2026.07.22 インフラ

AWS Network Firewallとは？仕組み・ルール・料金とセキュリティグループとの違いを実装目線で解説

AWS Network Firewallは、VPCの出入り口を通るトラフィックを、AWSがマネージドで監視・遮断してくれるステートフルなファイアウォールサービスです。セキュリティグループやネットワークACLでは表現しきれない、通信フローの状態やドメイン名、シグネチャに基づく細かい制御をVPC全体にまとめてかけられます。ルールエンジンはオープンソースのIDS/IPSであるSuricataと互換で、既存の検知ルールをほぼそのまま持ち込める点が実装上の入り口になります。

この記事では、専用サブネットとファイアウォールエンドポイントを使った構成、ステートレスとステートフルの2種類のルールグループ、ドメインフィルタリングの設定、セキュリティグループやWAFとの違い、2026年7月時点の料金、そして採用すべき条件と見送る場面までを、AWSインフラを設計・運用する担当者の解像度で整理します。

まとめ：AWS Network Firewallの要点を先に押さえる

  • AWS Network Firewallは、VPCを通るトラフィックをL3〜L7で検査するマネージドなステートフルファイアウォールで、可用性とスケーリングはAWS側が受け持つ。
  • 専用のファイアウォールサブネットにエンドポイントを置き、ルートテーブルを書き換えて通信をそこへ通す構成をとる。
  • ルールはステートレス（5タプルの高速判定）とステートフル（Suricata互換の検査・ドメイン制御）の2層で、既存Suricataルールを持ち込める。
  • セキュリティグループやネットワークACLがインスタンス・サブネット単位の許可制御なのに対し、Network FirewallはVPC全体の集中防御と侵入防止を担う。L7のHTTP保護はWAFの領分で、両者は役割が別。
  • 料金はエンドポイントの時間課金とデータ処理の従量が主体。少数のVPCで単純な許可制御しか要らないなら、セキュリティグループで足りて見送りが妥当な場面もある。

AWS Network Firewallとは：VPCを守るマネージドなネットワーク防御

AWS Network Firewallの中核は、VPCという境界を通る東西・南北のトラフィックを一箇所で検査し、許可・遮断・警告を判断する点にあります。従来のVPC設計では、通信の可否をセキュリティグループ（ENI単位）とネットワークACL（サブネット単位）で表現してきました。ただしこの2つは、送信元・宛先・ポートといった単純な条件しか書けず、通信の中身やドメイン名で止める、といった制御はできません。

Network Firewallを挟むと、フローの状態を追ったうえで「このドメインへの通信だけ許す」「この攻撃シグネチャに一致したら破棄する」という判断が可能になります。しかもファイアウォールの実体はAWSがマネージドで運用し、トラフィック量に応じて自動でスケールするため、アプライアンスの冗長化やパッチ適用を自前で抱えずに済みます。複数のVPCやアカウントをまたぐ大規模構成では、後述のTransit Gatewayと組み合わせて検査点を集約する設計が現実的です。

ファイアウォールサブネットとエンドポイントで通信を検査する構成

Network Firewallは、検査専用の小さなサブネットを各アベイラビリティーゾーンに1つ用意し、そこにファイアウォールエンドポイントを配置する構成をとります。実際のトラフィックは、このエンドポイントを必ず経由するようにルートテーブルで経路を書き換えます。たとえばインターネットゲートウェイからの戻り通信や、サブネットからの外向き通信を、いったんファイアウォールサブネットへ向けてから目的地へ通す、という流れです。

この経路制御を怠るとトラフィックがエンドポイントを素通りし、ルールを書いても何も検査されません。設計の勘所は、サブネットのルートテーブルとインターネットゲートウェイのエッジ関連付けを両方書き換え、対称的な経路（行きと帰りが同じエンドポイントを通る）を確保することです。可用性のため、本番ではエンドポイントを複数AZに分散させ、各AZのサブネットが自ゾーンのエンドポイントを向くように設計します。エンドポイントはAZごとに課金対象となるため、この冗長化の粒度がそのまま費用に効いてきます。

