AWSネットワークACLルール制限を回避する

VPCネットワークACLには、最大で40のルールを適用できます。

ポートおよびプロトコルを介して、システムへのアクセスを明示的にブロックする必要がある50を超えるIPアドレスのリストがあります。これはACLの理想的な目的ですが、この制限がこのタスクの完了を妨げています。

もちろん、各ホストのIPTablesでこれを行うことができますが、VPC内のすべてのコンポーネント（たとえばELBへ）へのすべてのトラフィックをブロックしたいと思います。さらに、これらのルールを各ホストではなく1か所で管理する方がはるかに理想的です。

システム/プラットフォームレベルでこれを行うことを理解していない何らかの方法があることを願っています。セキュリティグループは明示的な許可であり、拒否アクションはありません。そのため、トリックは行いません。

ここに左フィールドのアイデアがあります。各IPのVPCルートテーブルに「壊れた」ルートを追加することにより、50個のブロックされたIPを「ヌルルート」できます。

これにより、IPからのトラフィックがインフラストラクチャに到達するのを防ぐことはできません（NACLとSGのみがそれを防ぎます）が、すべてのリターントラフィックが「帰宅」するのを防ぎます。

NACLの制限を増やす方法はありません。また、多数のNACLルールがネットワークパフォーマンスに影響を与えます。

何よりもアーキテクチャ上の問題があるかもしれません。

1. インスタンスはパブリックサブネットにある必要がありますか？
2. 受信トラフィックを制限するためにNATゲートウェイを設定しましたか？
3. パブリックサブネットに存在する必要があるインスタンスについて、最小限のインバウンドセキュリティグループルールがありますか？
4. AWS WAF IP一致条件を使用して、CloudFrontとロードバランサーへの不要なトラフィックをブロックしていますか？

NACLルールの制限に達した場合は、AWSが推奨するVPCアーキテクチャへのアプローチや、WAF（およびShield for DDoS）などのサービスを使用して、不要なトラフィックや明白な攻撃をブロックしていないためです。

DDoS攻撃が懸念される場合：Amazon CloudFrontおよびAmazon Route 53を使用してDDoS攻撃から動的Webアプリケーションを保護する方法

これはまさにあなたが求めたものではありませんが、十分に仕事をするかもしれません。

インフラストラクチャの前にCloudFrontをセットアップします。IPマッチ条件を使用して、トラフィックを効果的にブロックします。CloudFrontは静的コンテンツと動的コンテンツの両方で動作し、パブリックインターネットではなくAWSバックボーンを使用するため、動的コンテンツを高速化できます。ドキュメントの内容は次のとおりです

一部のWeb要求を許可し、要求の発信元のIPアドレスに基づいて他のWeb要求をブロックする場合は、許可するIPアドレスのIP一致条件と、ブロックするIPアドレスの別のIP一致条件を作成します。

CloudFrontを使用する場合、セキュリティグループを使用してパブリックリソースへの直接アクセスをブロックする必要があります。AWSアップデートセキュリティグループのラムダは中CloudFrontのトラフィックを許可するまでにセキュリティグループを維持するが、他のトラフィックを拒否します。CloudFrontを使用してhttpをhttpsにリダイレクトする場合は、スクリプトを少し調整して、httpがインフラストラクチャにヒットしないようにすることができます。直接管理アクセスが必要なIPをホワイトリストに登録することもできます。

または、CloudFlareなどのサードパーティCDNを使用することもできます。CloudFlareには効果的なファイアウォールがありますが、必要なルールの数は月額200ドルです。これはCloudFrontよりも安いかもしれませんが、AWSの帯域幅はかなり高価です。無料プランでは、5つのファイアウォールルールのみが提供されます。