AWSサービスのPublic IPレンジを簡単に取得する

せーの

2015.01.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、せーのです。今日はAWSサービスとアプリコーディングの融合の為に必要なTipsをご紹介します。

AWSのIPレンジはハードコーディングしてはいけない

AWSの各サービスに振分けられているIPアドレスは定期的に変わるので、例えばアプリ内で「リクエストがCloudfront以外のものはエラー」というような処理をする場合、その時点で発表されているIPレンジ（例：https://forums.aws.amazon.com/ann.jspa?annID=2051）をハードコーディングしても時間と共に必ず穴が開いてきます。基本的にAWSにおける「IP」をアプリに組み込むのはバッドノウハウというのが定説です。

ではどうするのか

それでもどうしても「リクエストがCloudfront以外のものはエラー」というような仕様が外せない場合はどうしたら良いのでしょう。その一番現実的な解は「リクエスト時にリアルタイムでIPレンジを取得してマッチング」という実装となります。

IPレンジのリアルタイムな取得

IPレンジのリアルタイムな取得はREST APIで用意されています。

https://ip-ranges.amazonaws.com/ip-ranges.json

こちらを叩くとJSONフォーマットで結果が返ってきます。

https://ip-ranges.amazonaws.com/ip-ranges.json

{
  "syncToken": "1420548129",
  "createDate": "2015-01-06-12-46-01",
  "prefixes": [
    {
      "ip_prefix": "50.19.0.0/16",
      "region": "us-east-1",
      "service": "AMAZON"
    },
    {
      "ip_prefix": "54.239.98.0/24",
      "region": "us-east-1",
      "service": "AMAZON"
    },
    {
      "ip_prefix": "205.251.254.0/24",
      "region": "GLOBAL",
      "service": "AMAZON"
    },
    {
      "ip_prefix": "75.101.128.0/17",
      "region": "us-east-1",
      "service": "AMAZON"
    },
    .........

syncToken:UNIX エポック時刻形式での公開時刻
createDate:公開日時
ip_prefix:CIDR 表記でのパブリック IP アドレス範囲
region:AWS リージョンまたはエッジロケーションの GLOBAL。※CLOUDFRONT および ROUTE53 範囲は GLOBAL であることに注意
service:IP アドレス範囲のサブセット。すべての IP アドレス範囲を取得するには AMAZON を指定します（たとえば、EC2 サブセットの範囲は、AMAZON サブセットにも含まれます）。※一部の IP アドレス範囲は、AMAZON サブセットのみに含まれていることに注意

こちらをプログラムに組み込むことでリアルタイムなIPレンジを取得したコーディングが可能です。JSONフォーマットでも充分使いやすいのですが、JSONをパースするのがめんどくさい、という方に朗報です。最近のアップデートではなんとコマンド一発で色々な形で取得できるんです。そう、Windowsならね。

PowerShellによる取得

まずはPowerShellによる取得です。PowerShellのインストールや概要はこちらの記事を参考にしてください。

AWS Tools for Windows PowerShell : http://aws.amazon.com/jp/powershell/

インストールしたら起動してみましょう。手元にあるWinodowsがWin10 Technical Previewなのでこちらで試してみます。

起動時には「管理者で実行」するように気をつけてください。これを忘れると

The term 'Initialize-AWSDefaults' is not recognized as the name of a cmdlet, function, script file, or operable program.
...後略...

というエラーが出て上手く起動しません。

初めて起動した方はRegionやCredentials情報を聞かれるかと思いますのでIAM UserでAPI Key, API Secretを取得しておきましょう。では起動したら早速IPレンジを取得してみます。取得方法は簡単、Get-AWSPublicIpAddressRangeこれだけです。

