ANSネットワーク設計
ある企業のネットワークエンジニアが、セキュリティグループ・NACL・ルートテーブルなどの大規模なインフラ変更後に、特定のEC2インスタンス間の疎通確認を実施する必要があります。以下の要件があります。
・実際のトラフィックを送信せずにネットワーク経路が意図通りかを検証すること
・疎通不可の場合は阻害しているコンポーネントを特定すること
・変更デプロイパイプライン（CI/CD）に組み込んで変更後に自動的に検証を行うこと
上記要件を満たすAWSサービスの使い方はどれですか？
AVPC Flow LogsをCloudWatch Logsに送信し、特定のIPペア間のACCEPTおよびREJECTログをフィルタリングして疎通確認を行う
VPC Flow Logsは実トラフィック発生後の記録で、事前疎通確認できません。阻害コンポーネント特定情報も限定的で、ネットワーク設定検証には不向きです。
BAWS Reachability Analyzerでソースとターゲットのネットワークコンポーネントを指定して経路分析を実行し、APIを通じてCI/CDパイプラインに組み込んで変更後の自動検証を行う
✓ 正解
ルートテーブル・セキュリティグループ・NACL設定を静的に解析して疎通可否と阻害コンポーネントを特定します。API経由でCI/CDに組み込んだ自動検証が可能な唯一のサービスです。
CAWS Network Access Analyzerで全VPCのネットワークアクセス範囲を分析し、意図しない過剰なアクセス権限が付与されていないかを定期的にチェックする
Network Access Analyzerは意図しない広範なネットワークアクセス発見が目的で、特定エンドポイント間の経路確認や阻害コンポーネント特定には適していません。
DAmazon CloudWatch Network Monitorでプローブを設定してリアルタイムの遅延・パケットロスを継続的に監視し、異常検知時にアラームを発報する
CloudWatch Network Monitorはリアルタイムプローブ遅延監視サービスで、実トラフィックが必要。設定ベースの事前疎通確認には使用できません。
解説
Reachability Analyzerは実際のトラフィックを送信せずにルートテーブル・セキュリティグループ・NACLなどの設定を静的解析し、疎通の可否・経路・阻害コンポーネントを特定します。CreateNetworkInsightsPath APIとStartNetworkInsightsAnalysis APIでCI/CDに組み込んだ自動検証が可能です。
選択肢AのVPC Flow Logsは実際にトラフィックを送信した後の記録であり、事前の疎通確認や阻害コンポーネントの特定には使えません。
選択肢CのNetwork Access Analyzerは意図しない広範なネットワークアクセスを発見するサービスで、特定エンドポイント間の経路確認には適しません。
選択肢DのCloudWatch Network Monitorは実プローブによるリアルタイム遅延監視サービスで、設定ベースの事前疎通確認には使用できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →