社外の取引先が許可リストに登録した固定IPアドレスへTCP 8443で接続する。
TLSはバックエンドのアプリケーションで終端し、接続元IPもアプリケーションへ渡したい。複数AZで高スループットに分散する。
最も適切な構成はどれか。
固定IP、TCP、TLSパススルー、高スループットという要件には、AZごとの静的IPを持つNLBのTCPリスナーを使用する。
詳細解説
CloudFrontはHTTP(S)コンテンツ配信向けであり、任意のTCP 8443サービスへの接続受付や取引先向け固定IPの提供には使えない。
Gateway Load Balancerはネットワーク仮想アプライアンスの挿入とスケールが目的で、一般的なアプリケーションのTCP負荷分散や固定IP公開の選択肢ではない。
NLBはTCP接続を高性能に分散し、AZごとに静的IPまたはElastic IPを提供できる。TCPリスナーならTLSをバックエンドへパススルーでき、接続元IPも保持できる。
NLBはTCP接続を高性能に分散し、AZごとに静的IPまたはElastic IPを提供できる。TCPリスナーならTLSをバックエンドへパススルーでき、接続元IPも保持できる。
ALBはHTTP/HTTPSのレイヤー7ルーティング向けであり、任意のTCPサービスのTLSパススルーと固定IP要件を同時に満たさない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
Elastic Load BalancingのNLBにおける静的IP、TCPリスナー、接続元IP保持の公式説明を確認する。
参考にした公式資料
確認できる内容
取引先は許可済みのNLBアドレスへ接続し、TLS終端とアプリケーション処理はバックエンドで行われる。
理解のポイント
- Network Load Balancer
- TCPリスナー
- 静的IPとTLSパススルー
確認時の注意
- 確認環境:
- AWS公式SAA-C03ガイドと各サービスの公式ドキュメントで現行仕様を確認する。
基礎のおさらい
L4とL7
TCPポートや接続の分散はL4、URLパスやHTTPヘッダーによる振り分けはL7の責務である。
IPとTLSの責務
許可リスト用の入口アドレス、ロードバランサーの終端方式、バックエンドの暗号化処理を別々に設計する。