ファイアウォールの設定

もし、あなたがハワイに旅行に行ったとします。飛行機を降りると入国審査のゲートで「どこから来た」「どこへ行く」「目的は？」と色々聞かれるでしょう。（もっとも、どこから来たかはパスポート見ればわかるので、まず聞かれないですが・・・）このように、どこから来て、どこへ何をしに行くかが定かではない人を入国させないようにするのが入国審査です。

ネットワーク群を上位ルーターに接続した時点で、世界中から色々なパケットがネットワーク群に入ってきます。そこで、ルーターでパケットを解析し、そのパケットがどこから来て、どこへ、何しに行くのかを判断して、通して良いと判断したパケットだけネットワークに入れます。これがファイアウォールです。

ファイアウォールは、業務用ファイアウォール装置を使うという手もあります。ファイアウォール装置にはFortigateやNetscreenなど色々な機器があります。しかし、それらは小規模なネットワークを構築するには少々高額です。

ここではLinux機をルーターとして使いますので、それにファイアウォール機能を組み込みましょう。ファイアウォールには、IPTABLESを使います。

現設定をクリアします。電源投入時に自動的にスクリプトで設定するようになっている場合、テーブルの初期化の必要はないでしょう。しかし、テーブルを再設定するたびにサーバーを再起動したのでは設定を試すのに時間がかかってしまいます。

Windowsパソコンで慣れてしまうと、パソコンの再起動はあまり苦にならないかもしれませんが、コマンドで初期化できれば、それで済むことです。Linuxサーバーは共同で使うものですので、やたらに再起動しないようにしなければなりません。

上の例では、インプットとアウトプット、フォワードのテーブルを初期化します。

注意：-Fは、デフォルトのポリシー以外を初期化するコマンドです。したがって、デフォルトのポリシーがDROPの時にリモートでこれをやるとアクセス不能になってしまいます。

なるべくならIPTABLESの変更は、サーバーに直接キーボードとディスプレイを繋いで行いましょう。

インプットテーブルとは、そのサーバー機自身に入ってくるパケットに対する設定です。アウトプットテーブルとは、そのサーバー機自身から出て行くパケットに対する設定です。

そして、ルーター機の場合重要なのがフォワードテーブルです。フォワードテーブルは、そのルーター機の片方のネットワークカードから入って、もう片方のネットワークカードから出て行くパケットに対して行う設定です。

インプットテーブルにだけファイアウォールを設定すると、そのルーター機につながった他のサーバーに対して無防備になってしまいます。また、フォワードテーブルにだけファイアウォールを設定すると、そのルーター機自身に対する攻撃に無防備になってしまいます。

基本的に、ルーター機はインプットとフォワード両方にファイアウォールを設定しなければなりません。IPCHAINSでは、フォワードを設定するときに、インプット・フォワード・アウトプットすべてが連動して設定しなければなりませんでしたが、IPTABLESではまったく別物として設定するため、設定はだいぶ楽になりました。

たとえば、「どんなピンチの時も絶対あきらめない」というのが乙女のポリシー（？）だった場合、「迷ったときは、あきらめずに目標達成までつづける」という意味だと思います。（そうか？？）また、「君主危うくに近寄らず」というのがデフォルトのポリシーな人は、「迷ったときはいったん安全を確保するまで退却」という事になるでしょう。

このように、 デフォルトのポリシーとは、つまり、特に指定がないものに対しては、どうするか、という設定です。

「特に指定がない場合は許可」に設定した場合、セキュリティーは甘くなります。管理者が思いもよらない攻撃をされた場合、許可になってしまうからです。ですので、基本的にデフォルトのポリシーは禁止にすべきです。

しかしながら、アウトプットテーブルだけは、ルーター機自身から出て行くパケットですので、デフォルトを許可にしておいても良いでしょう。

上の例では、インプットとフォワードに対しては、デフォルトを禁止にして、アウトプットのみデフォルトを許可に設定しています。

ループバック（loからの入力）と、ＬＡＮ側からのパケットは許可しておきます。

内部ＬＡＮからのパケットを無条件で許可してしまうと、社内で破壊工作を行ったり、他の部署をハッキングしたり、極秘資料を入手したりされるかもしれませんが、よほどの重大データ－を扱っている所（銀行とか）以外では、許可にしておいても良いでしょう。

icmpプロトコルは、ごく短いパケットを送受信する際に使われますが、たいていはPINGでしか使われません。また、icmpプロトコルを許可にしておかないと、自分が外側からサーバーのダウンを調べる時に困ります。なので、一応icmpプロトコルは許可しておきます。

ただ、ＰＩＮＧを許可したとたん、世界中からそのＩＰにサーバーが設置された事がバレます。実際、筆者も新しいサーバーを設置したとたん、すぐに英単語総当りによるsshでの接続要求パケットが山ほど来ました。

もし、必要がないのであれば、icmpプロトコル事態を禁止しておけば、サーバーの存在を（多少なりとも）隠す事ができるでしょう。

サーバーの生存確認のためにPINGの許可が必要というのであれば、生存確認するアドレス（アドレス帯）に対してのみ許可を与えておきましょう。
iptables -A INPUT -p icmp -s　（許可するアドレス帯） -j ACCEPT

ＦＴＰでパッシブモードを使う場合、まずサーバーが１０２４番以降の任意のポートを空けて、そこをデータ－通信として利用します。

では、１０２４番以降の任意のポートを開けっ放しにしてしまえば良いでしょうか？それでは、セキュリティーがかなり低下してしまいます。かといって、パッシブモードは接続するたびに空けるポートがかわるので、一概にどのポートをあければ良いかというのがわかりません。

