現在インターネットで普通に使用されている ファイアウォールには 二つの異なるタイプがあります。一つは、 厳密には パケットフィルタリングルータ と 呼ばれるタイプのものです。これはマルチホームのホストマシン (複数の ネットワークに接続されているマシン) のカーネルが、 ある規則にしたがって パケットを転送したりブロックしたりするものです。もう一つは、 proxy (代理) サーバ として知られているタイプのものです。これは、 おそらくはマルチホームのホストマシン上で、 カーネルによるパケット転送を 禁止して、 デーモンにより認証の提供とパケットの転送とを おこなうものです。

二つのタイプのファイアウォールを組み合わせて使用して、 特定のマシン ( 要塞ホスト と呼ばれる) だけが パケットフィルタリングルータを通して内部ネットワークへ パケットを送ることができるよう設定している サイトがしばしば存在します。proxy (代理) サービスは通常の認証機構よりもセキュリティを 強化してある 要塞ホストで動作させます。

FreeBSD は (IPFW として知られる) カーネルパケットフィルタ込みで提供されています。 この節の残りでは、このフィルタについて集中して説明します。 サードパーティから提供されるソフトウェアを使用することにより、 Proxy サーバを FreeBSD 上に構築することができます。 しかし、現在入手可能な proxy サーバはたいへんバラエティに富んでいるので、 この節でそれらすべてをカバーすることはできません。

FreeBSD とともに配布されている IPFW は、 カーネル内部にあってパケットのフィルタリングとアカウンティングをおこなうシステムであり、 ユーザ側のコントロールユーティリティである ipfw(8) を含んでいます。 ルーティングの決定をおこなう際に、これらは互いに協力して、 カーネルで使用されるルールを定義したり、 現在使用されているルールを問い合わせたりすることができます。

IPFW は互いに関連する二つの部分からなっています。 ファイアウォールセクションは パケットフィルタリングをおこないます。また、IP アカウンティングセクションはファイアウォールセクションのものと 似たルールに基づいてルータの使用を追跡します。これにより、 (たとえば) 特定のマシンからルータへのトラフィックがどのくらい 発生しているか調べたり、どれだけの WWW (World Wide Web) トラフィックが フォワードされているかを知ることができます。

IPFW は、 ルータではないマシンにおいても入出力コネクションの パケットフィルタリングのために使用することができるように設計されています。 これは一般的な IPFW の使用法とは異なる特別な使い方ですが、 こういった状況でも同じコマンドとテクニックが使用されます。

IPFW システムの中心となる部分はカーネル内部にあります。 そのため、どのファシリティ (機能) を必要とするかによって、 1 つまたは複数のオプションをカーネルコンフィグレーションファイルに追加し、 カーネルを再コンパイルする必要があるでしょう。 カーネルの再コンパイル方法の詳細については、 「カーネルのコンフィグレーション」(9章FreeBSD カーネルのコンフィグレーション) をご覧ください。

現在、IPFW に関係するカーネルコンフィグレーションオプションは 三つあります。

IPFW ソフトウェアの設定は ipfw(8) ユーティリティを通じておこないます。 このコマンドの構文は非常に複雑に見えますが、 一旦その構造を理解すれば比較的単純です。

このユーティリティでは今のところ四つの異なる コマンドカテゴリが 使用されています: それは追加 / 削除、表示、 フラッシュ、およびクリアです。追加 / 削除はパケットの受け入れ、拒絶、ログ取りをどのようにおこなうか というルールを構築するのに使用します。表示はルールリスト (またはチェーン) と (アカウンティング用) パケットカウンタの 内容を調べるのに使用します。 フラッシュはチェーンからすべてのエントリを 取り除くのに使用します。 クリアは一つまたはそれ以上のアカウンティングエントリを ゼロにするのに 使用します。

このコマンドは、ホスト evil.crackers.org から ホスト nice.people.org の telnet ポートへの すべてのパケットを拒絶します。

次の例は、ネットワーク crackers.org (クラス C) 全体から マシン nice.people.org (の任意のポート) への 任意の TCP トラフィックを拒絶し、 ログを取ります。

あなたの内部ネットワーク (クラス C のサブネット) に対する X セッションを 張れないようにする場合、 以下のコマンドで必要なフィルタリングがおこなえます。

アカウンティングレコードを見るには:

または短縮形式で

最後にチェーンエントリがマッチした 時刻を見ることもできます。

最初にファイアウォールをセットアップするとき、 コントロールされた環境でファイアウォールホストの 設定がおこなえるような テストベンチセットアップが用意できない場合には、 カーネルのログ取りを 有効にしてログ取り版のコマンドを使用することを 強くおすすめします。そうすることで、 大した混乱や中断なしに問題となる範囲の特定と処置を 素早くおこなうことができます。 初期セットアップフェーズが完了してからであっても、 アタックの可能性のあるアクセスをトレースしたり、 要求の変化に応じてファイアウォールルールを 変更したりできるので、`deny' に対するログ取りをおこなうことをおすすめします。

ファイアウォールは、 /etc/rc.conf.local か、もしくは /etc/rc.conf によって有効化されるべきです。 関連マニュアルページには、どのドアノブ (訳注: ポートや IP アドレスなど、 ネットワークからの入口を示すもののこと) に手をつければ良いのかに ついての説明と、ファイアウォール設定の既定値のリストがあります。 もし、設定の既定値を使わない場合には、 ipfw list とすることで、 現在のルールセットを rc.conf から読み込める形で ファイルに出力できます。 また、/etc/rc.conf.local や /etc/rc.conf によってファイアウォールを有効化しない場合には、 すべての IP インタフェースが設定されるよりも前に、 確実にファイアウォールの有効化が行なわれるようにすることが重要です。

次の問題は、ファイアウォールが実際には何を する べきかです ! これは外部からそのネットワークへのどんなアクセスを許したいか、 また内部から外界へのアクセスを どのくらい許したいかに大きく依存します。 いくつか一般的なルールを挙げると:

これとは別のファイアウォール設定に 関するチェックリストが CERT から 入手可能です。http://www.cert.org/tech_tips/packet_filtering.html

前にも述べたように、これはただの ガイドライン にすぎません。 ファイアウォールでどのようなフィルタルールを使用するかは、 あなた自身が 決めなければなりません。 これまでのアドバイスに従ったにも関わらず、 誰かがあなたのネットワークに 侵入してきたとしても、 わたしたちは「いかなる」責任もとることはできません。

多くの人が IPFW がどのくらいのオーバヘッドをシステムに加えるかを知りたがっています。 この答えは、使っているルールセットとプロセッサのスピードによってほぼ決まります。 イーサネットを使っていてルールセットが少ないアプリケーションにとって答えは、 「その影響は無視できる程度」 です。 実際の測定値を見ないと満足できない方は、引き続きお読みください。

次の測定は 486-66 (訳注: Intel 社製 CPU i486, 66MHz のこと) 上で 2.2.5-STABLE を使用して行なわれました (IPFW はその後の FreeBSD のリリースで多少変更されていますが、 現在も同程度の速度で動きます)。IPFW には、 ip_fw_chk ルーチン内でかかる時間を測定して、 1000 パケット毎に結果をコンソールに表示する変更が加えられています。

それぞれ 1000 ずつのルールからなる 2 つのルールセットでテストが行なわれました。 1 つ目のルールセットは最悪のケースを見るために、 次のルールを繰り返しています。

これは、最終的にパケットが (ポート番号から) ルールにマッチしないことがわかるまでに IPFW のほとんどのパケットチェックルーチンが実行されるような、 最悪の場合を示します。このルールを 999 個繰り返し並べた後に allow ip from any to any がきます。

2 つ目のルールセットは、 なるべく早く確認が終了するように書かれたものです。

このルールでは、発信元の IP アドレスが一致しないので、 すぐに確認が終わります。前とおなじように、1000 個目のルールは allow ip from any to any です。

前者のパケットあたりのオーバヘッドはおよそ 2.703 ms/packet または 1 つのルールにつき 2.7 マイクロ秒です。したがって、 このルールにおけるパケット処理時間の理論的な限界は、 毎秒約 370 パケットです。10 Mbps の Ethernet で 1500 バイト程度のパケットサイズを仮定すると、 バンド幅の利用効率は 55.5% が限界です。

後者では、それぞれのパケットがおよそ 1.172 ms または、1 つのルールにつき 1.2 マイクロ秒で処理されていました。 パケット処理時間の理論的な限界は、 毎秒約 853 パケットとなりますので、10 Mbps Ethernet のバンド幅を使い切ることができます。

このテストに使われたルールの数が多過ぎることと、 その性質から、これは実際の状況を反映したものではありません。 これらは上に示したタイミング情報を出すためだけに用いられたものです。 効率の良いルールセットを作るためには、 次のような事を考えればよいでしょう。