PS C:\Windows\system32> Get-AWSPublicIpAddressRange
IpPrefix                                Region                                  Service
--------                                ------                                  -------
50.19.0.0/16                            us-east-1                               AMAZON
54.239.98.0/24                          us-east-1                               AMAZON
205.251.254.0/24                        GLOBAL                                  AMAZON
75.101.128.0/17                         us-east-1                               AMAZON
54.240.192.0/22                         ap-southeast-2                          AMAZON
54.194.0.0/15                           eu-west-1                               AMAZON
54.231.224.0/21                         ap-northeast-1                          AMAZON
54.239.192.0/19                         GLOBAL                                  AMAZON
54.208.0.0/15                           us-east-1                               AMAZON
54.172.0.0/15                           us-east-1                               AMAZON
50.16.0.0/15                            us-east-1                               AMAZON
54.239.54.0/23                          eu-central-1                            AMAZON
54.222.0.0/20                           cn-north-1                              AMAZON
54.76.0.0/15                            eu-west-1                               AMAZON
54.220.0.0/16                           eu-west-1                               AMAZON
46.51.216.0/21                          ap-southeast-1                          AMAZON
54.156.0.0/14                           us-east-1                               AMAZON
54.232.0.0/16                           sa-east-1                               AMAZON
54.240.216.0/22                         us-east-1                               AMAZON
54.254.0.0/16                           ap-southeast-1                          AMAZON
205.251.228.0/22                        us-west-1                               AMAZON
54.238.0.0/16                           ap-northeast-1                          AMAZON
54.64.0.0/15                            ap-northeast-1                          AMAZON
174.129.0.0/16                          us-east-1                               AMAZON
54.231.232.0/21                         us-west-1                               AMAZON
54.250.0.0/16                           ap-northeast-1                          AMAZON
175.41.192.0/18                         ap-northeast-1                          AMAZON
54.179.0.0/16                           ap-southeast-1                          AMAZON
54.231.160.0/19                         us-west-2                               AMAZON
54.199.0.0/16                           ap-northeast-1                          AMAZON
176.34.32.0/19                          ap-northeast-1                          AMAZON
205.251.232.0/22                        us-west-2                               AMAZON
204.246.176.0/20                        GLOBAL                                  AMAZON
54.246.0.0/16                           eu-west-1                               AMAZON
46.137.128.0/18                         eu-west-1                               AMAZON
54.92.128.0/17                          us-east-1                               AMAZON
176.32.120.0/22                         us-east-1                               AMAZON
54.240.240.0/24                         eu-central-1                            AMAZON


......後略......

簡単に取得出来ました。またこちらは絞り込みも可能です。Serviceで絞り込んでみます。

PS C:\Windows\system32> Get-AWSPublicIpAddressRange -ServiceKey ec2

IpPrefix                                Region                                  Service
--------                                ------                                  -------
50.19.0.0/16                            us-east-1                               EC2
75.101.128.0/17                         us-east-1                               EC2
54.194.0.0/15                           eu-west-1                               EC2
54.208.0.0/15                           us-east-1                               EC2
54.172.0.0/15                           us-east-1                               EC2
50.16.0.0/15                            us-east-1                               EC2
54.76.0.0/15                            eu-west-1                               EC2
54.220.0.0/16                           eu-west-1                               EC2
46.51.216.0/21                          ap-southeast-1                          EC2
54.156.0.0/14                           us-east-1                               EC2
54.232.0.0/16                           sa-east-1                               EC2
54.254.0.0/16                           ap-southeast-1                          EC2
54.238.0.0/16                           ap-northeast-1                          EC2
54.64.0.0/15                            ap-northeast-1                          EC2
174.129.0.0/16                          us-east-1                               EC2
54.250.0.0/16                           ap-northeast-1                          EC2
175.41.192.0/18                         ap-northeast-1                          EC2
54.179.0.0/16                           ap-southeast-1                          EC2
54.199.0.0/16                           ap-northeast-1                          EC2
176.34.32.0/19                          ap-northeast-1                          EC2
54.246.0.0/16                           eu-west-1                               EC2
46.137.128.0/18                         eu-west-1                               EC2
54.92.128.0/17                          us-east-1                               EC2
54.94.0.0/16                            sa-east-1                               EC2
52.64.0.0/17                            ap-southeast-2                          EC2
54.223.0.0/16                           cn-north-1                              EC2
184.72.0.0/18                           us-west-1                               EC2
54.247.0.0/16                           eu-west-1                               EC2
54.224.0.0/15                           us-east-1                               EC2
54.215.0.0/16                           us-west-1                               EC2

......後略......

