ファイアウォールは通信を通す・止める

ここまで、スイッチ、ルーター、無線LANアクセスポイントの役割を見てきました。

これらは主に、機器同士をどうつなぐかに関わるものでした。

ただ、会社のネットワークは「つながればOK」ではありません。

会社のWebサイトは社外から見られる必要がありますが、社内PCや社内サーバまで誰でも自由にアクセスできたら困ります。

そこで必要になるのが、どの通信を通して、どの通信を止めるかという考え方です。

その代表的な仕組みがファイアウォール（FW）です。

ファイアウォールって何？

ファイアウォールは、通信の条件を確認して、許可するか拒否するかを制御する機器や機能です。

よく建物の入口にある受付や警備にたとえられます。

誰でも同じように通すのではなく、条件を見て「ここまでは通してよい」「この先は通さない」と判断します。

ネットワークでも、送信元、宛先、通信の種類などを条件にして制御できます。

ハンズオン：許可される通信と拒否される通信を比べる

この講座のシミュレーターには、ファイアウォールのルールまで設定された状態で構成が用意されています。

受講者がFWの設定を作る必要はありません。

ここでは、同じ社外PCから送った通信でも、宛先や通信の種類によって結果が変わることを確認します。

構成はこうです。

FW1に2つのIPアドレスが付いているのは、片方の足を社外に、もう片方を社内に置いているからです。

GaibuPC
   │
  FW1
   ├── PC1
   └── WebSrv

社内PCへの通信を確認する

社外PCから社内PCへ送ります。

右のシミュレーターで GaibuPC をダブルクリックし、開いた画面の上にある コマンドプロンプト タブを選びます。

ping 192.168.1.11

実行すると、次のように表示されます。

192.168.1.11 に ping を送信しています 32 バイトのデータ:
203.0.113.254 からの応答: 宛先ホストに到達できません。
203.0.113.254 からの応答: 宛先ホストに到達できません。
203.0.113.254 からの応答: 宛先ホストに到達できません。
203.0.113.254 からの応答: 宛先ホストに到達できません。

192.168.1.11 の ping 統計:
    パケット数: 送信 = 4、受信 = 0、損失 = 4 (100% の損失)

「203.0.113.254 からの応答: 宛先ホストに到達できません。」と出ました。

よく見てください。応答しているのは、送った相手（192.168.1.11）ではなく、途中にいるFW1（203.0.113.254）です。「そこへは通せません」と、FWが答えています。

ここで重要なのは、社内PCが壊れているわけではないことです。

FWのルールによって、社外から社内PCへの通信が止められています。

Webサーバへアクセスする

次に、同じ社外PCからWebサーバへアクセスします。画面は開いたままで構いません。

同じ画面で、続けて次を実行します。

curl 192.168.1.100

実行すると、次のように表示されます。

192.168.1.100 に接続しています...
HTTP/1.1 200 OK

WebSrv: 社外にも公開しているWebサーバです

こちらは中身まで返ってきました。Web通信が許可されているからです。

同じ相手でも、種類が違えば結果が変わる

もう1つ試してみましょう。いま中身が見られた WebSrv に対して、今度は ping を送ります。

同じ画面で、続けて次を実行します。

ping 192.168.1.100

実行すると、次のように表示されます。

192.168.1.100 に ping を送信しています 32 バイトのデータ:
203.0.113.254 からの応答: 宛先ホストに到達できません。
203.0.113.254 からの応答: 宛先ホストに到達できません。
203.0.113.254 からの応答: 宛先ホストに到達できません。
203.0.113.254 からの応答: 宛先ホストに到達できません。

192.168.1.100 の ping 統計:
    パケット数: 送信 = 4、受信 = 0、損失 = 4 (100% の損失)

止まりました。 さっき中身まで見られた相手なのに、ping は届きません。

ここから分かるのは、FWは「相手」ではなく「通信」を選んでいるということです。同じ宛先でも、通信の種類が違えば扱いが変わります。

つまり、同じ社外PCからでも、

社外PC → 社内PC       拒否
社外PC → Webサーバ     許可

という違いがあります。

これがファイアウォールの基本的な役割です。

「FWがある＝全部止まる」ではない

ファイアウォールは、通信をすべて止めるための機器ではありません。

会社のWebサイトなら、社外の利用者からWebサーバへアクセスできる必要があります。一方、社内だけで使うサーバは、社外から直接アクセスできないようにしたい場合があります。

そのため、

必要な通信は通す

不要な通信は止める

というルールを設定します。

科目Bでは、ファイアウォールの細かな設定コマンドを書く問題よりも、「どの通信が通るのか」「この経路変更でFWを通らなくならないか」といった考え方が重要になります。

pingは止まっても、Webは開けることがある

今回のハンズオンでは、ping と curl で結果が変わりました。

これは、ファイアウォールが通信を一括して「通す・止める」と決めているわけではなく、通信の種類などを条件に判断できるからです。

この感覚を持っておくと、後で「Web通信だけ許可する」「社内からの管理通信だけ許可する」といった構成を理解しやすくなります。

今回のまとめ

• ファイアウォールは、通信を条件によって許可・拒否する
• FWがあるからといって、すべての通信が止まるわけではない
• 必要な通信を通し、不要な通信を止めることが基本
• 科目Bでは、通信経路の途中にどんな対策があるかを見ることが重要

ここまでで、IPアドレス、サブネットマスク、スイッチ、ルーター、無線LAN AP、FWという、ネットワークの基本的な機器や考え方を学びました。

次のトピックからは、Webサーバ、DNSサーバ、DHCPサーバなど、基本情報技術者試験でよく出てくるサーバの役割を一つずつ見ていきます。