理解確認：ネットワークトラフィックの可視化とトラブルシューティング

新しいVPC間接続を本番投入する前に、EC2-AからEC2-BのTCP 443へ現在のネットワーク設定上到達可能か確認したい。

前日の障害時間帯に、クライアントからサーバーへのTCP 443通信が実際に観測され、許可または拒否されていたか確認したい。

Reachability Analyzerでは宛先への経路が到達可能になっているが、HTTPS接続は失敗する。次に確認すべき領域として最も適切なのはどれか。

VPCフローログに 10.0.1.10 → 10.0.2.20:443 ACCEPT が記録されている。この記録から判断できるものはどれか。

正しい宛先CIDRへのルートは作成済みだが、特定サブネットのEC2だけ宛先へ通信できない。そのサブネットには別のルートテーブルが関連付けられている。最初に確認すべきものはどれか。

EC2のセキュリティグループでHTTPSのインバウンド通信を許可している。クライアントからの要求は到達し、サーバーは同じ接続への応答を返す。セキュリティグループの性質として、この戻り通信を理解する最も適切な説明はどれか。

ネットワークACLに 100 DENY 10.0.0.0/8、200 ALLOW 10.0.1.0/24 の順でルールがある。10.0.1.10からのトラフィックはどう評価されるか。

EC2からAmazon提供DNSへの名前解決障害を調査している。VPCフローログにはDNS トラフィックが記録されていない。最も適切な調査手段はどれか。

セキュリティ要件として「インターネットゲートウェイからプライベート DBへ到達できる潜在的なネットワーク経路が存在してはいけない」と定義されている。多数のリソースをまとめて検証したい。

IDSアプライアンスへENIのトラフィックをコピーし、パケット内容まで詳細に分析したい。最も適切なのはどれか。

オンプレミス → VPN → Transit Gateway → VPCへの往路ルートは正常だが、AWS側からオンプレミスへのルートが存在しない。最も適切な判断はどれか。

次の3要件に対応するツールを3つ選択してください。

• 本番投入前に設定上の到達性を検証したい
• 障害時間帯に実際のIPフローが拒否されたか確認したい
• VPC内のDNS クエリを確認したい

本番VPC間に新しい通信経路を追加する前に、実パケットを流さず、現在のルート・セキュリティグループ・ネットワークACL・Transit Gatewayの標準ルートテーブル設定から到達可否を事前確認したい。Reachability Analyzerを採用する理由として最も適切なのはどれか。

VPC フローログで対象通信がREJECTになっている。最も適切な判断はどれか。