次はリージョンです。

PS C:\Windows\system32> Get-AWSPublicIpAddressRange -Region ap-northeast-1

IpPrefix                                Region                                  Service
--------                                ------                                  -------
54.231.224.0/21                         ap-northeast-1                          AMAZON
54.238.0.0/16                           ap-northeast-1                          AMAZON
54.64.0.0/15                            ap-northeast-1                          AMAZON
54.250.0.0/16                           ap-northeast-1                          AMAZON
175.41.192.0/18                         ap-northeast-1                          AMAZON
54.199.0.0/16                           ap-northeast-1                          AMAZON
176.34.32.0/19                          ap-northeast-1                          AMAZON
54.240.200.0/24                         ap-northeast-1                          AMAZON
46.51.224.0/19                          ap-northeast-1                          AMAZON
54.248.0.0/15                           ap-northeast-1                          AMAZON
54.240.225.0/24                         ap-northeast-1                          AMAZON
54.150.0.0/16                           ap-northeast-1                          AMAZON
54.178.0.0/16                           ap-northeast-1                          AMAZON
54.92.0.0/17                            ap-northeast-1                          AMAZON
176.32.64.0/19                          ap-northeast-1                          AMAZON
54.239.52.0/23                          ap-northeast-1                          AMAZON
103.246.150.0/23                        ap-northeast-1                          AMAZON
176.34.0.0/19                           ap-northeast-1                          AMAZON
54.168.0.0/16                           ap-northeast-1                          AMAZON
54.239.96.0/24                          ap-northeast-1                          AMAZON
27.0.0.0/22                             ap-northeast-1                          AMAZON
54.95.0.0/16                            ap-northeast-1                          AMAZON
103.4.8.0/21                            ap-northeast-1                          AMAZON
54.238.0.0/16                           ap-northeast-1                          EC2
54.64.0.0/15                            ap-northeast-1                          EC2
54.250.0.0/16                           ap-northeast-1                          EC2
175.41.192.0/18                         ap-northeast-1                          EC2
54.199.0.0/16                           ap-northeast-1                          EC2
176.34.32.0/19                          ap-northeast-1                          EC2
46.51.224.0/19                          ap-northeast-1                          EC2
54.248.0.0/15                           ap-northeast-1                          EC2
54.150.0.0/16                           ap-northeast-1                          EC2
54.178.0.0/16                           ap-northeast-1                          EC2
54.92.0.0/17                            ap-northeast-1                          EC2
176.32.64.0/19                          ap-northeast-1                          EC2
176.34.0.0/19                           ap-northeast-1                          EC2
54.168.0.0/16                           ap-northeast-1                          EC2
54.95.0.0/16                            ap-northeast-1                          EC2
103.4.8.0/21                            ap-northeast-1                          EC2
54.248.220.0/26                         ap-northeast-1                          ROUTE53_HEALTHCHECKS
54.250.253.192/26                       ap-northeast-1                          ROUTE53_HEALTHCHECKS

どうですか。簡単ですね。また絞り込みはカンマ区切りでOR検索されます。

PS C:\Windows\system32> Get-AWSPublicIpAddressRange -Region ap-northeast-1,us-west-1 -ServiceKey ec2,route53_healthchecks

