セキュリティグループ機能

• 仮想サーバの場合

  • 「True」を指定します。（通常のケース）
    IngressまたはEgressのどちらか一方のルールがあれば、自動的に対向のルールが生成されます。自動的に生成されたルールのタイマーは以下のとおりです。

    • non-TCP：180秒
    • TCP：86400秒
      ヒント: ICMPで type（type 8, 13, 15, 17）を指定しない場合は、ICMPルールが Statelessとなり、自動的に生成されるルールのタイムアウト制限はありません。
    重要:

    タイムアウトした場合、コネクションが残っていても通信が遮断されます。

    タイムアウトによる通信遮断を回避する場合は、以下のどちらかを実施してください。

    • Keep-aliveを86400秒未満に設定する

      基盤メンテナンス（ホストのバージョンアップなど）のタイミングで、確立済みの TCPコネクションで無通信状態が長く続くと、通信が遮断されるおそれがあります。無通信状態を発生させない方法として、Keep-aliveの通信間隔を60秒未満に設定することを推奨します。

    • Statefulに「False」を指定する

      この場合、Egressで許可した出力パケットに対する戻りのパケットを許可するルールが必要です。

    注: 仮想サーバで Port Unreachableなどの ICMPエラー発生後に継続して ping通信ができない場合は、仮想サーバが使用するセキュリティグループの「ingress any/any rule」と「egress any/any rule」を削除し、通信に必要なルールを追加してください。
  • 「False」を指定します。（トランザクション性能向上または大量コネクション生成のケース）

    具体例については「仮想サーバとベアメタルサーバのセキュリティグループ機能の差分」の表を参照してください。

  注: 仮想サーバの停止・起動操作時に、仮想ルータに対して、仮想サーバ停止以前から 5秒未満の周期で継続的に ICMP通信しており、かつ仮想サーバ起動後も通信し続けている場合、OS起動後に一定時間（数分程度）当該通信ができないおそれがあります。この場合、セキュリティグループルールに以下の許可ルールを追加してください。

  • egress ICMP type=8、code=0（type=8 は Echo Request（エコー要求））
  • ingress ICMP type=0、code=0（type=0 は Echo Reply（エコー応答））

• ベアメタルサーバの場合

  「False」を指定します。

インバウンドの場合は送信元、アウトバウンドの場合は送信先

• 仮想サーバの場合

  以下のどちらかの形式で指定します。

  • CIDR形式のIPアドレス
  • セキュリティグループ

  送信元と送信先が異なるサブネット、かつ異なる仮想ルータに所属する場合、CIDR形式のIPアドレスで指定することを推奨します。

  セキュリティグループを指定した場合、指定したセキュリティグループが設定されている、すべてのポートのIPアドレスが対象となります。なお、それらのポートに「通信許可するアドレスペア」が存在する場合は、アドレスペアのIPアドレスも対象となります。

  注: 指定したセキュリティグループが設定されている、仮想サーバやすべてのポートを削除すると、設定したセキュリティグループルールが無効になる場合があります。通信相手のポートに対してセキュリティグループルールを再設定して下さい。

  

• ベアメタルサーバの場合

  CIDR形式のIPアドレスで指定します。

注: CIDR形式のIPアドレスで指定する場合、CIDRのプレフィックス長に基づくホスト部のbitは、すべて0を指定してください。

IPプロトコル

省略した場合は、すべてのプロトコルの通信が許可されます。

有効な指定値についてはCreate security group ruleを参照してください。

プロトコル情報に対応する開始ポート番号

単一のポートとしたい場合は、開始ポート番号と終了ポート番号に同一の値を指定します。