すべてのプロダクト
Search

このプロダクト

    Elastic Compute Service:送信元/送信先チェック

    ドキュメントセンター

    Elastic Compute Service:送信元/送信先チェック

    最終更新日:Jun 22, 2026

    攻撃者は IP スプーフィングを利用して、偽造された送信元 IP アドレスを持つパケットを送信し、トラフィックが信頼できるネットワークから発信されたかのように見せかけることがあります。Elastic Network Interface (ENI) の送信元/送信先チェックを有効にすることで、これらの攻撃を防ぎ、ネットワークセキュリティを強化します。

    送信元/送信先チェックの概要

    ENI の送信元/送信先チェックが有効になっている場合、ENI は自身の IP アドレス宛のパケットのみを受け入れ、自身の IP アドレスから発信されるパケットのみを送信します。無効になっている場合、ENI はパケットの送信元または送信先の IP アドレスを検証しません。

    説明

    セキュリティと安定性の向上のため、2025 年 4 月 22 日より、新規インスタンスおよび ENI ではこの機能が段階的にデフォルトで有効になります。詳細については、「お知らせ」をご参照ください。

    送信元/送信先チェックを有効にするメリット

    • IP スプーフィングの防止：この機能は、パケットの送信元 IP アドレスが送信元デバイスの IP アドレスと一致することを検証し、IP スプーフィング攻撃を防ぎます。

    • セキュリティの強化：送信元/送信先チェックを有効にすると、不正なデータ送信のリスクが低減します。これは、インスタンスが他のサービスのパケットをルーティングするのを防ぎたい場合に役立ちます。このチェックを有効にすると、インスタンス自身が生成した、またはインスタンス自身を宛先とするトラフィックのみが処理され、潜在的なセキュリティ脆弱性を防ぐのに役立ちます。

    • ネットワークの安定性と効率の維持：この機能は、不適切なルーティングによるデータフローの中断を防ぎ、ネットワークの安定性に貢献し、リソースの利用効率を向上させます。

    送信元/送信先チェックだけでは、すべての種類のネットワーク脅威から保護するには不十分であることにご注意ください。包括的な保護のためには、ビジネスニーズに基づき、セキュリティグループ設定、ネットワーク ACL、SSL/TLS 暗号化、認証メカニズム、DDoS 保護、重要データのバックアップなど、他のテクノロジーや戦略とこの機能を組み合わせて、ネットワークをさまざまな形の攻撃から保護してください。

    サポートリージョン

    送信元/送信先チェック機能は、以下のリージョンでのみ利用可能です。他のリージョンでは、この機能はデフォルトで無効になっています。

    クリックしてサポートリージョンの一覧を表示

    エリア

    リージョン名

    リージョン ID

    アジア太平洋 - 中国

    中国 (青島)

    cn-qingdao

    中国 (北京)

    cn-beijing

    中国 (張家口)

    cn-zhangjiakou

    中国 (フフホト)

    cn-huhehaote

    中国 (ウランチャブ)

    cn-wulanchabu

    中国 (杭州)

    cn-hangzhou

    中国 (上海)

    cn-shanghai

    中国 (南京 - ローカルリージョン)

    cn-nanjing

    中国 (福州 - ローカルリージョン)

    cn-fuzhou

    中国 (深セン)

    cn-shenzhen

    中国 (河源)

    cn-heyuan

    中国 (広州)

    cn-guangzhou

    中国 (成都)

    cn-chengdu

    中国 (香港)

    cn-hongkong

    中国 (武漢 - ローカルリージョン)

    cn-wuhan-lr

    アジア太平洋 - その他

    シンガポール

    ap-southeast-1

    マレーシア (クアラルンプール)

    ap-southeast-3

    インドネシア (ジャカルタ)

    ap-southeast-5

    フィリピン (マニラ)

    ap-southeast-6

    タイ (バンコク)

    ap-southeast-7

    日本 (東京)

    ap-northeast-1

    韓国 (ソウル)

    ap-northeast-2

    ヨーロッパおよびアメリカ

    米国 (バージニア)

    us-east-1

    米国 (シリコンバレー)

    us-west-1

    メキシコ

    na-south-1

    ドイツ (フランクフルト)

    eu-central-1

    英国 (ロンドン)

    eu-west-1

    中東

    アラブ首長国連邦 (ドバイ)

    me-east-1

    送信元/送信先チェックを無効にするケース

    以下のシナリオでは、送信元/送信先チェックを無効にしてください：

    • 複数の ENI を利用するシナリオ：複数の ENI を持つインスタンスでは、パケットがあるネットワークインターフェイス (例： eth1) から入り、別のネットワークインターフェイス (例： eth0) から出ることがあります。プライマリ ENI で送信元/送信先チェックが有効になっている場合、セカンダリ Elastic Network Interface のトラフィックに影響を与える可能性があります。