そこで、接続が確立した後にやりとりされるパケットを、ポートに無条件で許可に設定します。

これにより、いったん接続が確立した後はポートに関係なく、データ－の送信（ESTABLISHEDパケット）や受信（RELATEDパケット）を送る事ができます。

※RedHatLinux7.1のCD-ROMに収録されているバージョンのIPTABLESには、ESTABLISHED,RELATEDを指定すると全パケットを許可してしまうというバグがあり、大変危険です。該当ディストリビューションをお使いの方は、ただちにrpmでiptablesの最新版をインストールしてください。

ローカルアドレス（192.168.xxx.xxxなど）は、インターネットには流してはいけない事になっています。それなので、インターネットから送信元がローカルアドレスのパケットが来た場合、それ自体が不正という事になります。

ネットワーク内に設置されたサーバーは、ローカルＩＰには無防備になっているケースが多いです。例えば、プリントサーバーやファイルサーバーに対して無条件でアクセス許可するために、192.168.0.xxxには無条件でACCEPTになっている、という風に。

なので、このような不正なパケットは破棄します。

インターネット側からローカルアドレスが送信元のパケットが来た場合は不正なパケットですが、同様に、インターネット側からローカルアドレス宛のパケットが来た場合も不正なパケットという事になります。

なので、このような不正なパケットは破棄します。

synパケットを大量に送り付けられたり（synフラッド攻撃）、PINGを大量に送りつけられると、Linuxはフリーズしてしまいます。なのでインターネットには、それをわざとやる嫌がらせをする人がいます。

それを防ぐために、syn信号やpingは１秒に１回だけ受け付けるように設定しておきます。

サーバーを設置しただけでは、MySQLやswatなどＬＡＮ内部からしか使わないサービスに対しても、ポートを開けっ放しにしてしまいます。外部からアクセスするのに最小限必要なポートだけを空けておけば、セキュリティーは向上します。

-p tcpは、「tcpプロトコル」を指定します。ネームサーバー（BIND）を提供する場合、tcpだけでなくudpプロトコルも使いますので、「-p udp」も許可に設定しておく必要があります。

--dportは、指定されたポートに対する設定です。ここには、--doprt 80のように直接数字を記述するか、上の例のようにサービス名で記述するか（この場合、/etc/servicesにサービス名が登録されている必要があります）、--dport 1024:65535のようなポートの範囲で指定します。

ここではtelnetを許可していますが、telnetはパスワードが平文で流れるため、セキュリティーは甘くなります。外部からのtelnetを禁止しておいて、sshだけを許可にしておくと、セキュリティーは向上します。

メールサーバーを設置するのであれば、この他にsmtpやpop3も許可しておく必要があります。

重要なのは、「提供するサービスで使うポートだけ空ける」ことです。不要なサービスのためのポートを空けておくと、それだけセキュリティーホールとなってしまいます。

ローカル端末内のどこかにウィルスに感染しているＰＣがあると、そこから延々とウィルスを発生し続けてしまいます。すると、そのネットワークのルーターが固定ＩＰならばそのＩＰが、また、動的ＩＰならば最悪そのプロバイダ全体がブラックリストに登録されてしまいます。またはプロバイダからＳＭＴＰポートを閉ざされてしまいます。

最近のプロバイダでは、２５番ポートは完全に閉じていて、５８７番ポートからＳＭＴＰ－ＡＵＴＨ付きでないと送信できない所が多いです。それは、ユーザーのＰＣがウィルスに感染していてウィルスを大量にバラまいている場合に、プロバイダとしては顧客の全ＰＣのウィルスチェックはできませんから、ブラックリスト入りを防ぐためには２５番ポートを閉ざすしかないからです。

ここでは、固定ＩＰを使っていてゲーウェイサーバーを運営する立場で考えて見ましょう。プロバイダからは２５番ポートは許可されているとします。しかし、ウィルスを送信し続ければ、やがて２５番ポートを封鎖されてしまうでしょう。そこで、２５番ポートへの送信をログに記録させます。

これでログレベル３（ワーニング）に、２５番ポートへの送信パケットのログを残すようにしました。さらに、シスログに、ログレベル３の出力先のファイル名を指定しておきます。

vi /etc/syslog.conf

/etc/rc.d/init.d/syslogd restart

これで、２５番ポートへの送信の記録が/var/log/iptablesに記録されます。ただし、このままではログが膨大になってしまいますので、/etc/logrotate.d/syslogファイルに、ローテーションの指定を追加します。

また、記録するだけでは何の役にも立ちませんので、頻繁にcatやtail -f コマンドでこのログを監視し、SPAMやウィルスをバラまいている端末を発見したら、ただちにその端末の使用を中止させます。

これまでの設定を保存しておきます。iptables-saveというコマンドを使うと、これまでの設定が保存されます・・・といいたい所ですが、このコマンドは単に設定ファイルを標準出力するだけなので、実際には/etc/sysconfig/iptablesというファイルにリダイレクトしなければなりません。
iptables-save > /etc/sysconfig/iptables

ただし、RedHatLinux系のＯＳでは/etc/rc.d/init.d/iptables にsaveという引数をつける事で、IPTABLESの設定を保存する事ができます。
/etc/rc.d/init.d/iptables save

こうして設定を保存しておけば、次回にサーバーが起動した時に自動的にIPTABLESが設定した内容になります。