AWS Network ACLとセキュリティグループで実装するVPCセキュリティ設計｜ステートレス・ステートフルの違いと2層防御の実践パターン

この記事のポイント

・NACLはサブネット単位のステートレスFW、SGはインスタンス単位のステートフルFWで役割が異なる
・ステートレスのNACLはインバウンド許可だけでは不十分、アウトバウンドも明示的に設定が必要
・「NACL=サブネット境界の入口制限」「SG=インスタンス間のきめ細かい通信制御」で役割を分ける
・「SGで許可したのに繋がらない」の原因はNACLのエフェメラルポート未許可であることが多い

# セキュリティグループのインバウンドルールを確認する
$ aws ec2 describe-security-groups \
  --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[*].IpPermissions'

[
    {
        "FromPort": 443,
        "IpProtocol": "tcp",
        "IpRanges": [
            {
                "CidrIp": "0.0.0.0/0",
                "Description": "HTTPS from anywhere"
            }
        ],
        "ToPort": 443
    },
    {
        "FromPort": 22,
        "IpProtocol": "tcp",
        "IpRanges": [
            {
                "CidrIp": "10.0.0.0/8",
                "Description": "SSH from private network only"
            }
        ],
        "ToPort": 22
    }
]

# DBサーバーのSGに「AppサーバーのSGからの接続のみ許可」を設定する例
$ aws ec2 authorize-security-group-ingress \
  --group-id sg-db-xxxxxxxx \
  --protocol tcp \
  --port 3306 \
  --source-group sg-app-xxxxxxxx

# SGチェーンの確認
$ aws ec2 describe-security-groups \
  --group-ids sg-db-xxxxxxxx \
  --query 'SecurityGroups[*].IpPermissions[*].UserIdGroupPairs'

[
    [
        {
            "GroupId": "sg-app-xxxxxxxx",
            "UserId": "123456789012"
        }
    ]
]

# NACLのルール一覧を確認する
$ aws ec2 describe-network-acls \
  --network-acl-ids acl-0123456789abcdef0 \
  --query 'NetworkAcls[*].Entries[*].[RuleNumber,RuleAction,Protocol,PortRange,CidrBlock,Egress]' \
  --output table

-------------------------------------------------------------------
| Rule# | Action | Protocol | PortRange | CidrBlock | Egress     |
|-------|--------|----------|-----------|-----------|------------|
| 100   | allow  | 6(TCP)   | 443-443   | 0.0.0.0/0 | False(IN)  |
| 32767 | deny   | -1(ALL)  | -         | 0.0.0.0/0 | False(IN)  |
| 32767 | deny   | -1(ALL)  | -         | 0.0.0.0/0 | True(OUT)  |
-------------------------------------------------------------------
# アウトバウンドルールが暗黙DENYのみ → レスポンスが返せない

# エフェメラルポートの範囲をOS別に確認する
# Amazon Linux 2023 / RHEL 9.4
$ cat /proc/sys/net/ipv4/ip_local_port_range
32768   60999

# NACLのアウトバウンドルールに追加する（安全側で1024-65535を許可）
$ aws ec2 create-network-acl-entry \
  --network-acl-id acl-0123456789abcdef0 \
  --no-ingress \
  --rule-number 100 \
  --protocol tcp \
  --rule-action allow \
  --cidr-block 0.0.0.0/0 \
  --port-range From=1024,To=65535

# サブネットとNACLの関連付けを確認する
$ aws ec2 describe-subnets \
  --subnet-ids subnet-0123456789abcdef0 \
  --query 'Subnets[*].[SubnetId,Tags[?Key==`Name`].Value|[0]]'

[
    [
        "subnet-0123456789abcdef0",
        "public-subnet-1a"
    ]
]

# そのサブネットに紐づくNACLを確認する
$ aws ec2 describe-network-acls \
  --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0" \
  --query 'NetworkAcls[*].NetworkAclId'

[
    "acl-0123456789abcdef0"
]

# パブリックサブネットNACL（インバウンド）
Rule 100: ALLOW TCP 443 from 0.0.0.0/0    # HTTPS（インターネット→ALB）
Rule 200: ALLOW TCP 80  from 0.0.0.0/0    # HTTP（ALBでHTTPSへリダイレクト）
Rule 32767: DENY ALL                       # 暗黙のDENY

# パブリックサブネットNACL（アウトバウンド）
Rule 100: ALLOW TCP 1024-65535 to 0.0.0.0/0  # エフェメラルポート（レスポンス）
Rule 200: ALLOW ALL to 10.0.0.0/8             # VPC内部通信
Rule 32767: DENY ALL                           # 暗黙のDENY

# DBサブネットNACL（インバウンド）
Rule 100: ALLOW TCP 3306 from 10.0.2.0/24    # Appサブネット（10.0.2.0/24）のみ
Rule 32767: DENY ALL                           # 他は全てDENY

# DBサブネットNACL（アウトバウンド）
Rule 100: ALLOW TCP 1024-65535 to 10.0.2.0/24 # エフェメラルポートでの応答
Rule 32767: DENY ALL

# 問題のサブネットに紐づくNACLを確認する
$ aws ec2 describe-network-acls \
  --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0" \
  --query 'NetworkAcls[*].Entries[?Egress==`false`].[RuleNumber,RuleAction,Protocol,PortRange.From,PortRange.To,CidrBlock]' \
  --output table

# インバウンドの許可ルールにアクセスしたいポートが含まれているか確認
# アウトバウンドのエフェメラルポート（1024-65535）許可があるか確認

$ aws ec2 describe-network-acls \
  --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0" \
  --query 'NetworkAcls[*].Entries[?Egress==`true`].[RuleNumber,RuleAction,PortRange.From,PortRange.To]' \
  --output table

| Rule# | Action | PortFrom | PortTo |
|-------|--------|----------|--------|
| 32767 | deny   | None     | None   |
# アウトバウンドが暗黙DENYのみ → エフェメラルポート許可を追加する

# アウトバウンドにエフェメラルポート許可ルールを追加する
$ aws ec2 create-network-acl-entry \
  --network-acl-id acl-0123456789abcdef0 \
  --no-ingress \
  --rule-number 100 \
  --protocol tcp \
  --rule-action allow \
  --cidr-block 0.0.0.0/0 \
  --port-range From=1024,To=65535

# 追加後の確認
$ aws ec2 describe-network-acls \
  --network-acl-ids acl-0123456789abcdef0 \
  --query 'NetworkAcls[*].Entries[?Egress==`true`].[RuleNumber,RuleAction,PortRange.From,PortRange.To]' \
  --output table

| Rule# | Action | PortFrom | PortTo |
|-------|--------|----------|--------|
| 100   | allow  | 1024     | 65535  |
| 32767 | deny   | None     | None   |
# ルール100でエフェメラルポートが許可された

# Linuxで待ち受けているポートを確認する（Amazon Linux 2023 / RHEL 9.4）
$ ss -tlnp
State   Recv-Q  Send-Q  Local Address:Port  Peer Address:Port  Process
LISTEN  0       128     0.0.0.0:443         0.0.0.0:*          users:(("nginx",pid=1234,fd=6))
LISTEN  0       128     0.0.0.0:22          0.0.0.0:*          users:(("sshd",pid=888,fd=3))

# 443番ポートでNginxがリッスンしていることを確認
# ポートがリッスンしていない場合はアプリ側の問題（AWSのFW設定ではない）
$ systemctl status nginx
Active: active (running) since Thu 2026-07-25 10:00:00 UTC; 1h ago