パケットフィルタリングファイアウォールの構築

FreeBSD ハンドブック : セキュリティ : ファイアウォール : パケットフィルタリングファイアウォールの構築
Previous: ipfw に対するコマンドの例
Next: プリンタの利用

6.4.6. パケットフィルタリングファイアウォールの構築

注: 以下の提案は, ただの提案にすぎません: 必要な処理はそれぞれのファイアウォールで異なるため, あなた独自の要求にあったファイアウォールを構築する方法をここで述べることはできないのです.

最初にファイアウォールをセットアップするとき, コントロールされた環境でファイアウォールホストの設定がおこなえるようなテストベンチセットアップが用意できない場合には, カーネルのログ取りを有効にしてログ取り版のコマンドを使用することを強くおすすめします. そうすることで, 大した混乱や中断なしに問題となる範囲の特定と処置を素早くおこなうことができます. 初期セットアップフェーズが完了してからであっても, アタックの可能性のあるアクセスをトレースしたり, 要求の変化に応じてファイアウォールルールを変更したりできるので, `deny' に対するログ取りをおこなうことをおすすめします.

注: accept コマンドのログ取りをおこなっていると, ファイアウォールをパケットが一つ通過する毎に 1 行のログが生成されるため 大量の ログデータが発生します. そのため, 大規模な ftp/http 転送などをおこなうと, システムが非常に遅くなってしまいます. また, パケットが通過するまでにカーネルにより多くの仕事を要求するため, パケットのレイテンシ (latency) を増加させてしまいます. syslogd もログをディスクに記録するなど, より多くの CPU タイムを使用し始め, 実に容易に /var/log が置かれているパーティションをパンクさせてしまう可能性があります.

現状では, FreeBSD はブート時にファイアウォールルールをロードする能力を持っていません. 私は /etc/netstart スクリプトにロードをおこなうスクリプトを追加することをおすすめします. IP インターフェースの設定がおこなわれる前にファイアウォールの設定がおこなわれるように, netstart ファイル中の充分に早い位置にルールをロードするスクリプトを配置してください. こうすることで, ネットワークがオープンな間は常に抜け道が塞がれていることになります.

ルールをロードするために使用するスクリプトは, あなたが作成しなければなりません. 現在のところ ipfw は 1 コマンドで複数のルールをロードするユーティリティをサポートしていません. 私が使用しているシステムでは以下のようにしています:


# ipfw list

ファイルに現在のルールリストを出力し, テキストエディタを使用してすべての行の前に ``ipfw '' と書き足します. こうすることで, このスクリプトを /bin/sh に与えてルールをカーネルに再読み込みさせることができます. これは最も効率的な方法とはいえないかもしれませんが, きちんと動作しています.

次の問題は, ファイアウォールが実際には何をするべきかです ! これは外部からそのネットワークへのどんなアクセスを許したいか, また内部から外界へのアクセスをどのくらい許したいかに大きく依存します. いくつか一般的なルールを挙げると:

1024 番以下のポートへのすべての TCP 入力アクセスをブロックします. ここは finger, SMTP (mail) そして telnet など, 最もセキュリティに敏感なサービスが存在する場所だからです.
すべての 入力 UDP トラフィックをブロックします. これは UDP を使用しているサービスで有用なものは極めて少ないうえ, 有用なトラフィック (例えば Sun の RPC と NFS プロトコル) は, 通常セキュリティに対する脅威となるためです. UDP はコネクションレスプロトコルであるため, 入力 UDP トラフィックを拒絶することはすなわち出力 UDP トラフィックに対する返答をもブロックすることになるので, このことはそれなりの不利益をもたらします. たとえば外部の archie (prospero) サーバを使用している (内部の) ユーザにとって問題となる可能性があります. もし archie へのアクセスを許したければ, 191 番と 1525 番のポートから任意の UDP ポートへ来るパケットがファイアウォールを通過することを許可しなければなりません. 123 番のポートから来るパケットは ntp パケットで, これも通過の許可を考慮する必要があるもう一つのサービスです.
外部から 6000 番のポートへのトラフィックをブロックします. 6000 番のポートは X11 サーバへのアクセスに使用されるポートで, セキュリティに対する脅威となりえます. (特に自分のワークステーションで xhost + をおこなう癖を持っている人がいればなおさらです). X11 は実際に 6000 番以降のポートを使用する可能性があるため, 通過許可に上限を定めると, そのマシンで走らせることのできる X ディスプレイの個数が制限されます. RFC 1700 (Assigned Numbers) で定義されているように, 上限は 6063 です.
内部のサーバ (例えば SQL サーバなど) がどのポートを使用するかをチェックします. それらのポートは通常, 上で指定した 1-1024 番の範囲から外れていますので, これらも同様にブロックしておくことはおそらく良い考えです.

これとは別のファイアウォール設定に関するチェックリストが CERT から入手可能です. ftp://ftp.cert.org/pub/tech_tips/packet_filtering

前にも述べたように, これはただの ガイドライン にすぎません. ファイアウォールでどのようなフィルタルールを使用するかは, あなた自身が決めなければなりません. これまでのアドバイスにしたがったにも関わらず, 誰かがあなたのネットワークに侵入してきたとしても, 私は「いかなる」責任もとることはできません.