やりたいこと
リクエストのパスに特定の文字が含まれていた場合に、アクセスできるIPアドレスを制限したい
| ソースIP | パス | 期待値 |
|---|---|---|
| IPアドレスA | /test/を含むパス | 接続可能 |
| IPアドレスA | /test/を含まないパス | 接続可能 |
| IPアドレスB | /test/を含むパス | 接続不可 |
| IPアドレスB | /test/を含まないパス | 接続可能 |
example.com/test/hoge/index.html → Aのみ接続可能
example.com/hoge/test/index.html → Aのみ接続可能
example.com/hoge/hoge/index.html → A,Bともに接続可能
やり方
AWS WAFの機能で実装
/tes/を含むパスかつ特定のIP以外のアクセスを拒否するrule groupを作成する
webACLをデフォルトアクションを許可で作成し、作成したルールグループを適用
検証
許可IPでないと/test/を含むパスにアクセスできないように設定してみる
1.apacheサーバーにテストページを3つ作成
[ec2-user@ip-172-31-46-226 hoge]$ ls -1 "$(pwd)"/* /var/www/html/test/hoge/index.html [ec2-user@ip-172-31-46-226 test]$ ls -1 "$(pwd)"/* /var/www/html/hoge/test/index.html [ec2-user@ip-172-31-46-226 hoge]$ ls -1 "$(pwd)"/* /var/www/html/hoge/hoge/index.html
2.許可IPと許可無しのIP両方から、3つのテストページにアクセスできることを確認
EC2とALBとroute53を紐づける
許可IPからアクセス確認
許可無しのIPからアクセス確認
3.webACLの作成
許可IPを含めたIPセットを作成
/test/を含むパスかつ特定のIP以外のアクセスを拒否するrule groupを作成
statement1
| nagate statement results | inspect | Match type | string to match |
|---|---|---|---|
| チェック入れない | URL path | contains string | test |
statement2
| nagate statement results | inspect | IP set |
|---|---|---|
| チェック入れる | originates from an IP address in | y-ishikawa-bpn-ipset |
actionはbrockに設定
webACLを作成
webACLをデフォルトアクションを許可で作成し、作成したルールグループを適用し、albにアタッチする
4.許可IPから3つのテストページ全てにアクセスできることを確認
5.許可なしIPから、/test/を含むパスにアクセスできないことを確認
6.許可なしIPから、/test/を含まないパスにアクセスできることを確認
最後に
参考になれば幸いです！！
