Windows Elastic Compute Service (ECS) インスタンスのファイアウォールルールの設定 - Elastic Compute Service

Windows Elastic Compute Service (ECS) インスタンスで Windows Defender ファイアウォールを設定し、アプリケーション、ポート、IP アドレスを許可またはブロックします。

前提条件

以下をご用意ください：

Windows Server を実行している ECS インスタンス。
VNC を使用してインスタンスに接続するためのアクセス権。

設定の使い分け

設定	動作	使用場面
ファイアウォール経由のアプリケーションの許可	アプリケーションの実行中のみポートを開放します	アプリケーションがファイアウォールによってブロックされている場合
特定のローカルポートへのアクセスの許可またはブロック	ポートを永続的に開放または閉鎖します	未使用のサービスをブロックします (例：FTP が不要な場合にポート 21 を拒否します)
特定の IP アドレスからのアクセスの許可またはブロック	アプリケーション、サービス、またはポートにアクセスできる IP アドレスを制限します	信頼できる IP アドレスのみにアクセスを制限する場合

Windows Defender ファイアウォール経由のアプリケーションの許可

ポートを永続的に開放することなく、特定のアプリケーションがインバウンド接続を受け入れられるようにします。

VNC を使用して Windows ECS インスタンスに接続します。
[スタート] > [コントロールパネル] > [システムとセキュリティ] > [Windows Defender ファイアウォール] の順に移動します。
左側メニューで、 [Windows Defender ファイアウォールを介したアプリまたは機能を許可] をクリックします。
[別のアプリを許可] をクリックします。
[アプリの追加] ダイアログボックスの [アプリ] セクションで、対象のアプリケーションをダブルクリックします。アプリケーションが一覧にない場合は、 [参照] をクリックしてアプリケーションファイルを探します。

特定のローカルポートへのアクセスの許可またはブロック

インバウンドルールを作成して、特定のポートでのトラフィックを永続的に許可または拒否します。たとえば、ポート 21 を拒否して FTP を無効にします。

説明

このルールはポートを永続的に開放または閉鎖します。意図的に公開またはブロックしたいサービスに関連付けられたポートにのみ使用してください。アプリケーション固有の制御については、代わりに「Windows Defender ファイアウォール経由のアプリケーションの許可」を使用してください。

VNC を使用して Windows ECS インスタンスに接続します。
[スタート] > [コントロールパネル] > [システムとセキュリティ] > [Windows Defender ファイアウォール] の順に移動します。
[詳細設定] をクリックします。
左側メニューで [インバウンドルール] をクリックします。右側の [操作] ウィンドウで [新しい規則] をクリックします。
ウィザードに従って規則を作成します。
1. [規則の種類] で [ポート] を選択し、 [次へ] をクリックします。
2. [プロトコルおよびポート] ステップで、 [TCP] または [UDP] を選択し、 [特定のローカルポート] を選択してポート番号 (例：8080) を入力し、 [次へ] をクリックします。
3. [操作] ステップで、 [接続を許可する] または [接続をブロックする] を選択し、 [次へ] をクリックします。
4. [プロファイル] ステップで、適用するプロファイルを選択し、 [次へ] をクリックします。
  
  説明
  デフォルトではすべてのプロファイルが選択されています。ネットワーク環境に応じて調整してください。
5. [名前] ステップで、規則の名前と説明を入力し、 [完了] をクリックします。

特定の IP アドレスからのアクセスの許可またはブロック

特定の IP アドレスまたは CIDR ブロックからのインバウンドトラフィックを制限します。ルールの操作によって効果が決まります：

[接続を許可する] — 一覧表示された IP アドレスは、対象のアプリケーション、サービス、またはポートにアクセスできます。
[接続をブロックする] — 一覧表示された IP アドレスは、対象のアプリケーション、サービス、またはポートにアクセスできません。

既存のルールにスコープを適用するか、新しいルールを作成するときに設定します。

既存のインバウンドルールへのスコープの適用

作成済みのルールに IP ベースのフィルタリングを追加します。

VNC を使用して Windows ECS インスタンスに接続します。
[スタート] > [コントロールパネル] > [システムとセキュリティ] > [Windows Defender ファイアウォール] の順に移動します。
[詳細設定] をクリックします。
[インバウンドルール] をクリックし、更新するルールを右クリックして [プロパティ] を選択します。
[スコープ] タブの [リモート IP アドレス] で、 [これらの IP アドレス] を選択し、 [追加] をクリックします。
IP アドレスまたは CIDR ブロック（たとえば、オンプレミスのコンピューターのパブリック IP）を入力し、[OK] をクリックします。

説明
[追加] を再度クリックすると、さらに IP アドレスまたは CIDR ブロックを追加できます。

[IP アドレス] ダイアログボックスで、[この IP アドレスまたはサブネット] を選択します。
[OK] をクリックします。これで、ルールは指定した IP アドレスまたは CIDR ブロックにのみ適用されます。

スコープを持つルールの作成

特定のポートと特定の IP アドレスの両方を対象とする新しいルールを作成します。

VNC を使用して Windows ECS インスタンスに接続します。
[スタート] > [コントロールパネル] > [システムとセキュリティ] > [Windows Defender ファイアウォール] の順に移動します。
[詳細設定] をクリックします。
左側メニューで [インバウンドルール] をクリックします。右側の [操作] ウィンドウで [新しい規則] をクリックします。
ウィザードに従って規則を作成します。
1. [規則の種類] で [カスタム] を選択し、 [次へ] をクリックします。
2. [プログラム] ステップで、 [すべてのプログラム] または [このプログラムのパス] を選択し、 [次へ] をクリックします。
  
  説明
  [すべてのプログラム] はルールをすべてのプログラムに適用します。[このプログラムのパス] は単一のプログラムに適用します。
3. [プロトコルおよびポート] ステップで、ポートとプロトコルを指定し、 [次へ] をクリックします。
  
  このステップの設定項目は次のとおりです。
  - [プロトコルの種類]：この例では [任意] に設定
  - [ローカルポート]：この例では [すべてのポート] に設定
  - [リモートポート]：この例では [すべてのポート] に設定
4. [スコープ] ステップの [この規則はどのリモート IP アドレスに適用されますか?] で、 [これらの IP アドレス] を選択し、 [追加] をクリックします。
5. IP アドレスまたは CIDR ブロック (例：オンプレミスのコンピューターのパブリック IP) を入力して [OK] をクリックし、 [次へ] をクリックします。
  
  説明
  [追加] を再度クリックすると、さらに IP アドレスまたは CIDR ブロックを追加できます。
6. [操作] ステップで、 [接続を許可する] または [接続をブロックする] を選択し、 [次へ] をクリックします。
7. [プロファイル] ステップで、適用するプロファイルを選択し、 [次へ] をクリックします。
  
  説明
  デフォルトではすべてのプロファイルが選択されています。ネットワーク環境に応じて調整してください。
8. [名前] ステップで、規則の名前と説明を入力し、 [完了] をクリックします。

次のステップ

インスタンスに接続できない場合は、リモート接続を許可するルールを追加します。詳細については、「Windows インスタンスのシステムファイアウォールの管理」をご参照ください。
ファイアウォールの設定を確認しても接続に失敗する場合は、「Windows インスタンスへのリモート接続の失敗のトラブルシューティング」および「RDP 接続の問題」をご参照ください。