無限ノック › SOA 練習問題一覧 › 問題SOA ネットワークとコンテンツ配信
ある企業のネットワーク担当者が、VPCの設定変更後に問題を調査しています。プライベートサブネット内のEC2インスタンスA（10.0.1.10）から、同一VPC内の別のプライベートサブネットにあるEC2インスタンスB（10.0.2.10）へのTCP 443通信が失敗しています。原因が「セキュリティグループ」「NACL（Network Access Control List：サブネットレベルのステートレスファイアウォール）」「ルートテーブル」のいずれにあるかを、実際のトラフィックを発生させずに特定したいと考えています。最も適切なアプローチはどれですか？
A VPC Flow Logsを両サブネットで有効にして、CloudWatch Logs Insightsでアクション「REJECT」のエントリを分析する
VPC Flow Logsはサブネットを通過した実際のトラフィックを記録しますが、どのルールが原因かを特定する機能はなく、また実トラフィックが発生することが前提のためこの要件を満たしません。
B VPC Reachability Analyzerで、ソース（インスタンスA）とデスティネーション（インスタンスB）、プロトコルとポート（TCP 443）を指定してパス分析を実行する
✓ 正解
VPC Reachability Analyzerは、実際のパケットを一切送信せずに特定の送信元と宛先間のネットワークパスをホップごとに論理的に分析するサービスです。セキュリティグループのインバウンド/アウトバウンドルール、NACLのステートレスな双方向ルール、ルートテーブルのどのコンポーネントが通信をブロックしているかを具体的に特定し、原因コンポーネントを明示します。
C AWS Network Access Analyzerを使用してVPC内のネットワークアクセス範囲を分析し、意図しないアクセス経路を検出する
Network Access Analyzerは「インターネットから予期せずアクセス可能なリソース」などのセキュリティリスクを発見するツールであり、特定2点間の疎通問題のトラブルシューティングには適していません。
D AWS Systems Manager Session Managerでインスタンスに接続し、curlコマンドで接続テストを実施して結果を確認する
Session Managerを使ってcurlを実行することは実際のトラフィックを発生させるため、「トラフィックを発生させずに」という要件を満たしません。
解説 正解：
VPC Reachability Analyzerで、ソース（インスタンスA）とデスティネーション（インスタンスB）、プロトコルとポート（TCP 443）を指定してパス分析を実行する。
VPC Reachability Analyzerは、実際のパケットを一切送信せずに特定の送信元と宛先間のネットワークパスをホップごとに論理的に分析するサービスです。セキュリティグループのインバウンド/アウトバウンドルール、NACLのステートレスな双方向ルール、ルートテーブルのどのコンポーネントが通信をブロックしているかを具体的に特定し、原因コンポーネントを明示します。
選択肢Aは、VPC Flow Logsはサブネットを通過した実際のトラフィックを記録しますが、どのルールが原因かを特定する機能はなく、また実トラフィックが発生することが前提のためこの要件を満たしません。
選択肢Cは、Network Access Analyzerは「インターネットから予期せずアクセス可能なリソース」などのセキュリティリスクを発見するツールであり、特定2点間の疎通問題のトラブルシューティングには適していません。
選択肢Dは、Session Managerを使ってcurlを実行することは実際のトラフィックを発生させるため、「トラフィックを発生させずに」という要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →