ファイアウォールの仕組みとは
外部からの不正アクセスを防ぐファイアウォールですが、その仕組みは何でしょうか？実はファイアウォールの外部アクセスを防ぐ仕組みは３つの機能から成り立っています。その機能とは「フィルタリング」、「ＮＡＴ」、「リモート管理」です。
具体的な仕組みとしては「フィルタリング機能」で外部からのアクセスを識別します。同時に「ＮＡＴ機能」によりセキュリティレベルの違う内部ネットワークへ外部アクセスを誘導します。また「リモート管理機能」を用いることで、遠隔地からもファイアウォールの操作ができるようになります。
次にこれらの３つの機能について詳しくみていきましょう。
不正な通信を遮断するフィルタリング
発信元や通信情報などから正しい通信を選別し、正しい通信だけを通すことで不正な通信を遮断する機能です。
そしてフィルタリングの手法には大きく分けて3つの種類があり、単純なものから並べると、静的フィルタリング、動的フィルタリング、ステートフル・インスペクション、プロキシ型フィルタリングの4つがあります。
通信可否リストを備える静的・動的フィルタリング
静的フィルタリングとはポート番号やプロトコル、IPアドレスなどで構成された発信と応答の通信可否リストを作成しておき、それをもとに通信の制御をすることです。また動的フィルタリングは発進時に応答の通信許可情報を自動生成する機能をさします。これら２つのフィルタリングは通信のヘッダ情報で制御を行うため処理もそれほど難しくなく、ブロードバンドルーターなどにも搭載されていることが多いです。
通信の手順を解析するステートフル・インスペクション
ステートフル・インスペクションは少し高度なものです。ヘッダだけではなく通信の手順について解析し通信可否を判断することで、静的、動的フィルタリングでキャッチできない不正な通信を遮断することが可能です。
通信内容もチェックできるプロキシ型フィルタリング
最後のプロキシ型フィルタリングは、上3つよりさらに踏み込み、通信内容までチェックするフィルタリングです。より高度な偽装を検知し通信の制御を行います。ただし、この方式は他とは処理のレイヤが違い、大きなデータを解析する必要があるので、特別な機器が必要になります。
アドレス変換を行うNAT
NAT（ネットワークアドレス変換）もファイアウォールの根幹をなす基本機能の一つです。
NATとはIPアドレスを変換する仕組みで、主にネットワーク内のプライベートIPアドレスとインターネットのグローバルIPアドレスの1対1変換に使われます。
なお、インターネットから内部ネットワークの特定のPCへの通信について、どのPC宛なのかを特定するため、プライベートIPに加えて、各PCごとに割り当てたポート番号を合わせてアドレス変換を行うNAPTという仕組みを使用します。グローバルIPはネットワークごとに一つしか割り当てらないのが普通ですが、この仕組みのおかげで、内部ネットワークの複数のPCがインターネットに接続することができます。
このNATの仕組みを使用することで、任意の通信を内部ネットワークの特定のPCへ誘導することができますので、アクセス制限の厳しいセクションと、公開サーバーを設置するような多くの人がアクセス出来るセクションなど、セキュリティレベルを分割することができます。
遠隔操作を可能にするリモート管理
内部ネットワークは常に危険にさらされており、外部からの攻撃は時間を選んでくれません。そのためファイアウォールを管理して状況を把握し、できる限りリアルタイムに対応していく必要があります。
そんなときに効果を発揮する機能が、ファイアウォールのリモート管理機能です。この機能を使うことで、管理者は直接ファイアウォールを操作することなく、遠隔地から管理運用することができます。
具体的な機能としては、ログ取得や閲覧はもちろんのこと、その結果である設定変更、ソフトウェアのアップデートなどのメンテナンス、そして設定情報のバックアップとリストアが挙げられます。これらの操作を多くの場合はブラウザ上から実施することができるのです。
基本だからこそ隙のない設定と管理が必要
多くの優秀なセキュリティ機器やサービスが乱立する中、ファイアウォールは広く一般に普及しており、ある意味陳腐化したセキュリティ対策になっています。しかしだからこそ、インターネットに接続した環境にとっては、外すことのできない必須の対策と言えるでしょう。
ただし、設置するだけではなんの対策にもならないので、上記の3つの基本機能を活用し漏れなく最適な設定をしておくことが多くのセキュリティ対策の基礎となるでしょう。今後、より高度化していく外部からの攻撃に備え、最低限の基礎としてファイアウォールを活用していくことが重要です。
