パケットフィルタリング とは？

ネットワークを流れるパケットを、決めた条件に照らして通すか止めるか判断する仕組みだよ。荷物の中身をすべて調べる検査というより、宛名や差出人を確認する関所をイメージすると分かりやすいね。

送信元と宛先のIPアドレス、TCPやUDPのポート番号、プロトコルなどだよ。通信の方向や通るインターフェースも条件にできる。すべてのパケットにTCP・UDPのポートがあるわけではないので、プロトコルに合った条件を指定するんだ。

図は「Web公開用のTCP 443は許可、管理用TCP 22は管理元だけ許可」の説明例だよ。管理元以外から来たTCP 22は止める。ルールの評価順や、どれにも合わない通信の扱いは製品によるので、設定と既定の動作を確認するんだ。

ステートレスはパケットごとの条件を見て判断するよ。ステートフルは接続の状態も追跡するので、許可した接続の戻りの通信などを区別できる。状態を記憶すれば何でも自動で通すわけではなく、状態とルールに基づいて判断するんだ。

LinuxのNetfilterには通信を処理する仕組みがあり、nftablesやiptablesなどのツールでルールを設定できるよ。ただしツールがどの環境にも初めから入っているとは限らない。nftablesでは、接続追跡の状態を条件にしたルールも作れるんだ。

基本的なIPやポートの条件では、許可したWeb通信の内容が悪意あるものかまでは分からないよ。ファイアウォールには状態の追跡やアプリ層の検査を備えるものもあるけれど、パケットフィルタリングだけに任せず、認証、更新、用途に合ったアプリ側の対策も組み合わせよう。