ライタス株式会社AWSでVPCを扱うとき、セキュリティポリシーとして、通信制御を行うと思います。通信制御をするときは、ネットワークACLとセキュリティグループを活用して設定しますが、ここで幾つかハマりポイントがあります。ステートフルインスペクションステートレスとは、指定したポートのみを通すもので、他のポートは通信を拒否します。ステートフルは、指定したポートを通しますが、その通信の戻り通信も許可します。ENIおよびグループ単位ネットワークACLは、VPC内に定義されたサブネット単位で作成できます。セキュリティグループは、サーバーごとに設定するイメージですが、実態としては、ネットワークカードに対して設定するイメージと捉えています。ネットワークACLとセキュリティグループを両方使うネットワークACLとセキュリティグループを両方使う場合、両方許可されないと通信ができなくなります。ハマリポイント上記ルールに従って通信制御を行うことができますが、ネットワークACLがステートレスのため、ちゃんと通信ポートが開いてると思っているのに、開いていなかったということがよくあります。戻りの通信ポートがダイレクトポートを使っている場合、ネットワークACLで拒否されてしまって、通信できなかったということが検証方法としては、ネットワークACLかセキュリティグループを一瞬フルオープンにして通信できるかどうか確認する方法をよく使います。他にも、AWS全体に言えることですが、設定上限になっているものが結構あります。事前に把握しておくと良いかと思います。(10)自己紹介ライタス株式会社広報ライタス株式会社のブログです。弊社の活動の中での気付きや、イベント情報をお知らせします。