ステートレスとステートフルのルールグループとSuricata互換ルール

ルールは2階層で構成します。最初に通るのがステートレスルールグループで、送信元・宛先IP、ポート、プロトコルの5タプルをパケット単位で高速に判定します。ここで即座に通す・破棄するを決め切れる通信を捌き、判断を保留した通信だけを次のステートフル検査へ渡すのが基本の流れです。次のステートフルルールグループは、通信フローの状態（接続の確立や方向）を踏まえた検査を行い、ここでSuricata互換のシグネチャやドメインリストが効きます。

ルールグループ 検査単位 主な用途
ステートレス パケット単位（5タプル） 高速な許可・破棄の一次判定
ステートフル フロー単位（接続状態） Suricata検査・ドメイン制御

ステートフルルールの書き方は3通りあります。1つ目はドメインリストで、許可または拒否したい宛先ドメインを列挙する方式です。外向き通信を特定のSaaSやパッケージリポジトリだけに絞り込む用途で使い勝手がよいでしょう。2つ目は5タプルベースの標準ルール、3つ目がSuricata構文の生ルールで、Emerging Threatsなど既存のルールセットを取り込めます。判定アクションはpass（通過）、drop（破棄）、alert（記録のみ）から選び、まずはalertで実トラフィックを観測してからdropへ切り替えると、正規通信を巻き込む事故を避けられます。

セキュリティグループ・ネットワークACL・WAFとの違いと使い分け

混同されやすい3つとの違いを、検査するレイヤーと適用範囲で整理します。セキュリティグループとネットワークACLは、AWSに標準で備わる無料の通信フィルターで、IPとポートによる許可制御が中心です。対してNetwork Firewallは、VPC全体を対象に侵入防止（IPS）やドメイン制御まで踏み込む、有料の集中防御レイヤーという位置づけになります。

機能 検査レイヤー 適用範囲
Network Firewall L3〜L7 VPC全体
セキュリティグループ L3・L4 ENI（インスタンス）
ネットワークACL L3・L4 サブネット
WAF L7（HTTP） CloudFront・ALB

WebアプリケーションのHTTPリクエストをSQLインジェクションやクロスサイトスクリプティングから守るのは、あくまでL7のWAFの役割です。ネットワーク層の攻撃遮断とWebアプリ保護は別レイヤーの防御であり、詳しくはWAFとは？仕組み・ファイアウォール／IPS・IDSとの違いで線引きを確認してください。ファイアウォールという概念そのものの種類や仕組みを押さえたい場合はファイアウォールとは？仕組み・種類とWAF・UTMとの違いが土台になります。なお、通信を止めるNetwork Firewallに対し、不審な振る舞いを検知して知らせる役割はAmazon GuardDutyが担い、両者は遮断と検知で補完し合う関係です。

AWS Network Firewallの料金：エンドポイント時間課金とデータ処理課金

課金は「ファイアウォールエンドポイントの稼働時間」と「エンドポイントを通過したデータ量」の2本立てが基本で、初期費用はありません。2026年7月時点で公開されている米国リージョンの目安は次のとおりで、実際の見積もりはAWS公式の料金ページで最新値とリージョン差を確かめてください。

課金対象 料金の目安
ファイアウォールエンドポイント 1AZ時間0.395ドル
データ処理 1GB0.065ドル
TLS検査エンドポイント 1AZ時間0.489ドル
Active Threat Defense 1GB0.005ドル

費用設計で効いてくるのは、エンドポイントがAZ単位の時間課金である点です。1つのエンドポイントを常時稼働させるだけで月およそ284ドル（0.395ドル×720時間）が積み上がり、3AZ冗長にすればその3倍が固定費になります。データ処理料金はここに通過量ぶんが上乗せされる形です。TLSの中身まで検査するAdvanced Inspectionを有効にすると時間単価が上がり、脅威インテリジェンスを使うActive Threat Defenseは処理量あたりの課金が追加されます。小規模なうちはセキュリティグループとネットワークACLで固定費ゼロの制御に留め、集中防御が要件になった段階でNetwork Firewallへ広げる、という費用の段階設計が現実的でしょう。

