AWS 08：セキュリティグループと NACL

ポートは、建物の中の窓口番号

IP アドレスが建物の住所だとすると、ポートは、その建物の中の窓口の番号です。

市役所を思い浮かべてください。住所は1つでも、中には「1番：住民票」「2番：税金」「3番：子育て」のように、用事ごとに窓口が分かれています。サーバーも同じで、1台のコンピューターの中で、いくつものプログラムがそれぞれ別の窓口（ポート）で待っています。

ポートは 0〜65535 の番号です。よく使う窓口には、世界共通の決まった番号があります。

HTTP は、ブラウザと Web サーバーがやり取りするときの約束事です。HTTPS はそれを暗号化したもので、今の Web はほぼこちらです。

図の小包の宛先は「10.0.1.10 の 443番」です。建物の住所に加えて、どの窓口宛てかまで書かれているのです。門番は、この窓口番号を見て「この窓口宛てなら通す」「この窓口は断る」を判断します。

通信は「差出人の番号と窓口」「宛先の番号と窓口」の組

もう少しだけ、通信の中身を見ておきます。この知識は、後半の NACL で効いてきます。

利用者の PC がフォトログのサーバーに写真を見せてと頼むとき、小包には次の4つが書かれています。

サーバー側の窓口（443）は、いつも決まっています。では利用者側の 50123 は何でしょう。

これは、頼む側の PC がその場で空いている番号を選んだ窓口です。「返事はこの窓口に返してね」という意味で、通信のたびに別の番号が選ばれます。こうした一時的な窓口を一時ポート（エフェメラルポート）と呼びます。多くの OS では、1024〜65535 のあたりから選ばれます。

つまり、サーバーから見ると、返事の宛先の窓口は毎回違い、しかも前もってわからないのです。

この「返事は、決まっていない窓口宛てに出ていく」ことが、門番の作りによっては問題になります。次の SG ではうまく処理され、後半の NACL では自分で面倒を見る必要が出てきます。

セキュリティグループ＝機械ごとに立つ門番

セキュリティグループ（SG）は、機械ごとに付ける門番です。正確には、機械がネットワークにつながる口（第7章で出てきた ENI）に付きます。EC2 のサーバー、ロードバランサー、データベースなど、VPC の中に置くほとんどのものに付けられます。

門番は、ルールの表を持っています。

新しく門番を作ったときの最初の状態は、次のとおりです。

「何も書かなければ、入ってくるものは全部断る」。これは第6章の「道を書かなければ閉じている」と同じ、安全な側に倒れる作りです。門番を置いたら、必要な窓口だけを、必要な相手にだけ、1つずつ開けていきます。

SG には料金がかかりません。いくつ作っても無料です。

ルールの読み方：どの窓口に、誰から

門番のルールは、1行が次の項目でできています。

図の左の板は、フォトログの入口の門番（sg-alb）と DB の門番（sg-db）のルールです。

送信元には2種類の書き方があります。

2つ目の書き方が SG のいちばん便利なところで、この章の中心です。後で詳しく見ます。

そして、`0.0.0.0/0` は「世界中の誰でも」です。第6章で見たとおり、/0 は1桁も固定しない、すべての住所という意味でした。このルールを書いてよいのは、本当に世界中の誰にでも開けたい窓口（Web の 443 と 80）だけです。それ以外に書いたときに何が起きるかは、この章の後半で見ます。

「説明」の欄は空でも動きますが、必ず書きましょう。半年後に見返したとき、「このルールは何のため？ 消していい？」がわからなくなるのを防げます。

門番は、通した相手の返事を覚えている

SG のもう1つの大事な性質は、状態を覚える（ステートフル）ことです。

図で、利用者の PC（窓口 50123）が入口（窓口 443）にリクエストを送りました。入口の門番のルールには「443 を世界中から許可」があるので、通します。

では、入口からの返事はどうでしょう。返事の宛先は利用者の窓口 50123 です。出ていくルールに 50123 は書いていないかもしれません。

門番は、通した通信を覚えていて、その返事は自動で通してくれます。逆向きも同じで、機械から外へ出ていった通信の返事は、入ってくるルールに書いていなくても戻ってこられます。