      この問題を解決するには、インスタンスに ENI をアタッチした後にポリシーベースルーティングを設定してください。詳細については、「ENI のポリシーベースルーティングの設定」をご参照ください。

    • ネットワークアドレス変換：ネットワークアドレス変換 (NAT) デバイスとして機能するインスタンスは、ネットワーク内の他のインスタンスからパケットを受信し、それらをインターネットや他のネットワークに転送する必要があります。この場合、トラフィックを通過させるために送信元/送信先チェックを無効にする必要があります。

    • ルーター：インスタンスがネットワークルーターとして設定されている場合、自身宛のトラフィックだけでなく、すべてのトラフィックを処理する必要があります。この場合、インスタンスがパケットを正しく転送するには、送信元/送信先チェックを無効にする必要があります。

    • カスタムロードバランサー：インスタンスがカスタムロードバランサーとして機能する場合、クライアントのリクエストを受信し、それを異なるバックエンドサーバーに分散させる必要があります。この状況でも、このトラフィックパターンを許可するために送信元/送信先チェックを無効にする必要があります。

    • VPN エンドポイント：インスタンスが VPN サーバーとして使用される場合、異なるネットワークからのパケットを処理する必要があり、これらのパケットを通過させるために送信元/送信先チェックを無効にする必要があります。

    • 高度なネットワークアーキテクチャ：特定のトラフィック制御ルールの実装、特別なファイアウォールソリューションの統合、または詳細なネットワーク監視の実行など、より複雑なネットワーク設計の場合、特定の要件を満たすために送信元/送信先チェックを無効にする必要がある場合もあります。

    送信元/送信先チェックの設定

    ENI 作成時の設定

    お使いのシナリオが送信元/送信先チェックを無効にする必要があるシナリオのいずれかに該当しない限り、ネットワークセキュリティを向上させるためこの機能を有効にすることを推奨します。

    インスタンスとの同時作成

    Elastic Compute Service (ECS) インスタンスを購入する際、インスタンスと同時に作成されるプライマリ ENI およびセカンダリ Elastic Network Interface の送信元/送信先チェックを有効または無効にできます。詳細については、「ウィザードを使用したインスタンスの作成」をご参照ください。インスタンス購入ページで、[ネットワーキングとセキュリティグループ] セクションにある [送信元/送信先チェック] オプションを見つけてください。デフォルトでは、この機能は無効になっています。

    説明

    • 一部の ECS インスタンスタイプは、インスタンス作成時のセカンダリ Elastic Network Interface のアタッチをサポートしていません。インスタンス作成後に ENI をアタッチできます。詳細については、「ENI をアタッチする前に停止する必要がある ECS インスタンスタイプ」をご参照ください。

    • インスタンスを購入する際、最大で 2 つの ENI、すなわちプライマリ ENI 1 つ (自動的に割り当てられます) とセカンダリ Elastic Network Interface 1 つをアタッチできます。

    スタンドアロン

    スタンドアロン ENI を作成する際に送信元/送信先チェックを設定し、その後に ENI をインスタンスにアタッチできます。詳細については、「ENI の作成と使用」をご参照ください。

    説明

    また、CreateNetworkInterface API を呼び出すこともできます。ENI を作成する際に、SourceDestCheck パラメーターを true に設定して機能を有効にするか、false に設定して無効にすることができます。

    チェック設定の変更

    ENI の作成後、その送信元/送信先チェック機能を有効または無効にすることができます。

    コンソール

    1. ECS コンソール - ENI に移動します。

    2. 上部メニューで、対象 ENI のリージョンとリソースグループを選択します。

    3. 対象 ENI の ID をクリックして、その詳細ページに移動します。

    4. 送信元/送信先チェック機能のステータスを表示および変更できます。

      ENI の詳細ページの [基本情報] セクションで、[送信元/送信先チェック] フィールドを見つけ、その横にある [有効化] または [無効化] リンクをクリックしてステータスを変更してください。

    API

    • ModifyNetworkInterfaceAttribute API を呼び出します。NetworkInterfaceId で指定された ENI に対して、SourceDestCheck パラメーターを true に設定して送信元/送信先チェックを有効にするか、false に設定して無効にします。

    • 変更が成功した後、DescribeNetworkInterfaceAttribute API を呼び出し、NetworkInterfaceId で指定された ENI の属性をクエリします。レスポンスの SourceDestCheck パラメーターは、機能が有効な場合は true、無効な場合は false になります。