「ファイアウォールって何を設定しているの？」
「IPアドレスやポート番号って聞くけど、何を見て通信を許可しているの？」
前回の記事では、ファイアウォールが「通信を許可するか、拒否するかを判断する機器」ということを解説しました。
現場では「Webサーバだけ公開する」「DBサーバには外部からアクセスできないようにする」など、さまざまなルールが設定されています。
最初は難しそうに感じるかもしれませんが、実は考え方はとてもシンプルです。
この記事では、実際の通信例や図を使いながら、ファイアウォールの設定で重要になる「IPアドレス」「ポート番号」「許可・拒否ルール」の考え方を、初心者の方にも分かりやすく解説していきます。
- この記事で分かること
・ファイアウォールが通信を判断する基準
・ファイアウォールで設定する主な項目（IPアドレス・ポート番号・プロトコル）
・現場でよくあるファイアウォール設定の考え方
・「必要な通信だけ許可する」理由
ファイアウォールでは何を設定しているの？
「ファイアウォールを設定してください。」
インフラエンジニアになると、このような依頼を受けることがあります。
でも初心者のうちは、
「そもそも何を設定するの？」
と思いますよね。
実は、ファイアウォールで設定する内容は意外とシンプルです。
実際の設定例を見てみよう
文章だけだとイメージしづらいので、実際の設定例を見てみましょう。
| 設定項目 | 設定値 |
|---|---|
| 送信元IP | ANY |
| 宛先IP | Webサーバ |
| プロトコル | TCP |
| ポート | 443 |
| アクション | Allow（許可） |
それぞれの項目について、もう少し詳しく見ていきましょう。
■ 送信元IPアドレス
通信元となるIPアドレスです。
「社内PCからの通信だけ許可する」といった場合に指定します。
■ 宛先IPアドレス
通信先となるIPアドレスです。
WebサーバやDBサーバなど、アクセス先のサーバを指定します。
■ プロトコル
通信方式を指定します。
Web通信ではTCPが利用されることがほとんどです。
■ ポート番号
どのサービスへ通信するのかを指定します。
例えば、80番はHTTP、443番はHTTPSで利用されます。
■ アクション
条件に一致した通信を「許可（Allow）」するのか、「拒否（Deny）」するのかを決めます。
図：WebサーバへHTTPS通信を許可する設定例
なぜこのような設定にするの？
ファイアウォールでは、「通信を許可すること」よりも、「不要な通信を通さないこと」の方が重要です。
今回の例ではHTTPS（443）の通信だけを許可していますが、それには理由があります。
| 通信 | ポート番号 | 今回の設定 | 理由 |
|---|---|---|---|
| HTTPS | 443 | ✅ 許可 | Webサイトを安全に利用するため |
| HTTP | 80 | ❌ 拒否 | HTTPSのみ公開するため |
| SSH | 22 | ❌ 拒否 | Linuxサーバを管理するときに利用する通信のため |
| RDP | 3389 | ❌ 拒否 | Windowsサーバへリモート接続するときに利用する通信のため |
■ HTTPS（443）を許可する理由
利用者がWebサイトを閲覧するために必要な通信だからです。HTTPSは通信内容が暗号化されるため、安全にデータをやり取りできます。
■ HTTP（80）を許可しない理由
今回はHTTPSのみで公開する想定です。HTTPは暗号化されないため、HTTPSへ統一する構成が一般的です。
■ 必要な通信だけを許可する理由
ファイアウォールでは、利用しない通信まで許可する必要はありません。不要な通信を遮断することで、不正アクセスや攻撃のリスクを減らせます。
現場ではさらに細かく通信を制御している
実際のシステム環境では、単純にネットワークを分離するだけではなく、ファイアウォールによってサーバ間の通信を必要最小限に制御しています。
以下は、一般的な通信制御のイメージです。
図：ファイアウォールによる通信制御イメージ
図内にも同様の内容を記載していますが、各通信の許可内容を確認しやすいよう、以下の表で整理します。
| 通信元 | 通信先 | 許可ポート | 制御内容 | 目的 |
|---|---|---|---|---|
| Internet | Webサーバ | TCP/443（HTTPS） | 許可 | 利用者からWebサービスへアクセスするため |
| Internet | APサーバ | – | 拒否 | 業務処理サーバを外部公開しないため |
| Internet | DBサーバ | – | 拒否 | データベースを外部公開せず、個人情報などを保護するため |
| Webサーバ | APサーバ | TCP/8080 | 許可 | Webサーバとアプリケーション間の連携のため |
| APサーバ | DBサーバ | TCP/1433 | 許可 | アプリケーションからデータベースへ接続するため |
ここで覚えていただきたい重要なポイントは2点です。
- すべての通信経路をFWで制御している
サーバ間の通信を含め、すべての通信はファイアウォールを経由します。
「どのサーバから、どのサーバへ、どのポートを使用して通信するのか」を明確に定義し、必要な通信のみを許可することでセキュリティを確保しています。
- APサーバ・DBサーバは外部公開してはいけない
APサーバやDBサーバをInternetから直接アクセス可能な状態にすると、不正アクセスや情報漏えいのリスクが高まります。
そのため、外部からのアクセスはWebサーバのみに限定し、APサーバ・DBサーバへの直接アクセスはFWで拒否します。
まとめ
今回は、ファイアウォール（FW）の役割と通信制御の考え方について説明しました。
FWは、単純にInternetからの不正アクセスを防ぐだけではなく、サーバ間の通信についても制御する重要な役割があります。
今回のポイントは以下の通りです。
| ・InternetからWebサーバへのアクセスは、必要な通信（HTTPS/443）のみ許可する ・APサーバやDBサーバは外部公開せず、Internetからの直接アクセスは拒否する ・Webサーバ～APサーバ、APサーバ～DBサーバ間も、必要なポートのみ許可する ・すべての通信をFWで制御し、必要最小限の通信だけを許可することがセキュリティ対策につながる |
実際のシステム環境では、サービス構成や要件に合わせて細かい通信制御を行い、安全なネットワーク構成を実現しています。
関連記事
今回の記事を読んで、
「インフラって意外と面白いかも！」
と思った方もいるのではないでしょうか。
実際、インフラエンジニアは今回紹介したようなネットワークだけでなく、サーバやクラウドなど幅広い知識を身につけながら成長できる仕事です。
そんな疑問がある方は、こちらの記事もぜひ読んでみてください！
コメント