第7章の NAT が「覚えていた相手にだけ返す」のと似ています。ルールで考えるのは、通信が始まる方向だけ。これが SG を扱うときの基本の考え方です。

入口の門番：HTTPS を世界中から

ここからは、フォトログの舞台に門番を1人ずつ立てていきます。図の盾の絵が門番（SG）です。

最初は入口の門番 sg-alb です。入口は、世界中の利用者のリクエストを受ける場所なので、次のルールにします。

図の下の表では、見やすくするために 443 の行だけを出しています。

入口は2つの AZ に1台ずつありますが、同じ門番を両方に付けています。門番は「ルールの表」なので、同じ役目の機械には同じ門番を付ければ、ルールを1か所で管理できます。

この門番の入ってくるルールには、22番（SSH）も 5432番（DB）も書いてありません。だから、外から入口の機械の管理用の窓口を叩いても、門番が断ります。

入口の機械が受け取ったリクエストは、次に中の Web へ取り次がれます。Web の前には、別の門番が立ちます。

Web の門番：入口の門番から来た人だけ

次は Web の門番 sg-web です。

Web に話しかけてよいのは誰でしょうか。利用者は入口を通ってくるので、Web に直接届く必要はありません。Web に話しかけてよいのは入口の機械だけです。

ここで、送信元に番号の範囲ではなく、門番の名前（sg-alb）を書いています。これが SG から SG を許す書き方です。

2つ目の「部屋の番号の範囲で許す」も一見よさそうですが、公開の部屋に後から別の機械（たとえば第7章の NAT や、別の用途のサーバー）を置くと、その機械からも Web に届いてしまいます。門番の名前で書けば、入口の役目を持つ機械だけに絞れます。

入口と Web の間の通信は、ここでは HTTP（80番）にしています。利用者と入口の間は HTTPS で暗号化し、VPC の中は HTTP で受け渡すのは、よくある形です（第14章）。

DB の門番：Web の門番から来た人だけ

最後は DB の門番 sg-db です。DB に話しかけてよいのは Web だけです。

図で、入口から DB への赤い矢印を見てください。第6章の local の行があるので、道としては届きます。でも、入口の機械には sg-alb が付いていて、sg-web は付いていません。だから DB の門番が断ります。

これで、通信の流れがこうなりました。

どの門番も、1つ手前の門番から来た通信だけを許しています。これを鎖のようにつなぐことで、「利用者は入口にしか届かず、入口は Web にしか届かず、DB に届くのは Web だけ」という形ができます。

もし入口の機械が乗っ取られても、DB には直接届きません。守りを何段にも重ねるこの考え方を多層防御と呼び、第27章で本格的に扱います。

番号ではなく、門番の名前で許す理由

門番の名前で許す書き方が、特に効いてくる場面があります。機械の数や番号が変わるときです。

第12章で、利用者が増えたら Web サーバーを自動で増やし、壊れたら自動で入れ替える仕組み（Auto Scaling）を作ります。そうなると、Web の IP アドレスは次々に変わります。

図では、3台目の Web（10.0.11.47）が新しく増えました。DB の門番のルールは「5432 ← sg-web」のままですが、3台目にも sg-web が付いているので、何も書き換えずに DB に届きます。

門番の名前で書くと、ルールが「どの役目の機械か」という意味で書けるようになります。番号は変わっても、役目は変わりません。

NACL＝部屋の出入口の関所

門番はもう1種類あります。NACL（ネットワーク ACL：アクセス制御リスト）です。

SG が機械ごとの門番なら、NACL は部屋（サブネット）ごとの関所です。図では、4つの部屋の入口に NACL の札を付けました。部屋に入ってくる通信と、部屋から出ていく通信を、この関所が調べます。同じ部屋の中の機械どうしの通信は、関所を通りません。

VPC を作ると、既定の NACL が1つ作られ、すべての部屋に付いています。既定の NACL のルールは「入ってくるものも出ていくものも全部通す」です。つまり、何も変えなければ関所は素通りで、実際の守りは SG が担っています。

一方、自分で新しく作った NACL は、最初は「全部断る」状態です。ルールを足さずに部屋に付けると、その部屋は何も通さなくなります。

ルールの番号は、あとで間に足せるように、100、200、300…のように間を空けて付けるのが一般的です。

関所は、返事を覚えていない

NACL と SG のいちばん大きな違いは、NACL が状態を覚えない（ステートレス）ことです。

図で、利用者（窓口 50123）から入口（窓口 443）へのリクエストが、関所を通って届きました。入ってくるルールに「443 を許可」があるからです。

では返事はどうでしょう。返事の宛先の窓口は 50123 です。関所はさっき通した通信のことを覚えていないので、出ていくルールを見て、あらためて判断します。

この章の前半で見たとおり、返事の宛先の窓口（一時ポート）は毎回違い、前もってわかりません。だから NACL では、返事のために一時ポートの範囲をまるごと許可する必要があります。入ってくる側も同じで、中の機械が外へ出た通信の返事を受け取るには、入ってくるルールに一時ポートの範囲を許可しておく必要があります。

