情報セキュリティは1つのプロセスであり製品ではないとよく思われていますが、 標準的なセキュリティの施行は通常、 アクセス特権を制御するなんらかの専用メカニズムの形をとり、 許可があり、識別が可能でトレースができるユーザーに対してネットワークリソースを制限します。 Red Hat Enterprise Linux には、ネットワークレベルでのアクセス制御の問題を持つ 管理者やセキュリティエンジニアの方々を支援するいくつかの強力なツールが含まれています。
IPsec(章6章で説明)などの VPN ソリューションと共にファイアウォールはネットワークセキュリティ実装の核のひとつなるコンポーネントです。ホームユーザー向け1台のPC保護から、重要な企業情報を安全に保護するデータセンターソリューションまで、市場の全レベルに向けてファイアウォール ソリューションを提供しているベンダーがいくつかあります。ファイアウォールには、 Cisco、Nokia、Sonicwall などが提供しているファイアウォール器機などの独立型 ハードウェアソリューションもあります。。また、checkpoint、McAfee、Symantecなどの ベンダーによって自宅仕様からビジネス仕様まで開発された商用ソフトウェアファイアウォールソリューション製品もあります。
ハードウェアのファイアウォールとソフトウェアのファイアウォールの違いは別にして、 ソリューション毎に異なるファイアウォールの機能の仕方も異なります。 表7-1ではよくある3つのファイアウォールタイプと その機能について説明しています。
| 方法 | 詳細 | 長所 | 短所 | ||||||
|---|---|---|---|---|---|---|---|---|---|
| NAT | NAT(Network Address Translation)は、プライベート IP サブネットワークを、１つ、又は小規模の公共 IP アドレスの集合の 背後に配置して、幾つかのソースにではなく１つのソースに全ての要求を出す ようなマスカレード(偽装)をします。 |
|
| ||||||
| パケットフィルタ | パケットフィルタリングファイアウォールは、LAN の外側及び内側でやりとりされる各データパケットを読み込みます。ヘッダ情報でパケットを読み込んでから処理して、ファイアウォール管理者により実践されているプログラム可能なルールセットを基にしてパケットをフィルタします。Linux カーネルは Netfilter カーネルサブシステム経由の埋め込み型パケットフィルタリング機能を持っています。 |
|
| ||||||
| プロキシ | プロキシファイアウォールは、LANクライアントからプロキシマシンへの特定のプロトコル またはタイプの要求すべてをフィルタします。次に、その要求をローカルクライアントに代わって インターネットに送ります。プロキシマシンは、悪意あるリモートユーザーと ネットワーククライアントマシン間のバッファとして動作します。 |
|
|
表 7-1. ファイアウォールのタイプ
Linux カーネルは、netfilterと呼ばれる強力なネットワークサブシステムが特徴です。netfilter サブシステムはステートフルまたはステートレスのパケットフィルタリング機能に加えて、NAT 及び IP マスカレードサービスも 提供します。また、Netfilter には、高度なルーティング及び接続状態管理のためのIP ヘッダ情報をmangleする機能もあります。Netfilter はIPTablesユーティリティーで制御します。
netfilter のそのパワーと柔軟性はiptablesインターフェースで 実現されます。このコマンドラインツールは、構文において以前のipchains に似ていますが、iptablesは netfilter サブシステム を使用してネットワーク接続、検査、処理などを強化します。ipchains は、フィルタリングソース及び目的地へのパスだけでなく両方の接続ポート に対して複雑なルールセットを使用していました。iptablesは、 高度なロギング、pre- と post- のルーティング動作、 Network Address Translation、 ポートフォワーディングの機能すべてをオールインワンの1つのコマンドラインインター フェースで実現します。
このセクションではiptablesの概要を説明しています。 iptablesについての詳細情報には、Red Hat Enterprise Linux リファレンスガイドを 参照してください。