Server Load Balancer:アクセス制御

ホワイトリストがすべての IP を許可してしまうのはなぜですか？

原因：リスナーでアクセス制御が無効になっているか、関連付けられた ACL が空であるためです (空の ACL はすべてのトラフィックを許可します)。

解決策: お使いの CLB インスタンスのリスナー タブに移動します。対象のリスナーのアクセス制御 列に有効と表示されていること、および関連付けられた ACL に IP エントリが含まれていることを確認します。

ブラックリストが IP をブロックできないのはなぜですか？

原因：リクエストがプロキシ (CDN または WAF) を経由すると、CLB はリアルクライアント IP ではなくプロキシのバックツーソース IP を認識するため、ブラックリストのルールが一致しません。

解決策：プロキシレイヤー (CDN または WAF) でブラックリストを設定します。クライアントがプロキシをバイパスできる場合は、プロキシのバックツーソース IP 範囲のみを許可する CLB ホワイトリストを追加します。

レイヤー 7 リスナーで Nginx の allow/deny ルールが有効にならないのはなぜですか？

原因：CLB のレイヤー 7 リスナーは、100.64.0.0/10 の範囲のプライベート IP からトラフィックを転送します。Nginx の allow/deny ルールはソース IP に基づいて照合するため、リアルクライアント IP によるフィルタリングはできません。

解決策：

• (推奨) CLB のアクセス制御を使用して、インスタンス上で直接ホワイトリストまたはブラックリストを設定します。

• Nginx で、X-Forwarded-For ヘッダーからリアルクライアント IP を抽出し、それに応じて allow/deny ルールを設定します。詳細については、「CLB レイヤー 7 リスナーを介してバックエンドサーバーでリアルクライアント IP を取得する」をご参照ください。

ECS セキュリティグループが CLB トラフィックをブロックできないのはなぜですか？

原因：CLB は 100.64.0.0/10 の IP 範囲を使用してバックエンドの ECS インスタンスと通信します。設計上、ECS セキュリティグループのインバウンドルールは、この IP 範囲からのトラフィックを制限しません。

解決策：CLB の ACL を設定して、リクエストがバックエンドサーバーに到達する前にクライアント IP でブロックします。

リクエストがブロックされるとどうなりますか？

説明：CLB はブロックされたリクエストを破棄し、レスポンスを返しません。クライアント側では接続タイムアウトが発生します。

ホワイトリストでDDoS攻撃を防ぐことはできますか？

説明：いいえ。DDoS トラフィックは、アクセス制御レイヤーに到達する前にインスタンスの帯域幅を消費します。深刻な攻撃はブラックホール状態を引き起こす可能性があります。

推奨事項：Anti-DDoS を使用することを推奨します。

CLB のアクセス制御 (ブラックリスト/ホワイトリスト) が有効にならないのはなぜですか？

説明：リスナーに ACL ポリシーグループがアタッチされていても、アクセス制御のスイッチが無効になっている場合があります。ポリシーグループを設定するだけではアクセス制御は有効になりません。さらに、Cloud Firewall のポートルール、Anti-DDoS Origin Protection、またはリアルクライアント IP をマスキングする多層プロキシなどが、それぞれ独立してアクセス制御が期待どおりに機能しない原因となる可能性があります。以下の手順を優先順位に従って実行してください。

ステップ 1: アクセス制御が有効になっていることを確認します。 CLB インスタンスの リスナー タブに移動します。 アクセス制御 列で、リスナーのステータスが 有効 と表示されていることを確認します。 アクセス制御スイッチがオフのままでも、リスナーに ACL ポリシーグループが存在する場合があります。 スイッチが無効になっている場合は、有効化 をクリックし、アクセス制御タイプとして ホワイトリスト または ブラックリスト を選択し、ACL ポリシーグループを関連付け、保存 をクリックします。

ステップ 2：Cloud Firewall のポートルールを確認する。アカウントで Cloud Firewall が有効になっている場合、Cloud Firewall コンソールにログインし、ネットワークアクセス制御ポリシーで CLB リスナーポートが許可されていることを確認します。Cloud Firewall は、CLB のアクセス制御が正しく有効になっていても、ポート上のトラフィックを独立してブロックできます。

ステップ 3：Anti-DDoS Origin の設定を確認する。CLB インスタンスの前段に Anti-DDoS が配置されている場合、Anti-DDoS レイヤーの保護ルールが CLB 側のブラックリスト エントリを上書きすることがあります。この場合、ブラックリストとホワイトリストのルールを CLB ではなく Anti-DDoS インスタンスで設定します。

ステップ 4：リアルクライアント IP を特定する。リクエストが複数のプロキシレイヤーを通過すると、CLB はリアルクライアント IP ではなく、上位のプロキシ IP のみを認識するため、アクセス制御ルールが一致しない場合があります。リアルクライアント IP を特定するには、一時的に CLB のアクセス制御を無効にし、バックエンドサーバーまたはアプリケーションのログを確認して実際のソース IP を特定し、それを ACL に追加してから、アクセス制御を再度有効にします。