Server Load Balancer:アクセス制御

ホワイトリストがすべての IP を許可してしまう

原因：ACL がリスナーに関連付けられていない (アクセス制御が無効になっている)、または ACL に IP エントリが含まれていない (空の ACL はすべてのトラフィックを許可する) ためです。

解決策：CLB インスタンスの リスナー タブに移動します。対象リスナーの アクセス制御 列に 有効 と表示されていること、および関連付けられた ACL に IP エントリが含まれていることを確認してください。

ブラックリストで IP をブロックできない

原因：リクエストが CDN や WAF などのプロキシ経由で CLB に転送されると、CLB が認識する送信元 IP アドレスは実際のクライアント IP ではなく、プロキシのバックツーソース IP になります。そのため、ブラックリストのルールが適用されません。

解決策：プロキシレイヤー (CDN または WAF) で IP ブラックリストを設定します。クライアントがプロキシをバイパスして CLB に直接アクセスできる場合は、CLB でホワイトリストを設定し、プロキシのバックツーソース IP 範囲からのアクセスのみを許可します。

レイヤー 7 リスナーで Nginx の allow/deny ルールが効かない

原因：トラフィックが CLB のレイヤー 7 リスナーを通過した後、バックエンドサーバーは CLB のプライベート IP (100.64.0.0/10 CIDR ブロックから) からのリクエストを受け取ります。送信元 IP に基づく Nginx の allow/deny ルールは、実際のクライアント IP と一致しません。

解決策：

• (推奨) CLB のアクセス制御機能を使用して、CLB インスタンスに直接 IP ホワイトリストまたはブラックリストを設定します。

• Nginx で、X-Forwarded-For リクエストヘッダーから実際のクライアント IP を取得し、実際のクライアント IP に基づいて allow/deny ルールを設定します。設定の詳細については、「CLB のレイヤー 7 リスナーを介してバックエンドサーバーで実際のクライアント IP を取得する」をご参照ください。

ECS のセキュリティグループで CLB のトラフィックをブロックできないのはなぜですか？

原因：CLB は 100.64.0.0/10 CIDR ブロックを使用してバックエンドの ECS インスタンスと通信します。設計上、この CIDR ブロックからのトラフィックは、ECS セキュリティグループのインバウンドルールによって制限されません。

解決策：クライアント IP アドレスに基づいてアクセスを制限するには、CLB で ACL を設定し、リクエストがバックエンドサーバーに転送される前にブロックします。

ブロックされたリクエストに対するクライアントの応答

説明：CLB のアクセス制御によってリクエストがブロックされると、リクエストは破棄され、応答は返されません。クライアント側では接続タイムアウトが発生します。

ホワイトリストは DDoS 対策になりますか？

説明：いいえ。CLB のアクセス制御は DDoS 攻撃を防ぐことはできません。DDoS 攻撃によるトラフィックは、アクセス制御レイヤーに到達する前にインスタンスの帯域幅リソースを消費します。深刻な攻撃はブラックホールを引き起こす可能性があります。

推奨：Anti-DDoS を使用してください。