Contoso Retailは、インターネットに接続するApplication Load Balancer (ALB) と、同じパブリックサブネットにある他のいくつかの公開サービスを運用しています。セキュリティチームは、198.51.100.0/24 から発信される不正なトラフィックを、ALBだけでなく、これらのサブネット内のすべてのリソースに対して直ちにブロックする必要があります。どうすればよいですか？

このシナリオでは、ALBだけでなく、同じサブネット内の他のすべてのリソースからの不正なトラフィックをブロックする必要があります。ネットワークACLはサブネットレベルで機能するため、サブネット内のすべてのリソースに影響を与えます。インバウンド拒否ルールを追加することで、指定されたIPアドレス範囲からのトラフィックがサブネットに到達するのを防ぎます。 ALBセキュリティグループに拒否ルールを追加しても、ALBのみが保護され、同じサブネット内の他のサービスは保護されません。AWS WAFはALBと連携して機能しますが、サブネット内の他のサービスを保護するには追加の設定が必要です。ルートテーブルを変更してIPアドレスをブラックホール化すると、そのIPアドレスからのトラフィックがどこにもルーティングされなくなりますが、これは通常、より広範なネットワークルーティングの問題を解決するために使用され、特定のサブネット内のすべてのリソースを保護する最も直接的な方法ではありません。