ファイアウォールとサービスリンク

このセクションでは、ファイアウォール設定とサービスリンク接続について説明します。

次の図では、設定は Amazon VPC を AWS リージョンから Outpost に拡張します。 Direct Connect パブリック仮想インターフェイスは、サービスリンク接続です。次のトラフィックがサービスリンクと Direct Connect 接続を通過します。

インターネット接続にステートフルファイアウォールを使用してパブリックインターネットからサービスリンク VLAN への接続を制限している場合、インターネットから開始されるすべてのインバウンド接続をブロックできます。これは、サービスリンク VPN は Outpost からリージョンにのみ開始され、リージョンから Outpost には開始されないためです。

UDP と TCP 対応の両方のステートフルファイアウォールを使用してサービスリンク VLAN に関する接続を制限する場合は、すべてのインバウンド接続を拒否できます。ファイアウォールがステートフルに動作している場合、Outposts サービスリンクからの許可されたアウトバウンド接続は、明示的なルール設定なしで返信トラフィックを自動的に に戻すことを許可する必要があります。Outpost サービスリンクから開始されたアウトバウンド接続のみを許可として設定する必要があります。

非ステートフルファイアウォールを使用してサービスリンク VLAN に関する接続を制限する場合は、Outposts サービスリンクからリージョンのパブリックネットワークへの AWS Outposts アウトバウンド接続を許可する必要があります。また、Outposts リージョンのパブリックネットワークからサービスリンク VLAN にインバウンドする の返信トラフィックを明示的に許可する必要があります。接続は常に Outposts サービスリンクからアウトバウンドで開始されますが、応答トラフィックはサービスリンク VLAN に戻す必要があります。