ネットワーク分離は、Server Load Balancer (SLB) のシステムにおける重要なセキュリティ対策です。この対策は、ネットワーク間のトラフィックを分離することで、システムのセキュリティと信頼性を向上させます。SLB のインフラストラクチャには、ネットワーク分離とネットワークトラフィック制御が含まれます。
ネットワーク分離
仮想プライベートクラウド (VPC) は、Alibaba Cloud 上で分離された仮想ネットワークです。サブネットは、VPC 内の IP アドレスの範囲を指定します。SLB インスタンスを作成する際に、1 つ以上のサブネットを指定できます。VPC のサブネットに Elastic Compute Service (ECS) インスタンスをデプロイし、ECS インスタンスをバックエンドサーバーグループに追加できます。詳細については、「VPC とは」をご参照ください。
Application Load Balancer (ALB) および Network Load Balancer (NLB) インスタンスは、次のネットワークタイプをサポートしています。
内部向け: ALB または NLB インスタンスの各ゾーンにプライベート IP アドレスが割り当てられます。インスタンスには、内部ネットワーク経由でのみアクセスできます。
インターネット向け: インスタンスの各ゾーンにパブリック IP アドレスとプライベート IP アドレスが割り当てられます。インターネット向け ALB または NLB インスタンスは、Elastic IP アドレス (EIP) を使用してインターネットにアクセスできます。インターネット向け インスタンスには、EIP 料金と帯域幅またはデータ転送料金が課金されます。
Classic Load Balancer (CLB) インスタンスは、次のネットワークタイプをサポートしています。
内部向け: 内部向け CLB インスタンスにはプライベート IP アドレスのみが割り当てられ、内部ネットワーク経由でのみアクセスできます。
インターネット向け: インターネット向け CLB インスタンスにはパブリック IP アドレスが割り当てられ、インターネット経由でアクセスできます。
SLB インスタンスは、内部ネットワーク経由でバックエンド ECS インスタンスと通信します。バックエンド ECS インスタンスが SLB インスタンスからのリクエストのみを受信する場合、パブリック IP アドレスは必要ありません。ECS インスタンスを EIP に関連付ける必要はありません。
ネットワークトラフィック制御
ALB、CLB、および NLB は、次の表に示すように、ネットワークトラフィックを保護するためにさまざまな対策を使用します。
ALB
対策 | 説明 | 参照 |
SSL 暗号化転送 | データパケットは、SSL に基づいて暗号化され、傍受や改ざんを防ぐことができます。 | |
Web Application Firewall (WAF) | WAF を使用して、攻撃が発生した場合にネットワークトラフィックを監視およびフィルタリングできます。 | |
セキュリティグループ | セキュリティグループは、グループ内のインスタンスに到達できるトラフィックを制御します。 | |
アクセス制御リスト (ACL) | ホワイトリストとブラックリストを使用して、不正アクセスや悪意のあるリクエストをブロックできます。 | |
Anti-DDoS サービス | Anti-DDoS サービスを使用して、大量の攻撃をリアルタイムで軽減できます。Anti-DDoS Origin、Anti-DDoS Pro、および Anti-DDoS Premium がサポートされています。 | |
TLS セキュリティポリシー | TLS セキュリティポリシーを使用して、サービスのセキュリティを向上させることができます。 HTTPS リスナーを作成するときに、TLS セキュリティポリシーを選択できます。カスタム TLS セキュリティポリシーとデフォルト TLS セキュリティポリシーがサポートされています。 |
NLB
対策 | 説明 | 参照 |
SSL 暗号化転送 | データパケットは、SSL に基づいて暗号化され、傍受や改ざんを防ぐことができます。 | |
Anti-DDoS サービス | Anti-DDoS サービスを使用して、大量の攻撃をリアルタイムで軽減できます。Anti-DDoS Origin、Anti-DDoS Pro、および Anti-DDoS Premium がサポートされています。 | |
セキュリティグループ | セキュリティグループを使用して、アクセス制御を調整できます。 | |
TLS セキュリティポリシー | TLS セキュリティポリシーを使用して、サービスのセキュリティを向上させることができます。 TCP 経由で SSL を使用するリスナーを作成するときに、TLS セキュリティポリシーを選択できます。カスタム TLS セキュリティポリシーとデフォルト TLS セキュリティポリシーがサポートされています。 |
CLB
対策 | 説明 | 参照 |
SSL 暗号化転送 | データパケットは、SSL に基づいて暗号化され、傍受や改ざんを防ぐことができます。 | |
WAF | WAF を使用して、攻撃が発生した場合にネットワークトラフィックを監視およびフィルタリングできます。 | |
ACL | ホワイトリストとブラックリストを使用して、不正アクセスや悪意のあるリクエストをブロックできます。 | |
Anti-DDoS サービス | Anti-DDoS サービスを使用して、大量の攻撃をリアルタイムで軽減できます。Anti-DDoS Origin がサポートされています。 | |
TLS セキュリティポリシー | TLS セキュリティポリシーを使用して、サービスのセキュリティを向上させることができます。 HTTPS リスナーを作成するときに、TLS セキュリティポリシーを選択できます。カスタム TLS セキュリティポリシーとデフォルト TLS セキュリティポリシーがサポートされています。 |