これを忘れると、「行きは届いているのに、返事が戻らずに時間切れになる」という、原因を見つけにくいトラブルになります。

SG と NACL の違い

2種類の門番を並べてみます。

では、どう使い分ければよいでしょうか。

多くの構成では、NACL は既定（全部通す）のままにして、守りは SG で行うのが基本です。NACL を細かく書くと、一時ポートの考慮が必要になり、つながらない原因を増やしがちだからです。NACL は、組織の決まりで部屋単位の線引きが必要なときや、攻撃元の番号をまとめて締め出したいときに、2枚目の守りとして使います。

よくある事故：0.0.0.0/0 で窓口を開ける

ネットワークでいちばん多い事故は、管理用の窓口を 0.0.0.0/0 に開けてしまうことです。

「自宅からサーバーに SSH で入りたい。でも自宅の番号がよくわからないし、変わることもある。とりあえず 22番を 0.0.0.0/0 で開けておこう」。これで世界中に扉が開きます。

図の左のように、インターネットには、開いている窓口を探して1日中巡回している機械がいます。新しく開けた窓口は、早ければ数分で見つかり、パスワードの総当たりや、知られている弱点を突く攻撃が始まります。

防ぎ方は、この章と第7章でそろっています。

作ってみる：門番を作り、名前で許す

コンソールでは、EC2 または VPC の画面の左の一覧から「セキュリティグループ」を開いて作ります。

CLI では図のとおりです（ID は例です）。

aws ec2 create-security-group --vpc-id vpc-0abc \
  --group-name sg-db --description "DB: Web only"

aws ec2 authorize-security-group-ingress --group-id sg-alb-id \
  --protocol tcp --port 443 --cidr 0.0.0.0/0

aws ec2 authorize-security-group-ingress --group-id sg-web-id \
  --protocol tcp --port 80 --source-group sg-alb-id

aws ec2 authorize-security-group-ingress --group-id sg-db-id \
  --protocol tcp --port 5432 --source-group sg-web-id

--cidr で番号の範囲を、--source-group で別の門番を送信元に指定します。

ルールの変更は、付けている機械にすぐ反映されます。機械を再起動する必要はありません。便利な反面、本番の門番をうっかり書き換えると即座に影響が出るので、変更は第18章の IaC で差分を確かめてから行うのが安全です。

フォトログの門番の一覧

フォトログの門番を表にまとめます。

外に開いているのは、入口の 443 と 80 だけです。この一覧を見れば、誰がどこに届くかが一目でわかります。

構成を人に説明するときや、セキュリティの確認を受けるときには、この表がそのまま使えます。「DB に届くのは誰ですか？」と聞かれたら、「sg-web が付いた Web だけです」と一言で答えられます。

つながらないときは、外側から順に調べる

「つながらない」ときは、外側から1つずつ確かめます。

4つ目も意外と多い原因です。門番で 80番を開けても、アプリが 8080番で待っていれば届きません。

調べるための道具も2つ覚えておきましょう。

単価は料金ページで確認してください。フローログは量が多くなりやすいので、調べるときだけ有効にする、保存期間を短くする、といった工夫も第17章で扱います。

よくある落とし穴

SG も NACL も無料なので、お金の事故はありません。そのかわり、開けすぎの事故と、閉めすぎて動かない事故が起きます。

VPC の既定の SG は、「同じ既定の SG が付いた機械どうしは何でも通す」というルールになっています。機械を作るときに門番を選ばないと、この既定の SG が付くことがあります。役目ごとに自分で作った門番を、毎回選んで付ける習慣をつけましょう。

片付け：門番の消し方

フォトログの門番は次の章以降でも使うので残します。練習で作った門番は、次の順で消します。

CLI では図のとおりです。

aws ec2 revoke-security-group-ingress --group-id sg-db-id \
  --protocol tcp --port 5432 --source-group sg-web-id
aws ec2 delete-security-group --group-id sg-web-id

「消せない」と言われたら、その門番がまだどこかで使われています。付いている機械は、門番の画面の「関連付け」や、ネットワークインターフェイスの一覧で探せます。

自分で作った NACL も、部屋との関連付けを既定の NACL に戻してから消します。VPC ごと削除する場合は、門番も関所もまとめて消えます。