ファイアウォールとDMZ

結論：パケットフィルタリング型FWは「封筒の宛名」だけを見る門番

ファイアウォール（FW）は、社内ネットワークとインターネットの境目に立って、通してよい通信だけを通す門番です。中でもパケットフィルタリング型は、通信の小さな単位（パケット）に付いた宛名ラベルだけを見て、通すか止めるかを決めます。郵便物にたとえると、封筒の差出人と宛先は確認するけれど、封を開けて中の手紙は読まない警備員です。

「判断に使うのはIPアドレスとポート番号」と覚えれば、選択肢でURLやPOSTデータ、MACアドレスが出てきたら外せます。URLや通信の中身を見るのは、WAFやURLフィルタ、プロキシといった別の仕組みです。

ポート番号の基本：サーバ側は決まった番号、PC側は1024以上

ポート番号は、1台のコンピュータの中で「どのサービス宛てか」を区別する番号です。IPアドレスが建物の住所なら、ポート番号は部屋番号にあたります。サーバ側はサービスごとに決まった番号（ウェルノウンポート：0〜1023）で待ち受け、PC側は毎回1024以上の空き番号を一時的に使います。

※FTPのデータ転送（20番）は、方式によってサーバ側から接続を始めるなど接続の向きが特殊です。次の「PCは1024以上、サーバは固定番号」という往復ルールの型は、HTTPとSMTPで練習するのが確実です。

SMTP=25は送信、POP3=110は受信。メールを「送る」問題で110が混じっていたら、それがひっかけです。

最頻出：往復ルールの型（行きと帰りでポート番号が入れ替わる）

通信は必ず「行き（要求）」と「帰り（応答）」の往復です。帰りの通信では、行きの送信元と宛先がそっくり入れ替わります。ポート番号も一緒に入れ替わる、というのがこの問題の唯一のポイントです。

覚え方は「サービスの番号は、行きは宛先、帰りは送信元」です。サービスの番号が両方の行で宛先にある表や、両方で送信元にある表は、往復の入れ替えができていないので誤りです。

問題文に「ステートフルインスペクション機能をもたない静的なパケットフィルタリング」とあれば、帰りの通信も自分でルールに書く必要がある、という意味です。ステートフルインスペクションは、行きの通信を覚えておき、それに対応する帰りの通信を自動で通す機能です。この機能が無いFWなので、選択肢の表は行きと帰りの2行セットで書かれています。

ルールは上から順に、最初に一致したもので決まる

FWのルール一覧は上から1つずつ照らし合わせ、最初に一致したルールの動作（許可か禁止か）で決まります。そのあとのルールは見ません。駅の改札で、最初の係員に止められたら奥の係員のところまでは行けないのと同じです。

「」はどんな値でも一致するという意味です。最後の行が「全部で通過禁止」になっているのは、上のどれにも当てはまらない通信をすべて止めるための締めくくりです。

解くときは、パケットの5項目（送信元アドレス・宛先アドレス・プロトコル・送信元ポート・宛先ポート）を、ルール1から1項目ずつ比べます。1項目でも合わなければ次のルールへ進み、全項目が合ったところで止めます。

FWで防げるもの・防げないもの

パケットフィルタリングはIPアドレスとポート番号しか見ません。なので「使っていない番号の通信を止める」ことはできますが、「許可している番号の通信の中身が悪いかどうか」は判断できません。

「Webページだけを社外に提供する」なら、HTTPは止められないプロトコルです。FTP・SMTP・SNMPは公開する必要がないので止められます。

DMZ：公開するサーバだけを「緩衝地帯」に置く

**DMZ（非武装地帯）**は、インターネットと社内ネットワークの間に設ける、公開用サーバ専用の区画です。外部と社内の直接の通信はFWで禁止して、外部からはDMZまでしか入れないようにします。DMZのサーバが乗っ取られても、重要データのある内部までは直接届きにくくなります。

flowchart LR
  A["インターネット（外部セグメント）"] --- F["ファイアウォール"]
  F --- D["DMZ：Webサーバ・公開DNSサーバ・メール中継サーバ"]
  F --- N["内部セグメント：DBサーバ・社内PC"]

この図で許可されるのは「外部⇔DMZ」と「DMZ⇔内部」の特定のプロトコルだけで、外部⇔内部の直接通信はできません。Webサーバ（DMZ）がDBサーバ（内部）に問い合わせる、という2段構えが正解の形です。

応用として、工場などの制御ネットワークの境界にDMZを作る問題もあります。この場合も考え方は同じで、情報ネットワークとやり取りが必要な機器（例：外部からアップデートを受け取って配るパッチ管理サーバ）だけをDMZに移します。センサやコントローラ、操作端末は制御ネットワークに残します。

URLフィルタ：内側から不正サイトへ出ていく通信を止める

ダウンローダ型ウイルスは、感染したPCから外部の不正サイトに接続して、別のウイルスを取りに行きます。これを防ぐには、内部から不正サイトへの接続をURLフィルタで遮断します。IPSやスパムメール対策は外から内への通信やメールが対象なので、この場面には合いません。

試験での問われ方

• ポート設定の表問題：サービスの番号を間違えた表（SMTPなのに110）と、往復の入れ替えを間違えた表（両方の行でサービスの番号が宛先にあるなど）が並びます。「番号が合っているか」「サービスの番号が行きは宛先、帰りは送信元になっているか」の2段階で絞ります。
• ルール評価の問題：後ろのルールにも一致するパケットを用意して、「許可される」を選ばせようとします。上から見て最初に一致した1つで決まります。
• 防げるもの：脆弱性攻撃・マクロウイルス・DoSといった「中身」や「量」の問題は、パケットフィルタリングの対象外です。
• DMZ配置：DBサーバをDMZや外部側に置く選択肢がひっかけです。公開するものだけがDMZ、重要データは内部です。