ファイアウォール

どんな機器か

ファイアウォールは、ルールに基づいて通信を許可・遮断し、ネットワークの境界を守る 機器です。社内 LAN とインターネットの境目など、信頼できる側とできない側の間に置かれ、許可されていない通信を入口で止めます。

扱う層は製品により幅があり、IP やポートを見る L3〜L4 から、アプリケーションの中身を見る L7 まで対応します。

どう動くのか

基本となるのは ステートフルインスペクション（状態を持つ検査） です。送信元・宛先の IP やポートだけでなく、通信のセッション状態（接続が確立済みか、その応答か） を覚えておき、正当な往復通信だけを通します。これにより、内部からの通信に対する戻りパケットは許可しつつ、外部からの一方的な接続は遮断できます。

ルールは一般に「上から順に評価し、最初に一致したものを適用」する形で書きます。

# 概念的なルール例（順序が重要）
allow  src=社内LAN  dst=any        port=443   # 社内→Web は許可
deny   src=any      dst=社内サーバ port=any    # 外部→内部は原則遮断

似た機器との違い

• 次世代 FW（NGFW）との関係：従来型 FW が IP/ポート中心なのに対し、NGFW は アプリケーション識別・IPS・URL フィルタ などを統合し、L7 まで踏み込んで制御する。
• WAF との違い：FW は 汎用の境界防御。WAF は Web アプリケーションに特化 し、SQL インジェクションや XSS など HTTP リクエストの中身に対する攻撃を防ぐ。守る対象と粒度が異なり、両方を併用することも多い。

設計・運用のポイント

• ルールの肥大化に注意：追加を重ねると不要・重複ルールが溜まり、穴や運用ミスの温床になる。定期的な棚卸しが必要。
• 単一障害点になりやすい：境界に 1 台だと故障時に通信全体が止まる。アクティブ／スタンバイなどで 冗長化 する。
• 「最小許可」の原則：基本は全遮断とし、必要な通信だけを明示的に許可する。

製品を選ぶときの観点

• 従来型 FW か NGFW か：アプリ識別や IPS・URL フィルタが要るか。
• スループット：暗号化通信の検査（SSL インスペクション）を有効にしても性能が足りるか。
• 可用性：冗長構成・設定同期に対応するか。
• 運用性：ログの可視化やルール管理のしやすさ。