Windowsファイアウォールとは？設定方法・有効／無効の確認や通信許可を解説

Windowsに標準搭載されたファイアウォール機能

まず押さえたいのは、Windowsには購入した時点でファイアウォールが組み込まれていて、別途ソフトを買わなくても動いている点です。ここでは名称の移り変わりと、守れる範囲を整理します。

Microsoft Defenderファイアウォールという呼び名と位置づけ

Windows標準のファイアウォールは、OSの版で呼び名が変わってきました。以前は「Windowsファイアウォール」と表記され、Windows 10のバージョン1709から「Windows Defenderファイアウォール」に改称、Windowsセキュリティアプリでは「Microsoft Defenderファイアウォール」と表示されます。公式の文書では再び「Windowsファイアウォール」と記されるなど表記は混在しますが、役割は同じものです。

操作の入口は「Windowsセキュリティ」アプリの「ファイアウォールとネットワーク保護」です。ここから状態の確認や詳細設定への移動ができます。ウイルス対策の機能とは別の部品として動き、通信を通すか遮るかという判断だけを受け持ちます。家庭向けから法人向けまでのエディションに共通して搭載されています。

防げること、防げないこと

ファイアウォールは、端末に出入りする通信をあらかじめ決めた規則に照らし、通すか遮るかを決める仕組みです。外部から勝手に届く接続要求を遮断し、公開するつもりのないサービスに外から到達されることを防ぎます。ただし判断の材料は通信の相手や使う経路が中心で、やり取りされるデータの中身まで細かく検査するものではありません。

そのため、利用者が自分で開いた添付ファイルや、ダウンロードした実行ファイルによる感染は、この機能だけでは止められません。不正なプログラムの検知はウイルス対策機能、危険なサイトの遮断はブラウザーや通信を中継する仕組みの役割です。何をどこで防ぐのか役割の違いを理解し、複数の対策を重ねて使う考え方が欠かせません。標準機能を入口の守りと位置づけ、他の対策と組み合わせて補いましょう。

通信を仕分ける3つのネットワークプロファイル

Windowsのファイアウォールは、接続先のネットワークを3種類に分けて別々の設定を適用します。同じパソコンでも社内と外出先で守りの強さが変わる仕組みです。

ドメイン・プライベート・パブリックの違い

1つ目の「ドメイン」は、会社のActive Directoryドメインに参加した端末が、そのドメインのネットワークに接続していると認識されたときに自動で適用されます。2つ目の「プライベート」は、自宅や信頼できる社内ネットワーク向けの区分です。3つ目の「パブリック」は、空港やカフェの無線LANなど不特定多数が使う回線を想定しています。

パブリックは公共の回線を想定した制限の強い設定で、同じ回線につながった他の端末から見つけられにくい状態に保たれます。反対にプライベートでは、ファイル共有やプリンターの検出といった機能が使いやすい設定です。ファイアウォールの有効・無効も規則も、この区分ごとに個別に持てるため、片方だけ設定して反対側が抜けているという行き違いが起こりやすくなります。

接続先に応じた切り替えと状態の確認

プロファイルは接続するネットワークごとに記録され、Windowsが自動で判断します。初めてつなぐ回線には、まずパブリックが割り当てられるのが既定の動きです。後から変えたい場合は、設定アプリの「ネットワークとインターネット」から該当の接続のプロパティを開き、区分を選び直します。

今どの区分が使われているかは、Windowsセキュリティアプリの画面で確認できます。社内にいるのにパブリックと判定されていると、共有フォルダーやプリンターにつながらない不具合が起こる場合もあるため、通信の不調を感じたら規則を疑う前に区分を確かめましょう。社外で作業する機会が多い端末ほど、接続のたびに切り替わる前提で考えると安全です。

受信規則と送信規則の考え方

ファイアウォールの設定は、外から入ってくる通信への「受信規則」と、端末から外へ出ていく通信への「送信規則」に分かれます。初期状態での扱いが両者で異なります。

初期状態では通信がどう扱われるか

初期状態のWindowsでは、受信方向は明示的に許可したもの以外を遮り、送信方向は明示的に遮ったもの以外を通す扱いです。外から届く接続を厳しく見つつ、業務アプリの通信は妨げないという考え方で、多くの利用場面ではこのまま使えます。まず受信側の許可を必要最小限にとどめることが、設定の基本方針です。

一方、不正なプログラムが外部の指令サーバーへ接続する動きを抑えたい場合は、送信方向にも制限をかける運用が選択肢に入ります。ただし送信を一律に絞ると、更新プログラムの取得やクラウドサービスの利用まで止まり、業務に支障が出かねません。許可する通信を洗い出したうえで、試験用の端末から段階的に進めることが求められます。対象の範囲を絞り、業務への影響を確かめながら広げると安全です。

規則を構成する要素と作成の流れ

個別の規則は「詳細設定」から開く管理画面で作成します。1つの規則には、対象とするプログラム、通信に使う番号（ポート）とプロトコル、通信相手のアドレス範囲、適用するネットワークの区分、そして許可か遮断かという動作を指定します。どの番号を開けるかはアプリの提供元の資料に示されるため、推測で広く開けないことが大切です。

作成の流れは、規則の種類を選び、対象と条件を指定し、動作と適用先の区分を決めて名前を付けるという手順です。許可と遮断の両方に当てはまる通信は、原則として遮断が優先されます。意図した通信が通らないときは、後から追加した許可規則ではなく、先に存在する遮断規則が効いていないかを確認すると原因にたどり着きやすくなります。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

