ファイアウォールのゾーンとは？背景や設定のポイントも紹介

2019年11月28日最終更新

ファイアウォールのゾーンとはどのようなものでしょうか。「ゾーン」という言葉を聞いたことはあるけれど、その意味や仕組み、メリットについて詳しく知らない人も多いでしょう。

この記事では、ゾーンの基本や特徴、誕生した背景、効果的な設定方法について解説します。ぜひ、自社のセキュリティ環境を見直す参考にしてください。

ファイアウォールのゾーンとは？

ファイアウォールのゾーンの基本を解説します。

ゾーンとは、通信の設定を簡単にするための区分けです。ゾーンを利用した区分けの方式をゾーンベースポリシーモデルと呼びます。

この機能は、LinuxのCentOS７で採用されているパケットフィルタリング型ファイアウォールのfirewalldに搭載されています。CentOS６以前はiptablesという別のファイアウォールが搭載されており、アクセス制御方式も異なりました。

firewalldのインターフェース（接触面）をグループ化し、性質ごとのアクセス制御が設定できます。たとえば、WebサーバとのインターフェースはゾーンA、LANとのインターフェースはゾーンBを適用するなどの設定が可能です。

一度作成したゾーンは複数のインターフェースに割り当てられるため、同じ性質のインターフェースを個別に設定しなくてよいのが特長です。

先ほどの例でいえば、Webサーバとのインターフェースが複数あった場合、それらすべてにゾーンAを一括適用できます。同じ設定を何度もする必要がないため、管理が簡単です。

firewalldには新規の状態で９種類のゾーンが準備されており、それらはNIC（ネットワークアダプタ）に適用することで機能します。ゾーンは自作して増やすことも可能です。

ゾーンを利用した方式（ゾーンベースポリシーモデル）の誕生にはどのような背景があるのでしょうか。

ファイアウォールが登場した当初は、インターフェースのセクション単位ごとに通信制御を行う（通信ポリシーを設定する）のが一般的でした。この方式はインタフェースベースポリシーモデルと呼ばれています。

ファイアウォールiptablesでは、この方式が採用されていました。個別に設定するため柔軟性が高いのが特長です。ただし、複数のインターフェースに同じ設定をする場合、一括で設定できないという弱点があります。

通信先の増加により、グループごとの制御が主流になりました。

通信先が増えると、インタフェースベースポリシーモデルは使いづらくなります。インターフェース数やセキュリティ機能、トラフィック量の増加・複雑化により、個別設定では大きな手間を要するようになったためです。

ゾーンベースポリシーモデルは、この問題を解決するために開発されました。同じ性質のインターフェースには同じゾーンを適用するだけで済むため、管理・運用の手間が削減できます。

CintOS７から実装されたfirewalldでは、このゾーンを利用してインターフェースをグループごとに簡単に設定できるようになりました。

CentOS７で標準搭載されたゾーンを、効果的に設定する方法を２つ解説します。

ゾーンは追加・削除できます。ゾーンで通信をグループ化し、自社や個人の状況に合ったファイアウォール環境を構築しましょう。また、firewalldのゾーンはあらかじめ９種類搭載されていますが、これらの一部は編集できます。

たとえば、publicというゾーンは「dhcpv6-client」と「ssh」の２つのサービスしか許可していませんが、以下のように記述することで「http」を加えられます。

ゾーンは編集しても、その編集内容は再起動時に破棄されてしまいます。それを防ぐためには、Permanentオプションを利用しましょう。たとえば、publicにhttpを恒久的に追加する場合は、以下の２つを記述します。

「permanent」を加えただけではすぐに反映されないので、「reload」で再読み込みさせる必要があります。

ファイアウォールのゾーンとは、インターフェースをセクション単位ではなく性質単位で設定するための方式です。

LinuxのCentOS7で利用できます。ネット環境の複雑化に応じて誕生した概念で、複数のインターフェースをまとめて管理しやすい特長があります。ゾーンはあらかじめ搭載された内容の編集や、新規追加・削除が可能です。

自社の通信環境に合ったゾーンの設定をしてみてはいかがでしょうか。