AWS Network Firewall
VPC のトラフィックをステートフルに検査し、侵入防止やドメインフィルタリングを行うマネージドネットワークファイアウォールサービス
概要
AWS Network Firewall は、VPC 内のネットワークトラフィックをきめ細かく制御するマネージドファイアウォールサービスです。セキュリティグループや NACL では対応できない高度なトラフィック検査 (ステートフルインスペクション、侵入検知と防止、ドメインベースのフィルタリング、TLS インスペクション) を提供します。Suricata 互換のルールエンジンを採用しており、多くの Suricata ルールを変更なしで使えます。Transit Gateway や Gateway Load Balancer と組み合わせて、マルチ VPC 環境の集中型ファイアウォールとして運用できます。
ステートレスルールとステートフルルールの 2 段構成
Network Firewall のルールは、ステートレスルールグループとステートフルルールグループの 2 種類で構成されます。ステートレスルールは IP アドレス、ポート、プロトコルに基づく単純なフィルタリングで、NACL に近い動作をします。ステートフルルールはコネクションの状態を追跡し、Suricata 互換の 5-tuple ルール、ドメインリストルール、Suricata IPS ルールの 3 形式で記述できます。開発者ガイドによると、ステートフルルールは Suricata 互換で、多くの Suricata ルールは変更なしで動作しますが、Lua スクリプトやしきい値の設定など対応していない機能もあります。Azure Firewall では IDPS は Premium SKU の機能で、Microsoft のドキュメントではシグネチャごとにモード (無効 / 警告 / 警告と拒否) を切り替えて調整すると説明されています (2026 年 10 月時点)。実務では、ステートレスルールで明らかに不要なトラフィック (既知の悪意ある IP レンジ) を先にドロップし、残りのトラフィックをステートフルルールで詳細に検査する 2 段構成をとる方法があります。
ドメインフィルタリングと TLS インスペクション
Network Firewall のドメインリストルールは、特定のドメインへの HTTP/HTTPS 通信のみを許可する用途に使えます。外部 API への通信を制限する場合や、マルウェアの C2 (Command and Control) 通信をブロックする場合が用途の例です。HTTP 通信では Host ヘッダー、HTTPS 通信では TLS の SNI (Server Name Indication) フィールドを検査してドメインを判定します。外向きの通信に TLS インスペクションを設定すると、暗号化されたトラフィックの中身まで検査できますが、ACM (AWS Certificate Manager) で管理する CA 証明書を使って通信を復号 / 再暗号化するため、クライアント側に CA 証明書を信頼させる設定が必要です。
集中型インスペクション VPC と Firewall Manager による組織展開
Network Firewall のデプロイパターンの 1 つに、集中型インスペクション VPC があります。Transit Gateway のルーティングで全 VPC のインターネット向けトラフィックをインスペクション VPC 経由に集約し、Network Firewall で一元的に検査します。この構成により、各 VPC に個別のファイアウォールを配置する必要がなくなり、ルール管理が集約されます。Firewall Manager と組み合わせると、Organizations の組織全体または一部のアカウントと VPC にファイアウォールポリシーを適用でき、分散型の管理モデルでは、ポリシーの対象範囲のアカウントと VPC ごとに Firewall Manager がファイアウォールを作成してエンドポイントを配置します。コスト面の注意点として、ファイアウォールエンドポイントは AZ ごとに作成する必要があり、3 AZ 構成では 3 つのエンドポイント分の固定料金が発生します。加えてトラフィック処理量の従量課金もあるため、大量のトラフィックを処理する環境ではコストが無視できません。セキュリティグループと NACL で十分な要件であれば、Network Firewall を導入せずに済むケースもあります。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。