IpPrefix                                Region                                  Service
--------                                ------                                  -------
54.238.0.0/16                           ap-northeast-1                          EC2
54.64.0.0/15                            ap-northeast-1                          EC2
54.250.0.0/16                           ap-northeast-1                          EC2
175.41.192.0/18                         ap-northeast-1                          EC2
54.199.0.0/16                           ap-northeast-1                          EC2
176.34.32.0/19                          ap-northeast-1                          EC2
184.72.0.0/18                           us-west-1                               EC2
54.215.0.0/16                           us-west-1                               EC2
54.176.0.0/15                           us-west-1                               EC2
54.193.0.0/16                           us-west-1                               EC2
50.18.0.0/16                            us-west-1                               EC2
184.169.128.0/17                        us-west-1                               EC2
46.51.224.0/19                          ap-northeast-1                          EC2
54.241.0.0/16                           us-west-1                               EC2
54.67.0.0/16                            us-west-1                               EC2
204.236.128.0/18                        us-west-1                               EC2
54.151.0.0/17                           us-west-1                               EC2
54.248.0.0/15                           ap-northeast-1                          EC2
54.150.0.0/16                           ap-northeast-1                          EC2
54.178.0.0/16                           ap-northeast-1                          EC2
54.92.0.0/17                            ap-northeast-1                          EC2
176.32.64.0/19                          ap-northeast-1                          EC2
54.183.0.0/16                           us-west-1                               EC2
176.34.0.0/19                           ap-northeast-1                          EC2
54.168.0.0/16                           ap-northeast-1                          EC2
54.219.0.0/16                           us-west-1                               EC2
54.95.0.0/16                            ap-northeast-1                          EC2
103.4.8.0/21                            ap-northeast-1                          EC2
54.241.32.64/26                         us-west-1                               ROUTE53_HEALTHCHECKS
54.248.220.0/26                         ap-northeast-1                          ROUTE53_HEALTHCHECKS
54.250.253.192/26                       ap-northeast-1                          ROUTE53_HEALTHCHECKS
54.183.255.128/26                       us-west-1                               ROUTE53_HEALTHCHECKS

発行日時も絞り込みで取得できますので、定期バッチでこちらを回して更新されていたらDBにDelete-Insert、みたいな処理もできますね。

PS C:\Windows\system32> Get-AWSPublicIpAddressRange -OutputPublicationDate

2015年1月6日 12:46:01

最後にService一覧の取得です。

PS C:\Windows\system32> Get-AWSPublicIpAddressRange -OutputServiceKeys
AMAZON
EC2
ROUTE53
ROUTE53_HEALTHCHECKS
CLOUDFRONT

まとめ

いかがでしたでしょうか。Windows以外ならJSONフォーマット、Windows系をお使いならPowerShellを使ってより細かなセキュリティ実装をしてみてはいかがでしょうか。また.NET系をお使いの方ならAWS SDK for .NETのAmazon.Util名前空間にあるAWSPublicIpAddressRangesクラスでも同じことが可能なのでこちらもチェックしてみてくださいね！

AWSサービスのPublic IPレンジを簡単に取得する

AWSのIPレンジはハードコーディングしてはいけない

ではどうするのか

IPレンジのリアルタイムな取得

PowerShellによる取得

まとめ

参考サイト

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩

AWSサービスのPublic IPレンジを簡単に取得する

AWSのIPレンジはハードコーディングしてはいけない

ではどうするのか

IPレンジのリアルタイムな取得

PowerShellによる取得

まとめ

参考サイト

イベント

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会 〜AWS / システムアーキテクト案件特集〜 を開催します

EVENT【5/28（火）】AWSを最大活用するための1dayカンファレンス

EVENT【5/17（金）】認証機能の開発工数削減をデモで体験！次世代認証基盤サービス『Auth0 by Okta』導入実践ウェビナー

EVENT【5/14（火）】アノテーションの中途向けオンライン会社説明会を開催します

EVENT【5/23（木）】ユースケースに学ぶAWS運用のノウハウ～可視化から統制まで～

EVENT【5/16（木）】Snowflakeを触ってみよう！初めての方向けハンズオンセミナー

EVENT【5/10（金） 名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【4/25（木）リモート】Google Cloudに携わるエンジニアのキャリア～クラスメソッド会社説明会～

EVENT【4/30（火）リモート】クラスメソッドの会社説明会を開催します

EVENT【5/9（木）】組織的なクラウド統制 はじめの一歩

関連記事

CDKでNatInstanceProviderV2を使ってNATインスタンスを構築できるようになりました

NICE DCV サーバーをセットアップした Ubuntu インスタンスを AWS CDK で構築してみた

AWS CDK での EC2 インスタンス構築で cfn-signal を使って user data 実行完了を待機してみた

Amazon EC2 インスタンスを AWS CDK で構築する際のインスタンスプロファイル作成では grant メソッドを使うのが便利

EVENT【4/23リモート】クラスメソッドのフリーランスエンジニア会社説明会〜AWS / システムアーキテクト案件特集〜を開催します

EVENT【5/10（金）名古屋】クラスメソッドグループの会社説明会を開催します！

EVENT【5/9（木）】組織的なクラウド統制はじめの一歩