---
title: OP25B だと思って AWS アカウントを使っていたら OP25B じゃなかった話
tags:  #aws #jaws-ug #vpc  
author: [hmatsu47(まつ)](https://convert.docswell.com/user/hmatsu47)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/LELZPNYNJR.jpg?width=480
description: JAWS-UG 浜松 AWS 勉強会 2023#6 2023/6/23  このスライドでは、AWSアカウントを使用しているにもかかわらずOP25Bでなかった場合のトラブルについてのお話です。OP25Bは、外向きポート制限により、外部ネットワークへのTCP 25番ポートの通信を遮断することによって、迷惑メールやウイルスメールの送信を制御しようとする技術です。AWSアカウントで再現性のあるメール送信トラブルが発生したため、デフォルトで有効化されているはずのOP25Bについて調べました。企業ごとに有効化されているかどうか異なるため、AWSアカウントの有効化確認を勧めます。  おすすめタグ：AWS,OP25B,TCP Port,セキュリティグループ,遮断
published: June 22, 23
canonical: https://convert.docswell.com/s/hmatsu47/ZDEGLR-2023-06-21-000043
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/LELZPNYNJR.jpg)

OP25B だと思って
AWS アカウントを使っていたら
OP25B じゃなかった話
JAWS-UG 浜松 AWS 勉強会 2023#6 2023/6/23
まつひさ（hmatsu47）


# Page. 2

![Page Image](https://bcdn.docswell.com/page/4JMV4XNQJW.jpg)

本日のネタ（参加者を見ると自己紹介は不要ぽいので略）
● TCP Port:25 のアウトバウンド通信：デフォルト遮断
○ 迷惑メール送信対策
○ 制限解除申請が必要
https://repost.aws/ja/knowledge-center/ec2-port-25-throttle
● 送られるはずのないメールが送信された
● 別の AWS アカウントでは再現したりしなかったり
● 意味が分からなかったのでサポートに聞いてみた
2


# Page. 3

![Page Image](https://bcdn.docswell.com/page/PJR2WNDKE9.jpg)

OP25B とは
OP25B(Outbound Port 25 Blocking)とは、 自ネットワークから外部ネットワークへのTCP
25番ポートの通信を遮断することにより、 spamメールやvirusメールの送信を抑制しよう
とする技術です。
出典 : https://www.nic.ad.jp/ja/basics/terms/OP25B.html
● AWS でもデフォルトで有効になっている
○ 少なくとも表向きには…
3


# Page. 4

![Page Image](https://bcdn.docswell.com/page/PEXDPN157X.jpg)

そんなある日
● Fargate から、送られるはずのないメールが送信された
○ 確かにセキュリティグループでアウトバウンドの制限は漏れてた
○ でも、デフォルトの制限で TCP Port:25 は遮断されるはず
● 同じ AWS アカウントで再現テストしてみた
○ やはり送信された
○ ただし SPF / DKIM / DMARC 未設定なので受信側評価は低め
■
なので、普通に受信できる場合と迷惑メールに入る場合、捨てられる場合が
4


# Page. 5

![Page Image](https://bcdn.docswell.com/page/3EKXDN2R7D.jpg)

そして
● 同じ Organization の別 AWS アカウントで試してみた
○ やはり送信された
Reachability Analyzer でも「到達可」
■
● 別の独立 AWS アカウントで再現テストしてみた
○ 送信されず
Reachability Analyzer では「到達可」
■
● なぜ？
5


# Page. 6

![Page Image](https://bcdn.docswell.com/page/L735RV4GE5.jpg)

よく分からなかったので
● サポートに聞いてみた
○ すぐには回答なし
● 後日、回答が届いた
○ そこには、初耳の事実が
6


# Page. 7

![Page Image](https://bcdn.docswell.com/page/87DDY8QN7G.jpg)

曰く
● 一部の AWS アカウントでは OP25B（遮断）してない
○ ちょっと古めのアカウントが対象
○ 利用実績を考慮して TCP Port:25 をデフォルト遮断するか判断
■
「利用実績」が何を指すのかは教えてもらえず
● 申し出があれば遮断も可能
7


# Page. 8

![Page Image](https://bcdn.docswell.com/page/VJPX68LN78.jpg)

なお
● メールが送信されてしまった AWS アカウントではないが
○ そのアカウントに紐付くの別 AWS アカウントで（EIP 指定で）
制限解除していた
■
それが「実績」に当たるのかは不明
8


# Page. 9

![Page Image](https://bcdn.docswell.com/page/2EVL3NQYJQ.jpg)

というわけで
● 皆さんがお使いの AWS アカウントでも
○ 一度 OP25B の有効／無効確認をお勧めします
■
セキュリティグループのアウトバウンドはうっかり解放しがち
■
知らないうちにメールが外部に送信されていると色々厄介なことも
○ 意図せず OP25B が無効だった場合
■
TCP Port:25 解放が不要なら遮断してもらいましょう
9


