はじめに
AWSのネットワークセキュリティを支える強力なサービスである「AWS Network Firewall」。2025年11月に明示的なプロキシ機能（Network Firewall proxy）がパブリックプレビューとして登場し話題を呼びましたが、今回、ユーザーからの熱いフィードバックを受けて、さらに進化を遂げた形で「明示的フォワードプロキシ（Explicit Forward Proxy）」機能が再導入されました！
これまで独立した別製品のような位置づけだったプロキシ機能が、Network Firewallの「一機能（functionality）」として完全に統合され、既存の透過型ファイアウォールと同じセキュリティポリシーを使い回すことが可能になりました。本記事では、このアップデートの概要、メリット、そして実務でのユースケースについて詳しく解説します。
この機能の概要とメリット
今回のアップデートの鍵となるのは、新しいデプロイメントオプションである「no-source-preservation（送信元非保持）」モードの導入です。Network Firewallをこのモードでデプロイすることで、明示的プロキシとして動作させることができます。
1. ポリシーの一元管理（シングルポリシー）
これまでは、透過型（Transparent）とプロキシ（Explicit）で異なる専用のセキュリティポリシーを作成・運用する必要がありました。今回のアップデートにより、1つのセキュリティポリシーを両方のデプロイメントタイプで共有できるようになりました。ポリシーの二重管理から解放され、セキュリティ統制が非常にシンプルになります。
2. 既存の強力な機能をそのままプロキシに適用可能
「no-source-preservation」デプロイメントにおいても、Network Firewallが持つ以下の高度なフィルタリング・セキュリティ機能を制限なく利用できます。
- AWSマネージドルールグループの適用
- アクティブな脅威防御（Active Threat Defense）
- Geo-IPフィルタリング（特定の国・地域への/からの通信ブロック）
- URLおよびドメインカテゴリフィルタリング
- Amazon EKSやAmazon ECS向けのコンテナ属性（タグ等）ベースのルール
3. パブリックプレビュー期間中は「無料」で検証可能
現在、この「no-source-preservation」構成のNetwork Firewallはパブリックプレビュー段階にあり、プレビュー期間中は無料で利用することができます（※データ処理料金やNATゲートウェイなど、他の関連リソースの料金は発生する場合があります）。
想定されるユースケース
ケースA：コンテナ環境（ECS/EKS）からのアウトバウンド通信の厳格な制御
マイクロサービスやKubernetesクラスターから、外部のSaaS、API、パッチ配布サーバーへアクセスする際、明示的なプロキシを経由させたい場合があります。コンテナ属性に基づいたルールを適用し、「特定のコンテナのみ特定の外部APIへのアクセスを許可する」といった制御が、プロキシ経由で容易に実現できます。
ケースB：組織内VPCからのデータ持ち出し（Data Exfiltration）防止
開発環境やデータ分析環境など、機密データを扱うVPCにおいて、クライアントにプロキシ設定を強制することで、未許可のオンラインストレージや怪しい外部ドメインへの接続を遮断します。実績のあるURL/ドメインカテゴリフィルタリングをプロキシでもそのまま利用できるため、マルウェアのC2サーバーへの通信なども動的にブロック可能です。
注意点や従来の機能（仕様）との違い
本機能を利用するにあたり、以下のポイントに注意してください。
- 「no-source-preservation」の挙動: このデプロイモードでは、送信元IPアドレスがプロキシのものに変換されるため、バックエンド側から見た送信元IPは保持されません。送信元IPベースの監査を行っている場合は設計に注意が必要です。
- 提供リージョン: 現在は米国東部（オハイオ）リージョン（us-east-2）でのみパブリックプレビューとして提供されています。東京リージョンなどの他リージョンへの展開が待たれます。
設定イメージ（CloudFormation/CLIリソース定義の概念）
Network Firewallのデプロイ時に、デプロイ構成として以下のように新しいデプロイメントタイプやポリシーを紐付ける形になります（※概念的なイメージです）。
{
"Firewall": {
"FirewallName": "my-explicit-forward-proxy",
"FirewallPolicyArn": "arn:aws:network-firewall:us-east-2:123456789012:firewall-policy/MySharedSecurityPolicy",
"VpcId": "vpc-0123456789abcdef0",
"SubnetMappings": [
{
"SubnetId": "subnet-0123456789abcdef0"
}
],
"DeploymentModel": "NO_SOURCE_PRESERVATION"
}
}まとめ
AWS Network Firewallの「明示的フォワードプロキシ」の再導入は、これまで独自にSquidなどのプロキシサーバーをEC2で構築・運用していたインフラエンジニアにとって、待望のアップデートです。運用オーバーヘッドを削減しつつ、マネージドなセキュリティ機能の恩恵をフルに享受できます。
透過型ファイアウォールと共通のポリシーで管理できるようになったことで、組織全体のガバナンスも効かせやすくなりました。オハイオリージョンで現在無料で検証可能ですので、フォワードプロキシのAWSマネージド化を検討されている方は、ぜひこの機会にテスト環境で検証してみてください！