ファイアウォールのゾーンとは？背景や設定のポイントも紹介

ファイアウォールのゾーンとは？

ファイアウォールのゾーンの基本を解説します。

アクセス制御方式のこと

ゾーンとは、通信の設定を簡単にするための区分けです。ゾーンを利用した区分けの方式をゾーンベースポリシーモデルと呼びます。

この機能は、LinuxのCentOS７で採用されているパケットフィルタリング型ファイアウォールのfirewalldに搭載されています。CentOS６以前はiptablesという別のファイアウォールが搭載されており、アクセス制御方式も異なりました。

性質単位で制御できる

firewalldのインターフェース（接触面）をグループ化し、性質ごとのアクセス制御が設定できます。たとえば、WebサーバとのインターフェースはゾーンA、LANとのインターフェースはゾーンBを適用するなどの設定が可能です。

一度作成したゾーンは複数のインターフェースに割り当てられるため、同じ性質のインターフェースを個別に設定しなくてよいのが特長です。

先ほどの例でいえば、Webサーバとのインターフェースが複数あった場合、それらすべてにゾーンAを一括適用できます。同じ設定を何度もする必要がないため、管理が簡単です。

firewalldには新規の状態で９種類のゾーンが準備されており、それらはNIC（ネットワークアダプタ）に適用することで機能します。ゾーンは自作して増やすことも可能です。

ゾーンの概念が生まれた背景

ゾーンを利用した方式（ゾーンベースポリシーモデル）の誕生にはどのような背景があるのでしょうか。

従来はインターフェースごとの通信制御が主流

ファイアウォールが登場した当初は、インターフェースのセクション単位ごとに通信制御を行う（通信ポリシーを設定する）のが一般的でした。この方式はインタフェースベースポリシーモデルと呼ばれています。

ファイアウォールiptablesでは、この方式が採用されていました。個別に設定するため柔軟性が高いのが特長です。ただし、複数のインターフェースに同じ設定をする場合、一括で設定できないという弱点があります。

通信先の増加でグループごとの制御が主流に

通信先の増加により、グループごとの制御が主流になりました。

通信先が増えると、インタフェースベースポリシーモデルは使いづらくなります。インターフェース数やセキュリティ機能、トラフィック量の増加や複雑化により、個別設定では大きな手間を要するようになったためです。

ゾーンベースポリシーモデルは、この問題を解決するために開発されました。同じ性質のインターフェースには同じゾーンを適用するだけで済むため、管理や運用の手間を削減できます。

CintOS７から実装されたfirewalldでは、このゾーンを利用してインターフェースをグループごとに簡単に設定できるようになりました。

ゾーンを効果的に設定するには？

CentOS７で標準搭載されたゾーンを、効果的に設定する方法を２つ解説します。

ゾーンのサービスを追加・削除して独自にグループ分けをする

ゾーンは追加・削除できます。ゾーンで通信をグループ化し、状況に合ったファイアウォール環境を構築しましょう。また、firewalldのゾーンはあらかじめ９種類搭載されていますが、これらの一部は編集できます。

たとえば、publicというゾーンは「dhcpv6-client」と「ssh」の２つのサービスしか許可していませんが、以下のように記述することで「http」を加えられます。

• ・firewall-cmd --zone=public --add-service=http

permanentオプションで設定を恒久化する

ゾーンは編集しても、その編集内容は再起動時に破棄されてしまいます。それを防ぐためには、permanentオプションを利用しましょう。たとえば、publicにhttpを恒久的に追加する場合は、以下の２つを記述します。

• ・firewall-cmd --zone=public --add-service=http --permanent
• ・firewall-cmd --reload

「permanent」を加えただけではすぐに反映されないので、「reload」で再読み込みさせる必要があります。

ファイアウォールのゾーンを理解して、適切に設定を！

ファイアウォールのゾーンとは、インターフェースをセクション単位ではなく性質単位で設定するための方式です。

LinuxのCentOS7で利用できます。ネット環境の複雑化に応じて誕生した概念で、複数のインターフェースをまとめて管理しやすい特長があります。ゾーンはあらかじめ搭載された内容の編集や、新規追加や削除が可能です。

通信環境に合ったゾーンの設定をしてみてはいかがでしょうか。