AWS Network Firewall を VPC に構成して送信トラフィックを検査する

このラボでは、マネージド型のステートフルファイアウォールである AWS Network Firewall を VPC に展開し、特定のドメイン宛のアウトバウンド通信だけを許可するフィルタリングを構成します。テスト用の EC2 インスタンスから実際に通信を行い、許可されたドメインと拒否されたドメインで挙動が変わることを確認します。

このラボには事前構築されたスターター環境（VPC・サブネット・テスト用 EC2）が用意されています。あなたはその上にファイアウォールと検査ルーティングを追加します。

学習目標

• Network Firewall の「ステートフルルールグループ → ファイアウォールポリシー → ファイアウォール」という3層構成を理解する
• ファイアウォール専用サブネットにファイアウォールエンドポイントを展開する
• ワークロードサブネット・IGW エッジ・ファイアウォールサブネットの3つのルートテーブルを使って、送信トラフィックをファイアウォール経由に強制する（分散デプロイモデル）
• ドメインリスト型のステートフルルールでアウトバウンドのドメインフィルタリングを実装する
• EC2 から実際に通信して許可／拒否の動作を検証する

前提（スターター環境）

セッション開始時点で、次のリソースが作成済みです（CloudDo が自動構築）。

• VPC: anfw-lab-vpc（CIDR 10.20.0.0/16）
• ワークロードサブネット: anfw-lab-workload-subnet（10.20.1.0/24、ap-northeast-1a）— テスト用 EC2 が配置済み
• ファイアウォールサブネット: anfw-lab-firewall-subnet（10.20.2.0/28、ap-northeast-1a）— 空。ここにファイアウォールエンドポイントを置きます
• インターネットゲートウェイ: anfw-lab-igw（VPC にアタッチ済み）
• ベースラインルートテーブル: anfw-lab-rt-public（0.0.0.0/0 → anfw-lab-igw、ワークロードサブネットに関連付け済み）— 初期状態ではワークロードサブネットからインターネットへ直接出られます。手順5-2でファイアウォール経由のルートテーブルに付け替えます
• テスト用 EC2: anfw-lab-test-instance（Amazon Linux 2023、t3.micro、SSM 管理）

最初に各リソースの ID を控えておくと作業がスムーズです。VPC コンソールの「お使いの VPC」「サブネット」画面で、上記の Name タグから ID を確認できます。

参考リンク

• AWS Network Firewall — マネージド型ステートフルファイアウォールの製品ページ
• AWS Network Firewall ドキュメント — ルールグループ・ポリシー・ファイアウォールの開発者ガイド
• Amazon VPC ユーザーガイド — ルートテーブルやサブネット構成の基礎
• Amazon EC2 — テスト用インスタンスを稼働させる仮想サーバー
• AWS Systems Manager Session Manager — SSH キー不要でシェル接続する仕組み
• Amazon CloudWatch — ファイアウォールのログとメトリクスの監視