ファイアウォールを理解する（UFW/firewalld）

サーバーを家にたとえてみましょう。ファイアウォールは、出入りする人を判断する玄関の警備員のような役割を果たします。これはサーバーセキュリティの重要な要素です。

ファイアウォールはネットワークトラフィックを制御し、不正アクセスを防いで、悪意のある攻撃からサーバーを保護します。

ファイアウォールは、一連のルールを使って送受信ネットワークトラフィックを検査します。ルールは次の情報に基づきます。

• 送信元／送信先IPアドレス：トラフィックの発信元または宛先です。
• ポート番号：サービスごとに用意された特定の「出入口」です（例：SSHのポート22、HTTPのポート80）。
• プロトコル：TCPやUDPなどです。

ルールに一致するトラフィックは、許可または拒否されます。

UbuntuのようなDebianベースのシステムでは、最も一般的なファイアウォールツールがUFWです。UFWは「Uncomplicated Firewall」を意味します。

UFWは使いやすさを重視して設計されており、初心者でも複雑な`iptables`コマンドを直接扱わずに、ファイアウォールルールを簡単に管理できます。

UFWは、デフォルトでセキュリティを重視した設定になっています。

• 受信を拒否：明示的に許可しない限り、すべての受信接続をブロックします。
• 送信を許可：サーバーから外部へ接続を開始できます。

つまり、WebサーバーやSSHなど、インターネットからアクセスさせたいサービスのポートは、個別に開放する必要があります。

UFWを有効にする前に、SSHアクセスを許可することが重要です。先に許可しないと、サーバーから締め出される可能性があります。SSHを許可したら、UFWを有効にできます。

次のコマンドを実行してみましょう。

UFWでは、一般的なサービスを名前（/etc/servicesで定義されている場合）またはポート番号で指定して、トラフィックを許可できます。HTTP（Webトラフィック）とSSHを許可してみましょう。

標準のサービス名が割り当てられていないポートを開く必要がある場合があります。たとえば、カスタムアプリケーションで使うポート8080などです。プロトコル（TCPまたはUDP）も指定できます。

TCPのポート8080へのトラフィックを許可する方法は次のとおりです。

CentOSやFedoraのようなRed Hatベースのシステムでは、ファイアウォール管理ツールとしてfirewalldを使います。firewalldは動的ファイアウォールデーモンであり、ファイアウォールサービス全体を再起動せずにルールを変更できます。

firewalldは「ゾーン」という概念を使ってルールを管理するため、より柔軟にセキュリティを設定できます。

firewalldはファイアウォールルールをゾーンに分類します。各ゾーンにはデフォルトのルールセットがあり、ネットワークインターフェースに割り当てることができます。

一般的なゾーンには次のものがあります。

• public：信頼されていないネットワーク用です（外部インターフェースのデフォルト）。
• home/internal：信頼されたネットワーク用です。
• trusted：すべてのネットワーク接続を受け入れます。

これにより、ネットワークの信頼度に応じて異なるセキュリティレベルを適用できます。

firewalldでサービスを許可するには、サービスとゾーンを指定し、再起動後もルールを維持するために--permanentフラグを使用します。その後、firewalldを再読み込みする必要があります。

publicゾーンでSSHとHTTPを開放してみましょう。

よくできました。サーバーセキュリティにおけるファイアウォールの重要な役割について学びました。次の内容を理解できています。

• ファイアウォールとは何か、なぜ不可欠なのか。
• Ubuntu／DebianでUFWがどのように動作するか、有効化やサービスの許可方法。
• CentOS／RHELでfirewalldがどのように動作するか、ゾーンの概念とサービスの追加方法。

ネットワークアクセスを制御し、サーバーを安全に保つには、これらのツールを使いこなすことが重要です。次は、特定のポートの管理と、そのセキュリティ上の意味について学びます。