Recommandé
Recommandé
Contenu connexe
Tendances
Tendances (20)
Similaire à CloudFront最近の事例と間違った使い方
Similaire à CloudFront最近の事例と間違った使い方 (20)
CloudFront最近の事例と間違った使い方
- 1. 第12回 JAWS-UG札幌 勉強会 2014/01/17（金） CloudFront 最近の事例と間違った使い方 株式会社データクラフト 大内 寛和
- 4. 最近の事例
- 10. サムネイルの表示が早い！
- 11. もちろん、費用はかかる
- 13. 間違った使い方
- 15. The request could not be satisfied ・オリジンに接続できない (HTTP 504) → アクセス元のIPアドレス、ポートが制限されている （オリジンのIPが引けない場合は、別のエラー） ・オリジンの応答が遅い (HTTP 504) → 応答に10秒以上かかっている（CFは3回リトライする） ・CNAMEsを設定していない (HTTP 403) → 独自ドメインでアクセスする場合、CFのディストリビューションに設定が必要 ・ディストリビューションが非アクティブ (HTTP 403) → CFのディストリビューションが無効状態
- 17. ネットワークフィルタのイメージ Network ACL IN： httpを許可 Security Group Web Server CloudFront OUT： 49152-65535 を許可 接続元ポート (Ephemeral port) OUT： 全て許可 Subnet
- 18. VPC Network ACL 設定例
- 19. VPC Network ACL 設定例
- 20. Ephemeralポート 多くのLinuxカーネル(Amazon Linuxを含む)：32768-61000 Windows XP、Windows Server 2003：1025-5000 Windows Vista、Windows 7、Windows Server 2008：49152-65535 Mac OS X、Mac OS X Server：49152-65535 FreeBSD 5.0：49152-65535 AIX、HP-UX：32768 - 65535
- 21. CFのEphemeralポートは？ 多くのLinuxカーネル(Amazon Linuxを含む)：32768-61000 Windows XP、Windows Server 2003：1025-5000 Windows Vista、Windows 7、Windows Server 2008：49152-65535 Mac OS X、Mac OS X Server：49152-65535 FreeBSD 5.0：49152-65535 AIX、HP-UX：32768 – 65535 32768以降に変更すれば・・・？
- 22. だめでした
- 23. デフォルトのNetwork ACLで、 CFのEphemeral portを確認 # netstat -al | grep serv tcp 0 0 10.0.1.6:http server-54-240-146-207:38071 TIME_WAIT tcp 0 0 10.0.1.6:http server-54-240-146-207:36867 TIME_WAIT tcp 0 0 10.0.1.6:http server-54-240-146-207:37525 TIME_WAIT tcp 0 0 10.0.1.6:http server-54-240-146-207:37024 TIME_WAIT tcp 0 0 10.0.1.6:http server-54-240-146-207:37711 TIME_WAIT tcp 0 0 10.0.1.6:http server-204-246-186-69.: tcp 0 0 10.0.1.6:http server-54-240-146-207:37914 TIME_WAIT tcp 0 0 10.0.1.6:http server-54-240-146-207:36712 TIME_WAIT 6730 TIME_WAIT
- 24. AWSのドキュメントをよく読む Ephemeral Ports The example network ACL in the preceding section uses an ephemeral port range of 49152-65535. However, you might want to use a different range for your network ACLs. This section explains why. The client that initiates the request chooses the ephemeral port range. The range varies depending on the client's operating system. Many Linux kernels (including the Amazon Linux kernel) use ports 32768-61000. Requests originating from Elastic 1024-65535 Load Balancing use ports . Windows operating systems through Windows Server 2003 use ports 1025-5000. Windows Server 2008 uses ports 4915265535. Therefore, if a request comes in to a web server in your VPC from a Windows XP client on the Internet, your network ACL must have an outbound rule to enable traffic destined for ports 1025-5000. If an EC2 instance in your VPC is the client initiating a request, your network ACL must have an inbound rule to enable traffic destined for the ephemeral ports specific to the type of instance (Amazon Linux, Windows Server 2008, and so on.). In practice, to cover the different types of clients that might initiate traffic to public-facing instances in your VPC, you need to open ephemeral ports 1024-65535. However, you can also add rules to the ACL to deny traffic on any malicious ports within that range. Make sure to place the DENY rules earlier in the table than the rule that opens the wide range of ephemeral ports.
- 26. できた！
- 28. Note: Network ACLs are stateless, which means for any given request you want to handle, you must create rules in both directions. For example, to handle inbound traffic to a web server in your VPC, you must allow both inbound TCP port 80, and outbound TCP ports 1024-65535.
- 29. すいませんでした