AWS Transfer Family: NLB 背面の SFTP サーバーでクライアントのソース IP 保持が可能に

AWS Transfer Family は、VPC ホストエンドポイントを使用する SFTP サーバーの前面に Network Load Balancer (NLB) を配置している構成において、Proxy Protocol v2 (PPv2) を使用してクライアントのソース IP アドレスを保持できるようになりました。これにより、NLB を介した通信でも、クライアントの真のソース IP アドレスが Transfer Family のログ、イベント、およびカスタム ID プロバイダーへの認証プロセスにおいて可視化・利用可能になります。

🛠️ 技術的な課題と解決策

これまで、SFTP サーバーの前面に NLB を配置すると、NLB がクライアントのソース IP を自身のプライベート IP アドレスに置き換えてしまうという仕様がありました。そのため、Transfer Family のログには NLB の IP が記録され、カスタム ID プロバイダーによる認証時にも NLB の IP が渡されてしまうため、**「接続元 IP アドレスに基づいたアクセス制御」**が困難でした。

今回のアップデートにより、SFTP サーバーの設定でソース IP 保持を有効化することで、クライアントの真の IP アドレスを正解としてログや認証プロセスに渡せるようになります。

📍 日本国内リージョンの利用状況

リサーチの結果、東京 (ap-northeast-1) および大阪 (ap-northeast-3) の両リージョンにおいて、本機能は利用可能であることが確認されています。AWS Transfer Family が提供されているすべてのリージョンで利用可能です。

💡 実務上のアドバイス

• セキュリティ強化: IP ベースの ACL（アクセス制御リスト）を運用している、あるいは認証時に接続元 IP を検証する必要がある組織にとって、非常に価値の高いアップデートです。

• 設定方法: この機能は、コンソール、CLI、または API を通って、サーバーごとに個別に有効化できます。既存の環境に影響を与えないよう、まずは検証環境でのテストを推奨します。

🚀 次のアクション

1. 既存の NLB + SFTP 構成の環境において、ログ（CloudWatch Logs 等）に記録される IP アドレスがクライアントの真の IP に変わるかを確認する。
2. カスタム ID プロバイダーを利用している場合は、認証フローにおける IP アドレスの受け渡しが正しく行われるかを確認する。

📚 Reference

• AWS Transfer Family User Guide
• https://aws.amazon.com/about-aws/whats-new/2026/09/transfer-family-sftp-source-ip-nlb/