ネットワークの可視化と監査 フローログ・Traffic Mirroring・Reachability Analyzerを使い分ける

「通信が届かない」「不審な通信を調べたい」「設定ミスを見つけたい」。ANS-C01のトラブルシューティング問題は、この3種類に整理できます。答えの分かれ目はメタデータで足りるのか、パケットの中身が要るのか、そもそも通信を発生させずに調べたいのかです。

覚え方は「メタデータ・ペイロード・静的解析」の3つの観点

VPCフローログはIPアドレスやポート、許可と拒否といったメタデータを記録します。Traffic Mirroringはパケットそのものを複製し、ペイロードまで解析できます。Reachability Analyzerは実際の通信を行わず、構成情報から到達可否を判定します。この3つのどれが要件に合うかを最初に決めれば、選択肢はほぼ1つに絞られます。

VPCフローログ

ENI、サブネット、VPC単位で有効にでき、CloudWatch Logs、S3、Kinesis Data Firehoseへ配信できます。カスタム形式にすればpkt-srcaddrやtcp-flagsといった追加フィールドも取得でき、Athenaで集計すれば通信量の多い相手先の特定もできます。使いどころは「セキュリティグループで拒否された通信があるか調べたい」「どのサブネットから外部への通信が多いか把握したい」といった、常時記録して後から分析する用途です。

VPC Traffic Mirroring

Nitro世代のインスタンスのENIからパケットを複製し、ミラーターゲット（ENIまたはネットワークロードバランサー）へ転送します。フィルターでプロトコルやポート、CIDRを絞れるため、必要な通信だけを効率的に取得できます。使いどころは、サードパーティのIDSやパケット解析ツールへ流し込んで詳細な脅威分析を行う場合や、アプリケーション層のプロトコル異常を調べたい場合です。複製分の帯域を消費する点は設計時の考慮事項になります。

Reachability AnalyzerとNetwork Access Analyzer

Reachability Analyzerは送信元と宛先を指定して到達可否を静的に判定し、遮断しているコンポーネント（セキュリティグループ、ネットワークACL、ルートテーブル）を特定します。Network Access Analyzerは逆に「インターネットから到達できてしまうリソース」のような、意図しない経路を network access scope で洗い出します。使いどころは前者が障害の切り分け、後者が設計変更後の網羅的な監査です。

チェックリスト

• フローログのデフォルト形式とカスタム形式の主要フィールドを説明できる
• Traffic Mirroringの送信元・ターゲット・フィルター・セッションの4要素を説明できる
• Reachability Analyzerが遮断コンポーネントを示す仕組みを理解している
• Network Access Analyzerのスコープで監査する対象を定義できる
• フローログをS3に出しAthenaで分析する構成を組める

まとめ

可視化ツールの選択は「メタデータで足りるか、中身が要るか、通信を流せるか」で決まります。3つの軸を先に確認する癖をつけると、長文のトラブルシューティング問題でも短時間で答えにたどり着けます。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。