ファイアウォールについて

ファイアウォールとは

セキュリティモデルの中には、ネットワークをローカル（内側, 社内ネットワークなど）とリモート（外側, インターネットなど）に分け、ネットワーク全体の安全性を維持するために、特定の境界線（ペリメータ）を設け、その安全性を確保するペリメータセキュリティ(perimeter security) というモデルがあります。

ファイアウォール（FW, fire wall）は、このモデルにおいて、内部ネットワークと外部ネットワークを隔てる 境界線（perimeter） に設置される「防火壁」です。(perimeterは軍事分野の専門用語で、境界線を意味します。)

ファイアウォールを設定することで、第三者がシステムに不正侵入するのを防ぎ、最低限のセキュリティを維持します。

ポートスキャン

ポートスキャンとは、サーバーのポートをスキャンし、開いているポートを特定する行為を指します。

ポートスキャンを行うことで、開いているポートのポート番号から稼働しているサービスを特定できます。サービスを特定できれば、ターゲットに対して有効な攻撃を絞り込むことができます。

ポートスキャンを行う際には、Nmapなどのツールを使用します。

※ Nmapについての詳細は、Envader セキュリティコースの『Nmapを使ってみよう』の解説記事でご紹介しています。こちらのコースでは、実際にNmapを使用してポートスキャンなどを体験できます。ご興味のある方は是非ご覧ください。

ファイアウォールを設定する上では、必要なポートと不要なポートを区別し、それらのポートを適切に設定しておくことが重要です。

iptables

iptablesは、様々なディストリビューションで使用されてきたファイアウォール（パケットフィルタコマンド）です。

iptables -t [テーブル名] -[コマンド] [チェイン名] [条件] -j [ターゲット]

iptablesでは、テーブル・チェインといった概念の理解が重要です。

iptablesは、「テーブル → チェイン→ ルール」という構成になっています。

テーブル

テーブル（table）は、パケットの処理に関する機能です。

テーブルは機能ごとに4種類に分かれており、それぞれがいくつかのチェインをもっています。

※ コネクション追跡（connection tracking） とは、シーケンス番号やポート番号などのパケット情報を記録する方法です。

テーブルをコマンドラインで指定するには、-tオプションに続けてテーブル名を記述します。

なお、テーブルを指定しない場合は、最も一般的に使われる filter テーブルがデフォルトで適用されます。

チェイン

チェイン(chain)は、特定の状況に対応する一連のルールや条件を集めたものです。チェインに定義されたルールは、それらに合致するパケットに対してのみ処理を行います。

チェインはパケット処理のタイミングや役割によって以下の5種類に分類されます。

各チェインのもつルールやポリシーの扱い方を指定するには、以下のコマンドを使用します。

コマンド

オプション

ルールに関する詳細な設定を行う際には以下のオプションを指定します。

ターゲット

-j オプションで指定可能なターゲットは以下の通りです。

※ NAT（Network Address Translation）にはDNATとSNATの2種類があります。DNAT（Destination NAT）は、グローバルアドレスからプライベートアドレスに変換するNATです。一方、SNAT（Source NAT）は、プライベートアドレスからグローバルアドレスに変換するNATです。

※ IPマスカレード(IP Masquerade)は、NAPT（Network Address Port Translation）とも言います。IPアドレスの他に、ポート番号も変換します。NATでは、プライベートIPアドレスとグローバルIPアドレスの変換が1 : 1で行われます。LANに単一の端末しかない場合は問題ありませんが、これでは複数の端末が同時にインターネットに接続することができません(n : 1になってしまうため)。そこで、ポート番号も変換することで、送信元のプライベートIPアドレスはひとつであっても端末を識別することができます。これによって、同一LANに接続している複数の端末が一同にインターネットに接続することが可能となります。

ポリシー

ポリシー（policy）は、チェインに対してデフォルトで適用される振る舞いを定義するものです。

ポリシーには、ACCEPT（許可）とDROP（拒否）のどちらかを設定します。

それに対して、CentOS 7以降では、firewalldという新しいファイアウォール管理ツールが導入されています。firewalldについては後述します。

firewalld

CentOS7から採用されているファイアウォールです。

なお、firewalldの内部では実際にiptablesが動作しているため、iptablesの基本的な理解が重要となります。

ゾーン

firewalldには、ゾーン（zone） という概念があります。

firewalldでは、事前に定義されたゾーンにパケットフィルタリングのルールを適用します。

そして、そのゾーンに割り当てられたネットワークインターフェースを通じてパケットフィルタリングを行います。

ゾーンはデフォルトでは以下の9種類があります。ゾーンはシステム管理者が新たに作成することも可能です。

firewall-cmdコマンド

firewall-cmdは、 firewalld の設定や操作を行うためのコマンドラインツールです。

オプション

まとめ

今回は、ファイアウォールについて解説しました。

複雑な概念や設定が登場しましたが、実際にファイルを見てみたり、コマンドの挙動を確かめてみることをオススメします。