高度なファイアウォールルール（IPTables）

IPTablesは、Linuxに組み込まれた強力なファイアウォールです。基本的な使い方を確認しましたが、より細かな制御を行うための高度な機能も備えています。

このレッスンでは、複雑なルール、ステートフルフィルタリング、Network Address Translation（NAT）を使って、サーバーのネットワークを本格的に保護・管理する方法を学びます。

IPTablesでは、ルールをテーブルに分類します。各テーブルは特定の目的を持ちます。テーブル内にはチェーンがあり、ルールを順番に評価するリストとして機能します。

• filterテーブル：パケットのフィルタリング（ブロックや許可）に使うデフォルトのテーブルです。INPUT、OUTPUT、FORWARDチェーンが含まれます。
• natテーブル：Network Address Translation（NAT）に使います。PREROUTING、POSTROUTING、OUTPUTチェーンが含まれます。
• mangleやrawなど、パケットの特殊な変更に使うテーブルもあります。

ステートフルファイアウォールは、ネットワーク接続の状態を追跡します。各パケットを個別に確認するだけでなく、そのパケットが既存の確立済み接続に属しているかどうかを記憶します。

主な接続状態は次のとおりです。

• NEW：新しい接続の最初のパケット。
• ESTABLISHED：既存のアクティブな接続に属するパケット。
• RELATED：既存の接続に関連する新しい接続を開始するパケット（FTPデータ転送など）。

ステートフルなルールを使うと、ファイアウォールの管理が大幅に簡単になります。確立済み接続に属するすべての通信を許可できるため、新しいNEW接続を開始する場合のルールだけを定義すれば済みます。

次のルールは、すでに確立されている接続または関連する接続の一部である、すべての受信パケットを許可します。

IPTablesでは、さまざまなマッチモジュールやオプションを組み合わせて、非常に具体的なルールを作成できます。これにより、サービスや送信元ごとにアクセスを細かく調整できます。

例：特定のサブネット（192.168.1.0/24）からの新しい接続に限り、SSH（ポート22）を許可します。

Network Address Translation（NAT）は、パケットが転送中のときに、IPヘッダー内のネットワークアドレス情報を変更します。主な用途は次のとおりです。

• プライベートネットワーク上の複数のデバイスで、1つのパブリックIPアドレスを共有できるようにする（家庭用ルーターなど）。
• ポートフォワーディングにより、外部からのリクエストを内部サーバーに転送する。

主な種類には、送信元NAT（SNAT）と宛先NAT（DNAT）があります。

Source NAT（SNAT）は、パケットの送信元IPアドレスを変更します。内部サーバーが、パブリックIPを持つゲートウェイサーバー経由でインターネットにアクセスする必要がある場合によく使われます。

マスカレードはSNATの一種です。送信インターフェースのIPアドレスを送信元IPとして自動的に使用するため、動的IPアドレスに適しています。

例：内部ネットワーク192.168.0.0/24からeth0経由でインターネットへのアクセスを許可します。

宛先NAT（DNAT）は、パケットの宛先IPアドレスを変更します。これは、内部サーバーで動作しているサービスを、ゲートウェイサーバーのパブリックIPアドレス経由でインターネットに公開するポートフォワーディングに最適です。

例：eth0で受信したWebリクエスト（ポート80）を、192.168.1.100の内部Webサーバーに転送します。

IPTablesを使用すると、送信元IPから新しい接続を受け付ける速度を制限することで、ブルートフォースによるログイン試行（SSHなど）のような一般的な攻撃から保護できます。

limitモジュールでは、レートとバースト上限を指定できます。上限に達した後の接続は、忘れずに破棄してください。

例：新しいSSH接続を1分あたり3件、初期バーストを3件に制限し、それ以外の接続を破棄します。

ゲートウェイとして動作するサーバーを考えます。このサーバーには、パブリックインターフェースeth0と、内部インターフェースeth1（192.168.1.0/24に接続）があるとします。

192.168.1.50の内部Webサーバーに、インターネットからポート80でアクセスできるようにするIPTablesコマンドはどれでしょうか。

お疲れさまでした。IPTablesの高度な概念について学びました。

• ESTABLISHED、RELATED、NEWの状態を使用したステートフルファイアウォール。
• 複数のマッチ条件を組み合わせた複雑なルールの作成。
• 送信トラフィック（SNAT/Masquerade）と受信トラフィック（DNAT/ポートフォワーディング）の両方に対するネットワークアドレス変換（NAT）の実装。
• limitモジュールを使用した基本的な攻撃対策。

これらのスキルは、堅牢で安全なLinuxサーバー環境を構築するうえで不可欠です。IPTablesのルールはデフォルトでは永続化されないため、変更後は忘れずに保存してください。