AWS Network Firewallのルール設計 ステートレスとステートフルの役割分担

ANSでは、VPCの出入口で通信をどう検査するかが問われます。Network Firewallは、ルールグループの種類と評価順序の理解が鍵です。

覚え方：3つの観点

• 配置：ファイアウォール専用サブネットとルーティング
• ルール：ステートレスで粗く、ステートフルで精密に
• 可視化：アラートログとフローログ

ルールグループの使い分け

配置のポイント

AZごとにファイアウォールエンドポイントを置き、保護対象サブネットのルートテーブルで送信先をエンドポイントに向けます。戻り通信が別AZのエンドポイントを通ると破棄されるため、AZ内で往復が完結するようルートを設計します。

チェックリスト

• ステートレスとステートフルの評価順序を説明できる
• ドメインリストがSNIとHostヘッダーで判定する点を言える
• AZごとのエンドポイントと非対称ルーティングの注意点を説明できる
• ログの出力先を挙げられる

まとめ

ルールは粗い順にステートレス、精密な制御にステートフルと覚えましょう。 理解度はクイズで確認し、最新の出題範囲はAWS認定 公式ページで確認しましょう。