注目★★★★★AWS
AWS Network Firewall、デフォルト動作を変更し断続的な接続切れを防止
30秒で把握
- 1AWS Network Firewall の新規ポリシーデフォルトを server-directed only に変更
- 2旧設定による TCP パケットのサイレントドロップ・断続的接続障害が解消
- 3PQC 環境で旧設定使用中の場合は to_server フラグ追加など対応が必要
要約
AWS Network Firewall は、新規作成するファイアウォールポリシーのデフォルトステートフルアクションを「Application drop established (bidirectional)」から「Application drop established (server-directed only)」に変更した。旧デフォルトはウィンドウ更新・キープアライブ・リセットなど正当なサーバー→クライアントの TCP パケットをサイレントドロップし、診断が困難な断続的接続障害を引き起こしていた。新規ポリシーではこの問題が自動的に回避され、追加作業は不要。既存環境で PQC（ポスト量子暗号）の断片化 TLS ハンドシェイク対応のために旧設定を使用している場合は、TCP ドロップルールに「to_server」フラグを追加するか新デフォルトへ切り替える対応が必要。
あなたへの影響
既存のファイアウォールポリシーは影響を受けないが、PQC 対応環境で bidirectional 設定を明示的に使用しているチームはドキュメントを参照し「to_server」フラグの追加を検討すること。
推奨：新規ポリシーのみ変更が自動適用されるため、即時対応は不要な場合が多い。