【AWS】Security GroupとNACLの違いとは？ステートフル・ステートレスを初心者向けに解説

前の記事では、 NAT Gatewayを利用して プライベートサブネットからインターネットへ通信する仕組みを学びました。

ここまでで、 VPC・サブネット・ルートテーブル・IGW・NAT Gatewayを使った 「通信経路」がかなり見えるようになってきました。

しかし、通信経路が存在しているからといって、 すべての通信を自由に通してよいわけではありません。

AWSでは、このようなネットワークアクセス制御に Security Group（セキュリティグループ）と Network ACL（NACL） という2つの仕組みを利用できます。

まずはSecurity GroupとNACLの違いを整理しよう

Security GroupとNACLは、 どちらもVPC内の通信を制御する仕組みです。

最初に大きな違いを整理すると、 次のようになります。

Security Groupとは？

Security Groupは、 EC2などのAWSリソースに関連付けて 通信を制御する仕組みです。

たとえばWebサーバーとしてEC2を利用している場合、 HTTPS通信だけを許可したいのであれば、 次のようなインバウンドルールを設定できます。

これによって、 インターネットからEC2への HTTPS通信を許可できます。

InboundとOutbound

Security Groupには、 Inbound Ruleと Outbound Rule があります。

Security GroupはAllowルールのみ

Security Groupを理解するときに重要なのが、 許可（Allow）ルールのみ設定できる という特徴です。

つまりSecurity Groupに、

のような明示的な拒否ルールを作成することはできません。

必要な通信だけをAllowする という考え方でアクセスを制御します。

Security Groupはステートフル

Security Groupの非常に重要な特徴が、 Stateful（ステートフル） であることです。

ステートフルとは、 通信の状態を記憶する と考えると分かりやすいでしょう。

ユーザーからEC2へのHTTPS通信が Security Groupによって許可された場合、 その通信に対する戻り通信は自動的に許可されます。

Network ACL（NACL）とは？

Network ACL（NACL）は、 サブネットへ出入りする通信を制御する仕組みです。

Security Groupがリソースレベルで動作するのに対し、 NACLはサブネットレベルで動作します。

NACLが関連付けられているサブネットでは、 サブネットへ入る通信と、 サブネットから出ていく通信が NACLのルールによって評価されます。

Security GroupとNACLは二重の防御になる

Security GroupとNACLは、 どちらか一方しか使えないわけではありません。

異なるレベルで通信を制御することで、 複数の防御レイヤーを構成できます。

NACLはAllowとDenyの両方を設定できる

NACLではSecurity Groupと異なり、 AllowとDenyの両方 を設定できます。

たとえば、 特定のIPアドレスからの通信を サブネットレベルで明示的に拒否したい場合、

というNACLルールを設定できます。

NACLはルール番号の小さい順に評価される

NACLには、 それぞれのルールに ルール番号があります。

そして、 番号の小さいルールから順番に評価 され、最初に一致したルールが適用されます。

203.0.113.10から通信が来た場合、 最初にルール100へ一致します。

そのため、 後ろにルール200のALLOWが存在していても、 ルール100のDENYが適用されます。

NACLはステートレス

Security Groupとの最大の違いの1つが、 NACLは Stateless（ステートレス） であることです。

ステートレスでは、 通信の状態を記憶しません。

行きの通信を許可したとしても、 その戻り通信が自動的に許可されるわけではありません。

InboundとOutboundをそれぞれ独立した通信として評価 します。

ステートフルとステートレスの違い

ここはSecurity GroupとNACLを理解するうえで、 もっとも重要なポイントです。

Security GroupとNACLの違いを一覧で比較

理解度チェック：どちらを使う？

次の要件では、 Security GroupとNACLのどちらが適しているでしょうか。

通信がEC2へ届くまでを追ってみよう

インターネットからEC2へHTTPS通信が届く場合を考えてみます。

この通信が成立するには、 通信経路だけでなく、 NACLやSecurity Groupでも 必要な通信が許可されている必要があります。

基本はSecurity Groupを中心に考える

Security GroupとNACLの両方があると、 「常に両方を細かく設定しなければならないのか？」 と思うかもしれません。

基本的には、 Security Groupを中心にアクセス制御を行い、 必要に応じてNACLを追加の防御レイヤーとして利用する と考えると分かりやすいでしょう。

次は「インターネットを経由しないAWSサービスへの接続」へ

ここまでで、 VPCのネットワーク構成と アクセス制御について学んできました。

では、VPC内のEC2から Amazon S3などのAWSサービスへアクセスするとき、 必ずインターネットやNAT Gatewayを経由する必要があるのでしょうか。

そこで登場するのが、 VPC Endpointです。

確認問題：Security GroupとNACL

まとめ