AWS Network Firewall
VPC 向けネットワーク firewall
VPC 内に配置するマネージドのステートフル firewall で、5-tuple ルール、ドメインフィルタリング、Suricata 互換の IPS ルールにより、VPC への出入りや VPC 間のトラフィックをフィルタリングします。
- コスト$$$ 高め
- 難易度●●●●●
- 未使用でも課金？はい
- AWS マネージド
- 出題試験SAA · SOA
たとえるなら工業団地のゲートで出入りするすべての車両を検査する検問所のようなものです。
いつ使う？
✓ 使うべき場面
IDS/IPS や外向きドメインのフィルタリングなど、security group/NACL より深いネットワークトラフィックのフィルタリングが必要なとき。
✗ 避けるべき場面
Web アプリケーションを SQLi/XSS から保護 → WAF。ポート単位の基本的なフィルタリング → security group。
よくある使い方
- EC2 から許可されていないドメインへのアクセス遮断
- Transit Gateway 経由の VPC 間トラフィックの IPS 検査
- egress の一元管理
料金はいくら？
- 課金方式: AZ ごとの各 firewall endpoint の時間料金に、処理したトラフィックの GB 料金が加算されます。
⚠️ 料金の落とし穴
複数の AZ と複数の VPC に endpoint を置くと、固定費がかなり大きく積み上がります。
関連サービス
SAA-C03 対策
Network Firewall は次の対策モジュールで扱っています：