチする必要があります。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。
[createSlr] は、作成する必要があるカスタムポリシーです。次のサンプルコードは、ポリシーの内容の例を示しています。詳細については、「カスタムポリシーを作成する」をご参照ください。
```
{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole" // サービスリンクロールを作成
            ],
            "Resource": "acs:ram:*:166032244439****:role/*",
            "Effect": "Deny",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "cloudfw.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}
```
説明
Resource パラメータの値は、acs:ram:*:Alibaba Cloud アカウントの ID:role/* の形式で指定する必要があります。ID は、RAM ユーザーが属する Alibaba Cloud アカウントの ID です。

ファイアウォールの有効化の失敗の原因と解決策

原因	解決策
Cloud Enterprise Network (CEN) インスタンスが別の Alibaba Cloud アカウントによって作成された VPC に関連付けられていないか、Cloud Firewall が別の Alibaba Cloud アカウントによって作成された VPC にアクセスする権限を持っていないか、Cloud Firewall が Ultimate Edition を実行していない。	必要な Alibaba Cloud アカウントを使用して承認を完了します。次に、Cloud Firewall コンソールにログインして、VPC ファイアウォールを有効にします。詳細については、「Cloud Firewall に他のクラウドリソースへのアクセスを承認する」をご参照ください。Cloud Firewall を Ultimate Edition にアップグレードする方法の詳細については、「更新」をご参照ください。
ファイアウォールを有効にする CEN インスタンスに、Express Connect 回線と VPC が存在します。VPC には既にファイアウォールが有効になっています。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
CEN インスタンス上の VPC が存在するリージョンは、VPC ファイアウォール機能でサポートされていません。	詳細については、「サポートされているリージョン」をご参照ください。
手動モードで作成された VPC ファイアウォールが、CEN インスタンスが存在するリージョンに既に存在します。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
CEN インスタンスにネットワークインスタンスが 1 つだけ存在するか、CEN インスタンスに VPC が存在しません。	CEN インスタンスに VPC を追加してから、再試行してください。
同じリージョンで VPC ファイアウォールを有効にできる VPC の数が上限を超えています。	CEN 転送ルータを使用します。DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
CEN インスタンスが属する Alibaba Cloud アカウントで Cloud Firewall が購入されていません。	Alibaba Cloud アカウントを使用して Cloud Firewall を購入してください。
VPC 内のカスタムルートの数が上限を超えています。	VPC コンソールにログインし、[O&M とモニタリング] > [クォータ管理] ページに移動して、Alibaba Cloud アカウント内の各ルートテーブルに許可されるカスタムルートの最大数を増やします。
VPC クォータが不足しています。	VPC クォータを増やしてください。
指定された CIDR ブロックが重複しています。仮想ボーダールータ (VBR) の CIDR ブロックのみを重複させることができます。VPC の CIDR ブロックと、VPC と VBR の CIDR ブロックを重複させることはできません。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
ポリシーベースのルートの優先クォータが不足しています。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
CEN インスタンスには、ルーティングポリシーのアクションが拒否に設定されているルーティングポリシーがあります (優先度が 5000 に設定され、ルーティングポリシーのアクションが拒否に設定されているシステムルーティングポリシーを除く)。	ルーティングポリシーを削除するか、DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
リージョンに作成された VPC の数が、リージョンの VPC クォータから 1 を引いた値を超えています。VPC ファイアウォールは、1 の VPC クォータを消費します。	VPC クォータが使い果たされた場合は、VPC コンソールにログインし、[クォータ管理] ページに移動して、VPC クォータを増やします。VPC クォータが上限に達した場合は、DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
CEN インスタンスによってアドバタイズされた CIDR ブロックには、パブリック CIDR ブロックが含まれています (0.0.0.0/0 を除く)。この場合、Server Load Balancer (SLB) への一方向アクセスによって中断が発生する可能性があります。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
ボーダールータを指すように構成されているアップストリームルートを確認します。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
CEN インスタンスの VPC には、vSwitch に関連付けられているカスタムルートテーブルがあります。	カスタムルートテーブルを削除するか、vSwitch からカスタムルートテーブルの関連付けを解除します。
CEN インスタンスのファイアウォールを有効にした後、アドバタイズされたルートの数が上限を超えます。	100 以下のルートをアドバタイズするか、ネットワークアーキテクチャを CEN-TR アーキテクチャにアップグレードします。DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
転送ルータが存在するリージョンは、VPC ファイアウォール機能でサポートされていません。	詳細については、「サポートされているリージョン」をご参照ください。
転送ルータに VPN 接続が存在します。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
転送ルータのルートテーブルにプレフィックスリストが存在します。	ルートプレフィックスリストを使用する代わりに、VPC でルートをアドバタイズします。
転送ルータのルートテーブルにブラックホールルートが存在します。	DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
転送ルータのルートテーブルに静的ルートが存在します。	静的ルートを使用する代わりに、VPC でルートをアドバタイズします。
転送ルータのルートテーブルにルートの競合が存在します。	ルートの競合が存在するかどうかを確認します。
転送ルータのルートテーブルにシステムルーティングポリシーの競合が存在します。	優先度が 5000 のシステムルーティングポリシーの一致条件に、次の送信元または宛先インスタンスタイプが含まれているかどうかを確認します。Cloud Connect Network (CCN)、VBR、VPN、Express Connect Router (ECR)。含まれていない場合は、DingTalk グループ 33081734 に参加して、テクニカルサポートを受けてください。
転送ルータのルートテーブルに IPv6 ルートが存在します。	IPv6 ルートは Cloud Firewall ではサポートされていません。
従量課金方式を使用する Cloud Firewall で VPC ファイアウォール機能が無効になっています。	Cloud Firewall コンソールにログインし、VPC ファイアウォール機能を有効にします。詳細については、「従量課金」をご参照ください。
VPC ファイアウォール機能は、現在の Cloud Firewall のエディションではサポートされていません。	Cloud Firewall のエディションをアップグレードします。詳細については、「Cloud Firewall のアップグレードまたはスペックダウン」をご参照ください。
VPC ファイアウォール機能のアセット同期が不完全です。	Cloud Firewall コンソールファイアウォール設定ヒント:VPC ファイアウォールアセットを同期するにログインします。左側のナビゲーションウィンドウで、をクリックします。ページで、タブをクリックし、をクリックして、アセットが同期されるまで 5 ～ 10 分待ちます。