有効・無効の確認とアプリの通信許可

操作で迷いやすいのは、今どうなっているかの確認と、特定のアプリだけ通信を通したいときの手順です。管理者権限が必要な点も含めて押さえましょう。

現在の状態を確認する手順

確認の入口は「Windowsセキュリティ」アプリです。スタートメニューから起動し、「ファイアウォールとネットワーク保護」を開くと、ドメイン・プライベート・パブリックの区分ごとに有効か無効かが一覧で表示されます。無効の区分があれば、その項目を開いて切り替えのスイッチを操作すると元に戻せます。

従来のコントロールパネルにある「Windows Defenderファイアウォール」からも、同じ内容を確認できます。複数の端末をまとめて調べたい場合は、コマンドで状態を取得する方法も用意されています。いずれの画面でも区分ごとに独立して設定が持たれている点は変わらないため、3つすべてを確認する習慣をつけると見落としを防げます。無効と表示された区分は、その理由もあわせて確かめましょう。

アプリの通信を許可する手順

業務アプリが通信できないときは、そのアプリだけを例外として許可します。コントロールパネル側の「アプリまたは機能をWindows Defenderファイアウォール経由で許可する」を開くと、登録済みのアプリが一覧で並び、ネットワークの区分ごとに許可するかどうかを選べます。変更前に「設定の変更」を押し、管理者の権限で操作する必要があります。

外部からの接続を受け付けるアプリを初めて起動したときには、通信を許可するかどうかを尋ねる警告画面が出る場合もあります。管理者権限のある利用者がここで許可を選ぶと、対応する受信規則が作られます。覚えのない画面が出たときは、安易に許可せず、アプリの名前と提供元を確かめてから判断することが安全につながります。

無効にする場合に注意したいこと

通信の不具合を調べる過程で、ファイアウォールを一時的に無効にして切り分けることがあります。その場合は原因の確認が終わり次第、必ず元の状態に戻してください。無効のまま放置すると、外から届く接続要求を遮る仕組みが働かず、端末が無防備なまま回線につながり続けることになるためです。

他社のセキュリティ製品を導入すると、その製品のファイアウォール機能が代わりに動き、Windows側が停止した表示になる場合もあります。この状態は異常ではありませんが、どちらが実際に通信を管理しているのかを把握しておく必要があります。組織の方針で無効化そのものを禁じている場合もあるため、事前に管理部門へ確認しましょう。設定を変えた際は、作業の内容と戻した時刻を記録に残しておくと安心です。

法人利用で意識したい限界と補い方

標準機能は手軽ですが、守れる範囲には線引きがあります。どこまでを標準機能に任せ、どこから別の仕組みで補うのかを決めておく必要があります。

端末1台ごとの防御にとどまる点

Windowsのファイアウォールが守るのは、その機能が動いているパソコン1台だけです。複合機やネットワークカメラ、無線LANの親機、生産設備に付属する機器といったWindows以外の装置は対象外となります。私物端末やスマートフォン、別のOSを使う端末も同じで、社内にある機器すべてを覆えるわけではありません。

また、通信の中身を検査して不正な操作を見つける、閲覧先を制限する、複数拠点の通信記録をまとめて残すといった働きも担いません。こうした範囲までカバーするには、ネットワークの出入口に置く専用の機器や、通信を中継するサービスを組み合わせる形が一般的です。守る対象と場所の違いを踏まえ、端末側と出入口側の役割分担を整理しましょう。

多数の端末をまとめて管理する方法

端末ごとに手作業で設定すると、設定漏れや担当者による差が生まれます。Active Directoryのドメイン環境であればグループポリシーを使い、規則や有効・無効の状態を一括で配布できます。クラウド型の端末管理サービスを使えば、社外に持ち出した端末に対しても同じ方針を適用しやすくなります。

ただし、グループポリシーを編集する機能は上位のエディションを前提としており、家庭向けエディションの端末では同じ手順を取れません。社内の端末構成を確認したうえで管理方法を選ぶ必要があります。どの規則を誰がいつ変えたのかを記録し、定期的に実際の設定と突き合わせる運用まで決めておくと、抜け漏れを抑えられます。人事異動や端末の入れ替えの際も、同じ手順で点検できる状態を保ちましょう。

端末単位の守りを補うネットワーク側の製品

標準機能では届かないネットワークの出入口を守る製品です。端末や社内機器をまとめて保護したい場合の選択肢として、通信の検査とフィルタリングに対応する製品を挙げます。

ビジネスセキュリティ（VSR）nシリーズ

株式会社 USEN ICT Solutions

資料請求リストに追加

製品詳細ページへ ＞

製品・サービスのPOINT

1. 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
2. 管理者負担軽減！導入から運用、保守まですべて一括対応
3. 24時間365日の障害検知・切り分けから復旧対応までサポート！

まとめ

Windowsのファイアウォールは、標準で有効になっている端末単位の防御機能です。ドメイン・プライベート・パブリックの区分ごとに設定を持ち、受信は許可したものだけを通し、送信は遮ったもの以外を通す扱いが基本です。状態の確認やアプリの許可はWindowsセキュリティアプリから行え、無効にするのは切り分けのときだけにとどめましょう。守れる範囲は1台ごとに限られるため、法人では集中管理の仕組みやネットワーク全体を守る製品と組み合わせることが大切です。