AWS Network Firewallを導入すべき条件と見送る判断の基準

導入を勧められるのは、次の条件が揃うときです。第一に、複数のサブネットやVPCをまたぐ通信を一箇所で検査し、外向き通信を許可ドメインだけに絞り込みたいこと。第二に、PCI DSSや社内規程でネットワーク層の侵入防止（IPS）とログ取得が求められること。第三に、Suricataの検知ルールを持ち込んで、セキュリティグループでは書けないシグネチャベースの遮断をかけたいことです。複数アカウント構成なら、Transit Gatewayで通信を集約し、その中央に検査VPCを置く設計が定石で、全体像はAWS Transit Gatewayとは｜仕組み・VPC Peeringとの違い・料金で確認できます。

一方で見送りが妥当な場面もはっきりしています。単一VPCで通信要件が単純なら、セキュリティグループとネットワークACLだけで足り、月数百ドルの固定費を払ってまでエンドポイントを常駐させる意味は薄いでしょう。外向き制御が「特定のIPだけ許可」で済むならNATゲートウェイとルート制御で代替できますし、守りたい対象がWebアプリのHTTP層に閉じるならWAFの導入が先です。VPC設計そのものから見直したい、あるいは自社の要件でNetwork Firewallが本当に要るのか切り分けたい段階なら、要件整理から構築・運用までAWSインフラ構築の支援サービスで相談し、過剰な防御レイヤーを抱え込む前に必要性を見極めるのが近道です。

よくある質問

AWS Network FirewallとセキュリティグループはどちらもFWですが何が違いますか？

セキュリティグループはENI単位で送信元・宛先とポートを許可する無料の基本フィルターで、通信の中身までは見ません。AWS Network FirewallはVPC全体を対象に、フローの状態やドメイン名、Suricataシグネチャで検査する有料の集中防御です。両者は排他ではなく、基本の許可制御をセキュリティグループが、侵入防止とドメイン制御をNetwork Firewallが担うよう重ねて使います。

AWS Network FirewallとWAFはどう使い分けますか？

WAFはCloudFrontやALBの手前でHTTPリクエストを検査し、SQLインジェクションなどWebアプリ層の攻撃を防ぐL7の防御です。Network Firewallはネットワーク層（L3〜L4中心、一部L7）でVPCを通る通信全般を検査します。守る対象がWebアプリのHTTPならWAF、VPCの通信全体や外向き制御ならNetwork Firewallと、レイヤーで切り分けます。

AWS Network Firewallの料金はどのくらいかかりますか？

2026年7月時点の米国リージョンの目安で、ファイアウォールエンドポイントが1AZあたり時間0.395ドル、通過データが1GBあたり0.065ドルです。エンドポイントを1つ常時稼働させると月およそ284ドルが固定費になり、複数AZに冗長化するとその分だけ増えます。TLS検査や脅威インテリジェンスを使うと追加課金が乗るため、公式の料金ページで最新値を確かめてください。

既存のSuricataルールはそのまま使えますか？

ステートフルルールグループはSuricata互換の構文に対応しており、Emerging Threatsのような既存ルールセットを取り込めます。ただしSuricataの全機能・全オプションが対応しているわけではないため、持ち込むルールが対応キーワードの範囲に収まるかは事前確認が要ります。まずはalertアクションで観測し、正規通信を巻き込まないと確認してからdropへ切り替える運用が安全です。

トラフィックがファイアウォールを通らないのはなぜですか？

ほとんどの原因はルートテーブルの設定漏れです。Network Firewallはエンドポイントを経由させて初めて検査するため、サブネットのルートテーブルとインターネットゲートウェイのエッジ関連付けの両方を、ファイアウォールサブネット向けに書き換える必要があります。行きと帰りで別の経路を通る非対称ルーティングになっていると検査が成立しないため、対称な経路を確保してください。

関連記事

資料請求

RELATED POSTS 関連記事

一覧へ戻る