インターネットファイアウォールの目的は何ですか？

インターネットに接続する複数タイプのアセット (Elastic Compute Service (ECS) インスタンスのパブリック IP アドレス、SLB インスタンスのパブリック IP アドレス、EIP など) をインターネットファイアウォールに追加して保護できます。インターネットファイアウォールを有効にすると、システムはインターネット境界でのインバウンドトラフィックとアウトバウンドトラフィックを Cloud Firewall に転送します。次に、Cloud Firewall はトラフィックをフィルタリングし、指定された条件を満たすトラフィックのみを許可します。詳細については、「インターネットファイアウォール」をご参照ください。

インターネットファイアウォールは IPv6 アドレスを保護できますか？

はい、Cloud Firewall は 2025 年 1 月 8 日から IPv6 アドレスの完全な保護をサポートしています。

詳細については、以下のトピックをご参照ください。

インターネットファイアウォールで保護できるクラウドアセットの詳細については、「保護範囲」をご参照ください。

インターネットファイアウォールを有効にした後、ネットワークトラフィックは影響を受けますか？

インターネットファイアウォールを有効にしても、アクセス制御ポリシーまたは侵入防止システム (IPS) のポリシーを構成しない場合、Cloud Firewall はトラフィックを監視し、疑わしいトラフィックのアラートを生成しますが、疑わしいトラフィックをブロックしません。

デフォルトでは、Cloud Firewall をアクティブ化すると、インターネットファイアウォールが有効になります。

インターネットファイアウォールを無効化するとどのような影響がありますか？

インターネットファイアウォールを無効にすると、ネットワークトラフィックはファイアウォールを通過せず、次の問題が発生する可能性があります。

インターネットファイアウォールの保護機能が無効になります。たとえば、作成したアクセス制御ポリシーが無効になり、侵入防止が無効になります。
インターネット境界でのトラフィックの統計 (ネットワークトラフィック分析レポートやトラフィックログなど) は更新されません。

