Layer 別に回答
Source / Destination → DNS → Route / IGW / NAT → Subnet / NACL → Security Group → Host Firewall → Application Listener → Log / VPC Flow Logs。
頻出質問
| 質問 | 回答の要点 |
|---|---|
| SG / NACL | ENI、Stateful、Allow-only / Subnet、Stateless、Allow-Deny、Rule Number |
| ALB / NLB / GWLB | HTTP Content / L4・固定 IP / Security Appliance |
| ALB だけ EC2 へ許可 | App SG の Source に ALB SG を参照し、ALB IP を固定しない |
| Timeout / Refused / Permission Denied | Network Path / Service Listener / SSH Identity |
| Route 53 Policy | Weighted、Latency、Failover、Geo、IP-based は DNS Answer 選択 |
| Hybrid DNS | On-prem → AWS は Inbound、AWS → On-prem は Outbound + Resolver Rule |
| CloudFront / Global Accelerator | HTTP Cache・Edge / TCP-UDP Anycast IP・Path 最適化 |
境界
- Public IP があっても Internet 到達性は保証されません。
- Route 53 Failover は DNS Answer を変えるだけで、既存 Connection の移行や完全な DR ではありません。
- Alias は Zone Apex で対応 AWS Target を指せますが、CNAME は使えません。
- ELB が Active でも Target が Healthy とは限りません。
- ASG は Capacity と置換、ELB は Healthy Target への分散を担当します。
要点
Network は Layer ごとに調査し、Timeout を Security Group だけで解決しようとしません。