AWS WAFを利用してCloudFrontのELBオリジンへ直接アクセスを制限してみた

こんぬつわ。だいぶ久しぶりの更新となります。

ELBの前段にCloudFrontを設置した環境では、CloudFrontとオリジンのELB間の通信はインターネット経由で行われます。

ELBのIPやDNS名を知った利用者による、CloudFrontを経由しないELBへの直接アクセスが望ましくない場合には、 CloudFrontのカスタムヘッダを利用したアクセス制限が可能です。

環境

CloudFrontはカスタムオリジンとしてAWS東京リージョンのELBを指定
ELBはALB(アプリケーションロードバランサ)を利用
ALB配下のEC2、OSはAmazonLinux、Webサーバとして、httpd(Apache)をデフォルト状態で利用
ALBの前段にAWS WAFを設置し、特定のCloudFrontを経由しないアクセスを禁止

やってみた

▼EC2つくる

今回はEC2のインスタンスタイプをt4g.nanoにしました。
最近リリースされたばっかなのでちょっと使いたかったのです。
検証で使うだけなのでスペックは最低限でOK

1. とりあえずyum updateして再起動

# yum -y update
# reboot

2.apacheインストール。デフォの2.4でいいでしょ。

# yum -y install httpd
# systemctl enable httpd
# systemctl start httpd

3. ALBヘルスチェック用のファイルを作っておく。今回はhealth.htmlという名前にしました。

# vi /var/www/html/health.html
---------------------------
OK
---------------------------

4.セキュリティグループで80番の全許可を入れておく
※ページ確認用とALBからのヘルスチェック用

3. サーバにアクセス

http://[IP]/
※以下のページ表示になればOK。駄目ならApache上がってるかSGの設定見直してみてね。

▼ELBつくる
今回はALBにしましょう。

ALB名は適当にtestとかにしておきます。
AvailabilityZoneはVPCのデフォa~d全部を選択
セキュリティグループは80番をlistenしてるものをつかいます。
※Cloudfrontと通信通すために必要なので
それ以外はそのままの設定で。

▼TargetGroupつくる

作成途中で聞かれるので新しく作成しましょう。
名前は同じくtest、ヘルスチェックの部分だけhealth.htmlを選択します。

次の画面で登録するターゲット聞かれるので
先程作成したEC2インスタンス（test）を登録しましょう。
そこまでいったらALBの作成完了です。

▼ALBとEC2の動作確認

作成したTargetGroup、testにEC2がhealthyで紐付いているか確認
うまくいけばStatusがhealthになっているはず

アクセスログにもヘルスチェックのログでてる。

# tail -f /var/log/httpd/access.log
172.31.37.12 - - [20/Oct/2020:17:29:39 +0000] "GET /health.html HTTP/1.1" 200 3 "-" "ELB-HealthChecker/2.0"
172.31.5.68 - - [20/Oct/2020:17:29:53 +0000] "GET /health.html HTTP/1.1" 200 3 "-" "ELB-HealthChecker/2.0"
172.31.37.12 - - [20/Oct/2020:17:30:09 +0000] "GET /health.html HTTP/1.1" 200 3 "-" "ELB-HealthChecker/2.0"
172.31.5.68 - - [20/Oct/2020:17:30:23 +0000] "GET /health.html HTTP/1.1" 200 3 "-" "ELB-HealthChecker/2.0"
172.31.37.12 - - [20/Oct/2020:17:30:39 +0000] "GET /health.html HTTP/1.1" 200 3 "-" "ELB-HealthChecker/2.0"
172.31.5.68 - - [20/Oct/2020:17:30:53 +0000] "GET /health.html HTTP/1.1" 200 3 "-" "ELB-HealthChecker/2.0"
172.31.37.12 - - [20/Oct/2020:17:31:09 +0000] "GET /health.html HTTP/1.1" 200 3 "-" "ELB-HealthChecker/2.0"

ELBのDNS名にアクセスして正常にアクセスできればOK

http://[ELB名].ap-northeast-1.elb.amazonaws.com/

もしUnhealthyになるようであればSGの設定かヘルスチェックの設定見直してみてね。