インターネットファイアウォールを有効にすると、SLB インスタンス関連のネットワーク制限が表示されます。なぜですか？

原因

インターネットファイアウォールを有効にすると、「SLB インスタンスのネットワークがこの操作をサポートしていないため、IP アドレスのファイアウォールを有効にできません」 というメッセージが表示されます。原因は、SLB インスタンスにプライベート IP アドレスのみがあり、Cloud Firewall をサポートしていない可能性があります。

解決策

アセットがイントラネット SLB インスタンスの場合は、インスタンスに EIP を関連付けてトラフィックを Cloud Firewall にリダイレクトすることをお勧めします。詳細については、「イントラネット CLB インスタンスに EIP を関連付ける」をご参照ください。

Cloud Firewall Free Edition でアセット同期を実行した後、パブリック IP アドレスが表示されないのはなぜですか？

Cloud Firewall Free Edition は EIP のみを同期できます。新しく追加された EIP に関する情報は、1 日後に Cloud Firewall に表示されます。Cloud Firewall Free Edition は、ECS インスタンスまたは SLB インスタンスのパブリック IP アドレスを同期できません。

VPC ファイアウォールを有効にした後、ECS のセキュリティグループルールは影響を受けますか？

いいえ、セキュリティグループルールは影響を受けません。

VPC ファイアウォールを有効にすると、Cloud_Firewall_Security_Group という名前のセキュリティグループとアクセス制御ポリシーが自動的に作成され、VPC ファイアウォールへのトラフィックが許可されます。セキュリティグループは、VPC 間のトラフィックのみを制御します。既存のセキュリティグループルールは影響を受けません。ECS のセキュリティグループルールを移行または変更する必要はありません。

VPC ファイアウォールを作成すると、承認されていないネットワークインスタンスが存在するというメッセージが表示されるのはなぜですか？

原因

CEN インスタンスは別の Alibaba Cloud アカウントに属する VPC に関連付けられており、Cloud Firewall は VPC の Alibaba Cloud アカウントに属するクラウドリソースにアクセスする権限がありません。

解決策

Alibaba Cloud アカウントで Cloud Firewall コンソールにログインし、メッセージが表示されたらサービスロールを使用して、アカウント内のクラウドリソースにアクセスする権限を Cloud Firewall に付与します。詳細については、「Cloud Firewall に他のクラウドリソースへのアクセスを承認する」をご参照ください。

Basic Edition 転送ルータの VPC ファイアウォールを有効にしました。ルーティングポリシーのアクションが拒否に設定されているルーティングポリシーが転送ルータのルートテーブルに追加されるのはなぜですか？

VPC-test という名前で Basic Edition 転送ルータに接続されている VPC の VPC ファイアウォールを作成して有効にすると、VPC ファイアウォール機能は Cloud_Firewall_VPC という名前の VPC を作成し、転送ルータに接続されていてファイアウォールで保護されていない他の VPC のトラフィックを Cloud Firewall にリダイレクトする静的ルートをアドバタイズします。

また、Cloud Firewall は、Cloud_Firewall_VPC 用に作成された ENI を指すネクストホップを持つ静的ルート 0.0.0.0/0 を Cloud_Firewall_VPC のルートテーブルに追加し、ルーティングポリシーのアクションが拒否に設定されているルーティングポリシーを作成します。これにより、VPC-test は CEN によってアドバタイズされたルートを学習しません。VPC-test のアウトバウンドトラフィックは、静的ルートに基づいて Cloud Firewall にリダイレクトされます。

重要

ルーティングポリシーまたはルートテーブルを変更または削除しないでください。変更または削除すると、Cloud Firewall のトラフィックリダイレクト機能が影響を受け、ワークロードが中断されます。

NAT ファイアウォールを有効にした後、Cloud Firewall がルートテーブルを作成し、静的ルート 0.0.0.0/0 をルートテーブルに追加するのはなぜですか？

NAT ファイアウォールを有効にすると、Cloud Firewall は自動的にカスタムルートテーブル Cloud_Firewall_ROUTE_TABLE を作成し、Cloud Firewall によって保護されている関連する NAT ゲートウェイを指す静的ルート 0.0.0.0/0 をカスタムルートテーブルに追加します。さらに、Cloud Firewall は、システムルートテーブル内の静的ルート 0.0.0.0/0 のネクストホップを NAT ファイアウォールの ENI に変更します。これにより、NAT ゲートウェイのアウトバウンドトラフィックが Cloud Firewall にリダイレクトされます。

