Server Load Balancer:アクセス制御

ホワイトリストが機能しない

原因： ACL がリスナーに関連付けられていないか、ACL に IP エントリがありません。空の ACL はすべてのトラフィックを許可します。

ソリューション： ALB インスタンスの リスナー タブで、ターゲットリスナーの アクセス制御 列に 有効 と表示されていることを確認します。また、関連付けられた ACL に IP エントリが含まれていることも確認します。

ホワイトリストに 0.0.0.0/0 を追加できない

原因： ACL は 0.0.0.0/0 エントリの追加をサポートしていません。コンソールでフォーマットエラーが報告されます。

ソリューション： 正しい方法は、アクセス制御を無効化し、必要なときに再度有効化することです。

ブラックリストが機能しない

原因： リクエストが CDN または WAF を介して ALB に転送されています。ALB に見える送信元 IP は、実際のクライアント IP アドレスではなく、CDN または WAF の送信元 IP です。

ソリューション： ALB のアクセス制御はレイヤー 4 で動作し、リクエストパケットの送信元 IP アドレスにのみ一致します。リクエストが CDN や WAF などのプロキシによって転送される場合、送信元 IP はプロキシの送信元 IP になります。そのため、ALB のブラックリストではクライアント IP アドレスをブロックできません。WAF または CDN レイヤーでブラックリストを設定してください。

ブラックリストで X-Forwarded-For の IP をブロックできない

原因： ALB のアクセス制御はレイヤー 4 で動作し、リクエストパケットの送信元 IP アドレスにのみ一致します。レイヤー 7 の X-Forwarded-For HTTP ヘッダーは解析しません。

ソリューション： WAF のカスタムルールを使用することでこれを実装できます。マッチフィールド を X-Forwarded-For、論理記号 を 次を含む、マッチコンテンツ をターゲット IP アドレス、Rule Action を 遮断 に設定します。詳細については、「カスタムルールの一致条件の設定」をご参照ください。

バックエンド NGINX の allow/deny ルールが機能しない

原因： トラフィックが ALB を経由してプロキシされると、バックエンドサーバーは送信元 IP として ALB インスタンスのローカル IP (ALB インスタンスが存在する vSwitch から割り当てられたプライベート IP アドレス) を受信します。NGINX の allow/deny ルールはこの送信元 IP に基づいているため、クライアントの IP アドレスと一致させることができません。

ソリューション：

• (推奨) ALB のアクセス制御機能を使用して、ALB レイヤーで直接 IP ホワイトリストまたはブラックリストを設定します。

• NGINX で、X-Forwarded-For リクエストヘッダーから実際のクライアント IP アドレスを取得し、実際の IP アドレスに基づいて allow/deny ルールを設定します。

ドメインまたはパスによるアクセス制限

説明： ACL はリスナーレベルで動作し、ドメイン名やパスで区別することはできません。有効にすると、ACL はリスナーに関連付けられているすべてのドメインに影響します。

代替ソリューション： Standard または WAF 有効の ALB インスタンスでは、転送ルールを使用できます。転送条件で、ドメイン名/パス と SourceIp の条件を設定して、一致するリクエストに対して 固定レスポンスを返す (403 など) ようにします。単一の転送ルールの SourceIp 条件は、最大 5 つの IP アドレスまたは CIDR ブロックをサポートし、0.0.0.0/x 形式はサポートしていません。IP アドレスの数が多い場合や、Basic ALB インスタンスを使用している場合は、WAF の使用を推奨します。WAF でカスタムルールを作成して、ホスト/パスと IP 条件を組み合わせてアクセス制御を行うことができます。

海外からの IP アドレスのブロック

説明： ALB のアクセス制御はジオブロッキング機能を提供しておらず、IP アドレスの国を自動的に識別することはできません。

代替ソリューション： 既知の海外 IP 範囲を手動でブラックリストに追加することはできますが、この方法は自動的に更新されず、エントリ数の制限を受けます。WAF のジオブロッキング機能の使用を推奨します。