Server Load Balancer:アクセス制御

ホワイトリストで、すべての IP が許可されるのはなぜですか？

原因：リスナーでアクセス制御が無効になっているか、関連付けられている ACL が空です (空の ACL はすべてのトラフィックを許可します)。

解決策: CLB インスタンスの リスナー タブに移動します。対象リスナーの アクセス制御 列に 有効 と表示されていること、および関連付けられた ACL に IP エントリが含まれていることを確認します。

ブラックリストで IP をブロックできないのはなぜですか？

原因：リクエストがプロキシ (CDN または Web Application Firewall (WAF)) を経由する場合、CLB は実際のクライアント IP ではなく、プロキシのバックツーソース IP を認識します。そのため、ブラックリストルールが一致しません。

解決策：プロキシ層 (CDN または WAF) でブラックリストを設定します。クライアントがプロキシをバイパスできる場合は、プロキシのバックツーソース IP 範囲のみを許可する CLB ホワイトリストを追加します。

レイヤー 7 リスナーで Nginx の allow/deny ルールが有効にならないのはなぜですか？

原因：CLB のレイヤー 7 リスナーは、100.64.0.0/10 の範囲にあるプライベート IP からのトラフィックを転送します。Nginx の allow/deny ルールは送信元 IP に基づいて動作するため、実際のクライアント IP でフィルタリングできません。

解決策：

• (推奨) CLB のアクセス制御を使用して、インスタンス上で直接ホワイトリストまたはブラックリストを設定します。

• Nginx で、X-Forwarded-For ヘッダーからクライアントのリアル IP を抽出し、それに応じて許可/拒否ルールを設定します。詳細については、「CLB レイヤー 7 リスナーを介してバックエンドサーバーでクライアントのリアル IP を取得する」をご参照ください。

ECS のセキュリティグループで CLB トラフィックをブロックできないのはなぜですか？

原因：CLB は、バックエンドの Elastic Compute Service (ECS) インスタンスとの通信に 100.64.0.0/10 の範囲を使用します。設計上、ECS のセキュリティグループのインバウンドルールは、この範囲からのトラフィックを制限しません。

解決策：リクエストがバックエンドサーバーに到達する前に、CLB の ACL を設定してクライアント IP に基づきリクエストをブロックします。

リクエストがブロックされた場合はどうなりますか？

説明：CLB は、ブロックされたリクエストをレスポンスを返さずに破棄します。クライアント側では接続タイムアウトが発生します。

ホワイトリストは DDoS 対策になりますか？

説明：いいえ。DDoS トラフィックはアクセス制御層に到達する前にインスタンスの帯域幅を消費します。深刻な攻撃では、ブラックホール化が発生する可能性があります。

推奨：Anti-DDoS を使用してください。

CLB のアクセス制御 (ブラックリスト/ホワイトリスト) が有効にならないのはなぜですか？

説明：アクセス制御スイッチが無効のまま、ACL がリスナーに関連付けられている場合があります。ACL を設定しただけではアクセス制御は有効になりません。また、Cloud Firewall のポートルール、Anti-DDoS Origin の保護、または複数層のプロキシによる実際のクライアント IP のマスキングにより、アクセス制御が想定どおりに動作しない場合があります。次の手順を優先順位の高い順に実施してください。

ステップ 1: アクセス制御が有効になっていることを確認します。 CLB インスタンスの リスナー タブに移動します。 アクセス制御 列で、リスナーのステータスが 有効 と表示されていることを確認します。 アクセス制御スイッチがオフのままでも、リスナーに ACL ポリシーグループが存在する場合があります。 スイッチが無効になっている場合は、有効化 をクリックし、アクセス制御タイプとして ホワイトリスト または ブラックリスト を選択し、ACL ポリシーグループを関連付け、保存 をクリックします。

手順 2：Cloud Firewall のポートルールを確認します。 アカウントで Cloud Firewall が有効になっている場合は、Cloud Firewall コンソールにログインし、ネットワークアクセス制御ポリシーで CLB リスナーポートが許可されていることを確認します。CLB のアクセス制御が正しく有効になっている場合でも、Cloud Firewall はポート上のトラフィックを独立してブロックできます。

手順 3：Anti-DDoS Origin の設定を確認します。 CLB インスタンスの前段に Anti-DDoS がある場合、Anti-DDoS 層の保護ルールにより、CLB 側のブラックリストエントリが上書きされることがあります。この場合は、CLB ではなく Anti-DDoS インスタンスでブラックリストとホワイトリストのルールを設定します。

手順 4：実際のクライアント IP を特定します。 リクエストが複数のプロキシ層を通過する場合、CLB は上流プロキシの IP のみを認識し、実際のクライアント IP は認識できないため、アクセス制御ルールが一致しない可能性があります。実際のクライアント IP を特定するには、CLB のアクセス制御を一時的に無効化し、バックエンドサーバーまたはアプリケーションログを確認して実際の送信元 IP を特定し、それを ACL に追加したうえで、アクセス制御を再度有効化します。

CLB はクライアント IP ごとのレート制限をサポートしていますか？

いいえ。CLB のアクセス制御は、IP アドレスおよび CIDR ブロックを許可または拒否 (ホワイトリストまたはブラックリスト) する基準で評価します。単一の IP アドレスからの 1 秒あたりのリクエスト数など、IP ごとのリクエストレートの制限はサポートしていません。

IP ごとのリクエストレートを制限するには、Web Application Firewall (WAF) のカスタムルールを使用し、クライアント IP に基づいて指定した時間枠内のリクエスト数のしきい値を設定します。特定の異常な IP アドレスのみをブロックする必要がある場合は、それらの IP アドレスまたは CIDR ブロックをアクセス制御で CLB のブラックリストに追加します。