重要

ルートテーブルを変更または削除しないでください。変更または削除すると、Cloud Firewall のトラフィックリダイレクト機能が影響を受け、ワークロードが中断されます。

Cloud Firewall は、インターネットファイアウォール、NAT ファイアウォール、および DNS ファイアウォールのアクセス制御ポリシーとアウトバウンドトラフィックをどのように照合しますか？

ECS インスタンスがドメイン名にアクセスする場合、インターネットファイアウォール、NAT ファイアウォール、およびドメインネームシステム (DNS) ファイアウォールが有効になっていると、トラフィックは次の手順で照合されます。

ECS インスタンスは DNS リクエストを開始します。DNS リクエストは DNS ファイアウォールを通過し、DNS ファイアウォール用に作成されたアクセス制御ポリシーと照合されます。
ECS インスタンスから発信されたプライベートネットワークトラフィックは NAT ファイアウォールを通過し、NAT ファイアウォール用に作成されたアクセス制御ポリシーと照合されます。
許可されたプライベートネットワークトラフィックは NAT ゲートウェイを通過し、プライベートトラフィックの送信元 IP アドレスは NAT ゲートウェイのパブリック IP アドレスに変換されます。
インターネットトラフィックは NAT ゲートウェイによってインターネットファイアウォールに転送され、インターネットファイアウォール用に作成されたアクセス制御ポリシーと照合されます。
トラフィックは、Cloud Firewall の脅威インテリジェンスルール、基本保護ポリシー、インテリジェンス防御ルール、仮想パッチルールと順番に照合されます。

トラフィックが上記の手順で拒否ポリシーにヒットしない場合、トラフィックはドメイン名に到達します。トラフィックが拒否ポリシーにヒットした場合、トラフィックは拒否され、ドメイン名に到達できません。

NAT ファイアウォールのアクセス制御ポリシーを構成した後も、関連する ECS インスタンスは引き続き telnet コマンドを実行して他のドメイン名にアクセスできます。なぜですか？

EIP は SNAT エントリに関連付けられており、EIP に NAT ファイアウォールが有効になっており、関連する ECS インスタンスが HTTP または HTTPS アプリケーションを使用して TCP 経由で特定のドメイン名にアクセスすることを許可するアクセス制御ポリシーが構成されています。ただし、ECS インスタンスは引き続き telnet コマンドを実行して他のドメイン名にアクセスできます。

原因: telnet コマンドを実行してテストを実行する場合、telnet コマンドには HTTP や HTTPS などのアプリケーションの機能がないため、Cloud Firewall はディープパケットインスペクション (DPI) を使用してトラフィックのアプリケーションを識別できません。この場合、トラフィックのアプリケーションタイプは不明であり、トラフィックは HTTP または HTTPS ポリシーにヒットしません。緩和モードでは、Cloud Firewall がアプリケーションベースまたはドメインベースのアクセス制御ポリシーとトラフィックを照合するときにトラフィックのドメイン名またはアプリケーションタイプが識別されない場合、Cloud Firewall は自動的にトラフィックを許可します。後続のポリシーと照合する場合は、厳格モードを有効にします。
重要
厳格モードはグローバルに構成されます。厳格モードを有効にすると、すべてのトラフィックの照合ロジックが影響を受けます。注意して進めてください。
解決策: telnet コマンドではなく、curl コマンドを実行してテストすることをお勧めします。

インターネットファイアウォールのアクセス制御ポリシーを効率的に有効化および構成するにはどうすればよいですか？

クラウドコンピューティングは、企業のデジタルトランスフォーメーションにとって避けられない選択肢となっています。より広範なクラウドベースのソリューションは、より複雑なビジネスアーキテクチャを構成し、セキュリティ境界はより不明瞭になります。企業は Cloud Firewall を使用して、クラウドネットワーク境界で保護を提供できます。ただし、多数のパブリック IP アドレスが使用されている場合、アクセス制御ポリシーの構成は複雑になります。

Cloud Firewall はインテリジェントポリシーを提供します。Cloud Firewall は、過去 30 日間のトラフィック特性と、クラウドサービスおよび IP アドレスのアクセスとアウトバウンド接続を自動的に学習し、各宛先 IP アドレスまたはドメイン名に適切なアクセス制御ポリシーを自動的に推奨します。これにより、インターネットの露出と侵入のリスクが軽減され、悪意のあるアウトバウンド IP アドレスとドメイン名がブロックされます。

インターネットファイアウォールにインテリジェントアクセス制御ポリシーを適用する方法の詳細については、「インターネットファイアウォールのアクセス制御ポリシーを作成する」をご参照ください。

Enterprise Edition 転送ルータ用に作成できる VPC ファイアウォールの新旧バージョンの違いは何ですか？

Cloud Firewall は、Enterprise Edition 転送ルータ用に作成できる VPC ファイアウォールの特定の機能を調整しました。VPC ファイアウォールが作成されると、ファイアウォール VPC が自動的に作成されます。VPC ファイアウォールが自動トラフィックリダイレクトモードで作成された場合、VPC の所有者はユーザーアカウントからサービスアカウントに変更されます。次のリストは、具体的な違いを示しています。

ファイアウォール VPC の所有者: 新バージョンでは、ファイアウォール VPC はユーザーアカウントに属さなくなりました。ファイアウォール VPC は Cloud Firewall のサービスアカウントに属します。ファイアウォール VPC のリソースと構成を表示または変更することはできず、ファイアウォール VPC はリージョン内の VPC クォータを占有しません。
課金方法: 旧バージョンでは、トラフィックリダイレクト中に転送ルータとサービス VPC 間、および転送ルータとファイアウォール VPC 間のトラフィック転送に対して課金されます。新バージョンでは、ファイアウォール VPC は Cloud Firewall に属します。したがって、転送ルータとファイアウォール VPC 間のトラフィック転送の料金は Cloud Firewall の請求書に含まれています。料金を支払う必要はありません。
VPC ファイアウォールの有効化: VPC ファイアウォールを作成するときに、vSwitch に 3 つの CIDR ブロックを指定する必要はありません。少なくとも 27 ビットの長さで、ネットワークプランと競合しない CIDR ブロックを 1 つだけ指定する必要があります。サブネットは、VPC ファイアウォールを作成するために必要な vSwitch に自動的に割り当てられます。Enterprise Edition 転送ルータの VPC ファイアウォールを構成する方法の詳細については、「Enterprise Edition 転送ルータの VPC ファイアウォールを構成する」をご参照ください。
Enterprise Edition 転送ルータの新バージョンの VPC ファイアウォールを有効にする
重要
自動トラフィックリダイレクトモードのみがサポートされています。Cloud Firewall が従量課金方式を使用していることを確認してください。Cloud Firewall がサブスクリプション課金方式を使用している場合は、バースト対応保護トラフィック機能が有効になっていることを確認してください。
- VPC ファイアウォールが作成されていない場合は、次の手順を実行します。バースト対応保護トラフィック機能を有効にしてから、VPC ファイアウォールを作成します。Cloud Firewall が従量課金方式を使用している場合は、この機能を有効にする必要はありません。
  警告
  上記の手順はこの順序で厳密に実行する必要があります。
- VPC ファイアウォールが作成されている場合は、次の手順を実行します。
  - VPC ファイアウォール用に作成されたトラフィックリダイレクトシナリオを削除してから、VPC ファイアウォールを削除します。
  - バースト対応保護トラフィック機能を有効にします。
  - VPC ファイアウォールとトラフィックリダイレクトシナリオを作成します。
- バースト対応保護トラフィック機能を有効にする方法の詳細については、「バースト対応保護トラフィック」をご参照ください。

アセットを VPC ファイアウォールに追加するときにレイテンシは発生しますか？

はい、アセットを VPC ファイアウォールに追加するときにレイテンシが発生します。

アセットと VPC ファイアウォールが同じリージョンの異なるゾーンにある場合、4 ～ 8 ミリ秒のレイテンシが発生します。アセットと VPC ファイアウォールが同じゾーンにある場合、2 ～ 3 ミリ秒のレイテンシが発生します。