ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業はAWS Transit Gateway（TGW）で接続された複数のVPCにAWS Network Firewallを集中型（Centralized Inspection）アーキテクチャで展開し、VPC間（東西）トラフィックのステートフル検査を実施しています。アーキテクチャは以下の通りです。
・検査用VPC（Inspection VPC）にNetwork Firewallを複数AZにデプロイ
・スポークVPCのTGWルートテーブルはすべての宛先トラフィックを検査用VPCのTGWアタッチメントへ向ける
・検査用VPCのTGWルートテーブルはトラフィックを宛先スポークVPCに転送する
本番稼働後に、ステートフルルールで許可されているはずのTCPセッションが断続的にドロップされる問題が発生しました。最も考えられる原因はどれですか？
ANetwork FirewallのStatefulルールグループの評価順序が正しく設定されておらず、デフォルトのドロップルールが許可ルールより先に評価されている
Network Firewallのステートフルルール評価順序の問題は、断続的ではなく一貫したドロップとして現れるため原因として適切ではありません。
BInspection VPCのTGWアタッチメントでアプライアンスモードが無効のため、同一TCPセッションの往復パケットが異なるAZのFirewallエンドポイントを経由する非対称ルーティングが発生している
✓ 正解
Transit Gatewayのアプライアンスモードが無効の場合、TGWはAZローカルを優先したルーティングを行います。その結果、同一TCPセッションのSYNパケットがAZ-aのNetwork Firewallエンドポイントを経由する一方、ACKや後続パケットがAZ-bのエンドポイントを経由する非対称ルーティングが断続的に発生します。各エンドポイントはセッション状態をローカルに管理するため、セッション確立を認識していないエンドポイントが後続パケットをドロップします。Inspection VPCのTGWアタッチメントでアプライアンスモードを有効にすることで同一フローの全パケットが同じAZのエンドポイントを経由することが保証されます。
CNetwork Firewallのステートフルルールエンジンの処理容量が不足しており、高トラフィック時にパケットが処理されずにドロップされている
Network Firewallキャパシティ不足は、AWSマネージドサービスとして自動スケーリングされるため通常は発生しません。
DInspection VPCのNetwork Firewallエンドポイントが配置されたサブネットのルートテーブルにデフォルトルートが未設定のため、戻りトラフィックがルーティングされない
VPCサブネットのルートテーブルのデフォルトルート未設定は、断続的ではなく常時のルーティング障害としてすべてのトラフィックに影響します。
解説
Transit Gatewayのアプライアンスモードが無効の場合、TGWはAZローカルを優先したルーティングを行います。その結果、同一TCPセッションのSYNパケットがAZ-aのNetwork Firewallエンドポイントを経由する一方、ACKや後続パケットがAZ-bのエンドポイントを経由する非対称ルーティングが断続的に発生します。各エンドポイントはセッション状態をローカルに管理するため、セッション確立を認識していないエンドポイントが後続パケットをドロップします。Inspection VPCのTGWアタッチメントでアプライアンスモードを有効にすることで同一フローの全パケットが同じAZのエンドポイントを経由することが保証されます。
選択肢AのNetwork Firewallのステートフルルール評価順序の問題は、断続的ではなく一貫したドロップとして現れるため原因として適切ではありません。
選択肢CのNetwork Firewallキャパシティ不足は、AWSマネージドサービスとして自動スケーリングされるため通常は発生しません。
選択肢DのVPCサブネットのルートテーブルのデフォルトルート未設定は、断続的ではなく常時のルーティング障害としてすべてのトラフィックに影響します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →