Linux クックブック、第 2 版

第14章. firewalldを使ってLinuxファイアウォールを構築する

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

この章では、ホストファイアウォールを構築するためにfirewalldを使用する基本について述べる。 個々のホストは異なる要求を持っている。例えば、サーバは様々なタイプの着信接続要求を許可しなければならないし、何のサービスも実行していないPCはどんな接続要求も受け入れる必要はない。複数のネットワークにアクセスするノートPCは、動的なファイアウォール管理が必要である。

firewalldの概要

firewalldは、すべてのファイアウォールと同様に、非常に長い機能のリストを持っている。ここでは主に、firewalldのゾーンを使用して、システムに入るトラフィックを制御する方法を学ぶ。ゾーンは信頼のレベルを表すコンテナである。例えば、あるゾーンはあらゆる種類の着信接続要求を許可し、あるゾーンは非常に制限的である。 システムの各ネットワークインタフェースには1つのゾーンしか代入できないし、1つのゾーンを複数のインタフェースに代入することもできる。

要ネットワーク知識

理解すべき最も重要なネットワークの概念は、ポート、サービス、TCP、UDP、ポートフォワーディング、マスカレード、ルーティング、IPアドレッシングである。これらを理解すれば、ファイアウォールの設定方法も理解できるだろう。 コンピューターネットワーキングに関する指導が必要な場合は、Gordon Davies著『Networking Fundamentals』（Packt Publishing）やDoug Lowe著『Networking All-in-One For Dummies, 7th Edition』（For Dummies）を試してみよう。O'Reilly Learning Platformを購読していれば、素晴らしい情報が豊富に発見できるだろう。

従来のLinuxファイアウォールは、 、送受信ネットワークトラフィックをフィルタリングするLinuxカーネル内のnetfilterパケットフィルタリングフレームワークと、、トラフィックをフィルタリングする規則のテーブルを作成・管理するために使用されるソフトウェアであるiptablesで作成されている。

時代は変わり、、iptables はufw(Uncomplicated Firewall)、nftables(Netfilter tables)、firewalld(firewall daemon) といった新しいルールマネージャーに取って代わられつつある。firewalld は iptables や nftables と同様、トラフィックのフィルタリングを管理するためにルールのテーブルを使用する。 firewalldは、iptablesとnftablesの両方のフロントエンドであ る。nftablesはiptablesを大幅に改善したもので、firewalldのデフォ ルト向けのバックエンドになることを意図しているが、Linuxディストリビュー ションによっては、iptablesがまだデフォルトになっている。etc/firewalld/firewalld.confの FirewallBackendオプションで好みのバックエンドを設定する（レシピ14.4）。

firewalldには、 、ゾーンと呼ばれる、あらかじめ定義された規則セットが付属している。ゾーンとは、サービスを実行していないマシン、サービスを実行しているマシン、同じマシン上の異なるネットワークインタフェース用のゾーンなど、さまざまな使用ケースに対応するためのものである。これらのゾーンは、自分の要求に合わせて編集できる。 ...