Server Load Balancer:セキュリティグループのブラックリスト/ホワイトリストとしての使用

シナリオ例

デフォルトでは、NLB インスタンスがセキュリティグループに関連付けられているかどうかにかかわらず、そのリスナーポートはすべてのインバウンドリクエストを受け付けます。許可ルールのみを持つセキュリティグループを追加しても、この動作は変わりません。特定の IP アドレスへのアクセスを制限するには、セキュリティグループに少なくとも 1 つの拒否ルールを追加する必要があります。

NLB セキュリティグループはインバウンドトラフィックにのみ適用されます。アウトバウンドトラフィック (クライアントリクエストへの応答) は決して制限されないため、アウトバウンドルールは不要です。

以下のシナリオで、ホワイトリストとブラックリストがどのように機能するかを説明します。詳細については、「セキュリティグループのルール」をご参照ください。

ブラックリストは、特定のIPアドレスからのアクセスを拒否します。

ホワイトリストは、特定のIPアドレスからのアクセスのみを許可します。

制限事項

前提条件

4 つの Elastic Compute Service (ECS) インスタンスを作成します。ECS インスタンスの作成方法の詳細については、「ECS インスタンスの購入」をご参照ください。

• ECS01 と ECS02 は、NLB インスタンスのバックエンドサーバーとして使用します。アプリケーションは ECS01 と ECS02 にデプロイされます。

  以下のサンプルコマンドを使用して、ECS01 と ECS02 にテストアプリケーションをデプロイします。

  ECS01 にアプリケーションをデプロイするためのコマンド

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS01." > index.html
  

  ECS02 にアプリケーションをデプロイするためのコマンド

  yum install -y nginx
  systemctl start nginx.service
  cd /usr/share/nginx/html/
  echo "Hello World ! This is ECS02." > index.html
  

• ECS03 と ECS04 は、NLB インスタンスにアクセスするために使用する、インターネットに接続可能なインスタンスです。既存の Linux サーバーを使用して NLB インスタンスにアクセスすることもできます。その場合、ECS03 と ECS04 を作成する必要はありません。

• ドメイン名の登録、ドメイン名のインターネットコンテンツプロバイダー (ICP) 番号の取得、およびカスタムドメイン名を NLB インスタンスのドメイン名にマッピングするための CNAME レコードの作成が完了している必要があります。詳細については、「ドメイン名の登録」、「ICP申請プロセス」、および「ステップ 4：DNS レコードの作成」をご参照ください。

  次の表に、このトピックで使用される ECS インスタンスの設定を示します。

  インスタンス	ECS 設定	VPC	IP アドレス	手順
  ECS01	インスタンスタイプ：ecs.u1-c1m1.large CPU とメモリ：2 vCPU と 2 GiB のメモリ オペレーティングシステム：Alibaba Cloud Linux 3.2104 LTS 64-bit ネットワークタイプ：VPC	VPC01	プライベート：192.168.0.24 パブリック：割り当てなし	NLB インスタンスのバックエンドサーバーとして使用します。
  ECS02			プライベート：192.168.0.37 パブリック：割り当てなし
  ECS03		VPC02	プライベート：192.168.0.25 パブリック：47.xx.xx.55	NLB インスタンスにアクセスするためのクライアントとして使用します。
  ECS04			プライベート：192.168.0.26 パブリック：101.xx.xx.251

ステップ 1：サーバーグループの作成

1. NLBコンソールにログインします。

2. 上部メニューで、サーバーグループを作成するリージョンを選択します。この例では、[中国 (杭州)] を選択します。

3. 左側のナビゲーションウィンドウで、NLB > サーバーグループを選択します。

3. サーバーグループ ページで、サーバーグループの作成 をクリックします。

4. サーバーグループの作成 ダイアログボックスで、次のパラメーターを設定し、作成 をクリックします。

   サーバーグループを作成するための主要なパラメーターを次の表に示します。他のパラメーターにはデフォルト値を使用します。詳細については、「サーバーグループの作成」をご参照ください。

   パラメーター	説明
   [タイプ]	サーバーグループのタイプを指定します。この例では、サーバータイプ を選択します。
   [サーバーグループ名]	サーバーグループの名前を入力します。この例では、RS01 を使用します。
   [VPC]	ドロップダウンリストから VPC を選択します。この例では、VPC01 を選択します。サーバーグループは、ECS01 および ECS02 と同じ VPC に存在する必要があります。
   [バックエンドサーバープロトコル]	バックエンドプロトコルを選択します。この例では、[TCP] を選択します。

4. [サーバーグループが作成されました]ダイアログボックスで、バックエンドサーバーの追加 をクリックします。

5. バックエンドサーバー タブで、バックエンドサーバーの追加 をクリックします。

6. バックエンドサーバーの追加 パネルで、ECS01 と ECS02 を選択し、次のステップ をクリックします。

7. バックエンドサーバーのポートと重みを指定し、[OK] をクリックします。この例では、ポートに 80 を指定し、重みはデフォルト値を使用します。

ステップ 2：NLB インスタンスの作成とリスナーの設定

1. 左側のナビゲーションペインで、NLB > インスタンスを選択し、インスタンスページでNLB の作成をクリックします。

2. [Network Load Balancer (従量課金)] ページで、次のパラメーターを設定します。

   以下に、一部のパラメーターのみを説明します。他のパラメーターの詳細については、「インスタンスの作成」をご参照ください。

   • [リージョン]：この例では、[中国 (杭州)] を選択します。

   • [インスタンスのネットワークタイプ]：この例では、[インターネット]を選択します。

   • [VPC]：この例では、VPC01 を選択します。

3. 今すぐ購入 をクリックし、支払いを完了します。

4. インスタンス ページに戻り、作成した NLB インスタンスを見つけて、NLB インスタンスの ID をクリックします。

5. リスナー タブをクリックします。リスナー タブで、リスナーのクイック作成 をクリックします。リスナーのクイック作成 ダイアログボックスで、次のパラメーターを設定してポート 80 を使用する TCP リスナーを作成し、OK をクリックします。

   パラメーター	手順
   [リスナープロトコルの選択]	リスナープロトコルを選択します。この例では、[TCP] を選択します。
   [リスニングポート]	この例では、ポート 80 を使用します。
   [サーバーグループ]	サーバータイプ を選択し、サーバータイプ の横にあるドロップダウンリストからサーバーグループを選択します。 この例では、「ステップ 1：サーバーグループの作成」で作成したサーバーグループが選択されています。

6. NLB インスタンスがセキュリティグループに追加されていない場合、NLB インスタンスのアクセシビリティを確認します。コマンド curl -s http://whatismyip.akamai.com/ を使用して、リクエストを送信するクライアントのパブリック IP アドレスを照会できます。

   1. ECS03 にログオンし、次のコマンドを実行して、ECS03 が NLB インスタンスにアクセスできるかどうかをテストします: telnet Domain name 80。

      エコー応答パケットを受信した場合は、ECS03 から NLB インスタンスにアクセスできることを意味します。

      [root@iZbp1esczkzr2jlz    ~]# curl -s http://whatismyip.akamai.com/
      47.xxx.55[root@iZbp1exxx    lz    ~]# telnet xxx.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   2. ECS04 にログインします。次のコマンドを実行して、ECS04 が NLB インスタンスにアクセスできるかどうかをテストします: telnet ドメイン名 80。

      エコー応答パケットを受信した場合は、ECS04 から NLB インスタンスにアクセスできることを意味します。

      [root@iZbp1esczkr2jlxxx ~]# curl -s http://whatismyip.akamai.com/
      101.xxx.251[root@iZbp1escxxx jl    ~]# telnet nxxx xxx xxx.s.com 80
      Trying 47.xxx.164...
      Connected to xxx.com.
      

   この結果は、NLB インスタンスがセキュリティグループに追加される前に、ECS03 と ECS04 が NLB インスタンスにアクセスできることを示しています。

ステップ 3：セキュリティグループの作成

NLB インスタンスをセキュリティグループに追加する前に、ECS コンソールでセキュリティグループを作成する必要があります。このセクションでは、2 つのセキュリティグループの作成方法について説明します。

• ブラックリストとしてのセキュリティグループ 1

  指定された IP アドレスからのアクセスを拒否するルールを追加します。この例では、ECS03 のパブリック IP アドレス 47.xx.xx.55 からのアクセスを拒否するルールを作成します。デフォルトのセキュリティグループルールを維持できます。次の表に、ルールの設定を示します。

  アクション	優先度	プロトコル	ポート範囲	承認オブジェクト
  拒否	1	すべて	宛先: -1/-1	ソース: 47.xx.xx.55

• ホワイトリストとしてのセキュリティグループ 2

  特定の IP アドレスからのアクセスを許可するルールと、それ以外のアクセスを拒否するルールを追加します。この例では、ECS03 のパブリック IP アドレス 47.xx.xx.55 からのアクセスを許可するルールと、拒否ルールを作成します。次の表に、ルールの設定を示します。

  アクション	優先度	プロトコル	ポート範囲	承認オブジェクト
  許可	1	すべて	宛先: -1/-1	ソース: 47.xx.xx.55
  拒否	100	すべて	宛先: -1/-1	ソース: 0.0.0.0/0

1. ECS コンソールにログインします。

2. 左側のナビゲーションペインで、ネットワーク & セキュリティ > セキュリティグループを選択します。

3. 上部メニューで、セキュリティグループを作成するリージョンを選択します。この例では、[中国 (杭州)] を選択します。

4. セキュリティグループ ページで、セキュリティグループの作成 をクリックします。

5. セキュリティグループの作成 ページで、基本情報 セクションのパラメーターを設定します。

   以下のパラメーターを設定します。他のパラメーターの詳細については、「セキュリティグループの作成」をご参照ください。

   • [ネットワーク]：この例では、VPC01 を選択します。セキュリティグループは、NLB インスタンスと同じ VPC に存在する必要があります。

   • [タイプ]：この例では、[基本セキュリティグループ]を選択します。

6. セキュリティグループの作成 ページで、アクセスルール セクションのパラメーターを設定します。

   1. インバウンド タブで、ルールを追加 をクリックして、セキュリティグループ 1 と セキュリティグループ 2 のルールの設定に基づいてルールを追加します。

   2. セキュリティグループの作成 をクリックします。

ステップ 4：NLB インスタンスをセキュリティグループに追加し、結果を検証する

関連ドキュメント

• NLB インスタンスをセキュリティグループに追加したり、セキュリティグループから削除したりする方法の詳細については、「NLB インスタンスをセキュリティグループに追加する」をご参照ください。

• リスナーまたはポートに基づいてきめ細かなアクセス制御を有効にする方法の詳細については、「NLB インスタンスのセキュリティグループを設定する」をご参照ください。

• セキュリティグループの詳細については、「セキュリティグループ」をご参照ください。