AWSのALB + EC2の構成でサイト管理画面へのIP制限をする(WAF無し) - Qiita

webサイトで管理画面へのアクセスはIP制限を行いたい場合の方法メモ 経緯 料金等を考えずにALB + EC2で特定URLへのアクセス制限をしたい場合はAWS WAFを利用すれば良いのですが、コストの都合上などで使用しない方針になったのでEC2のapacheのconfigで制限を実施しました。 Apacheでのアクセス元IP制限について ALBを挟まずにEC2のみでサイトを運用している場合はhttpd設定ファイルに の記載で対象サイトにアクセス元のIP制限をかけることができるのですが、ALBを挟んでいる場合はEC2と通信するのは常にALBとなるのでこの書式ではIP制限を行うことができません。 設定した内容 なので今回はX-Forwarded-Forヘッダの値を見て以下のような記述でアクセス制限をします。apacheの設定ファイルに記載します。

[JULY]

ちょっと雑過ぎるなぁ。X-Forwarded-For に対する正規表現が、これだとALB に接続してきた IP とは限らない（Proxy 経由の場合）し、偽装可能。素直に AWS WAF を使った方が良いと思うけどなぁ。