Firewall 構築ガイド

10月9日更新
情報を提供して下さった方々にお礼申しあげます。

ある日、Firewall（ファイアウォール）を構築することになった人による、 Firewall 初心者のための、体験的構築ガイドです。

このガイドは、保護するマシンの台数が、数台から数十台程度の規模の Firewall が対象です。

基礎知識

TCP/IP プロトコルの概要（@IT）

インターネットの基礎知識（Internet Week 2000）

セキュリティ概論

セキュリティ入門（Internet Week 2000）

ファイアウォールの基礎と構築（Internet Week 2000）

初心者のためのセキュリティー講座（JPCERT）

小規模サイト管理者向けセキュリティ対策マニュアル（IPA）

インターネットセキュリティ（IP Meeting 96 Tutorial）

方式の違い

Firewall の方式を３つに分類してみました。

NAT + パケットフィルタは良く使われるようですが、使いこなすのは以外と大変です。 TCP/IP の知識も必要ですし、ちょっとしたミスで全く通信できなくなったり、素通しになってしまったりします。

パケットフィルタを使うなら、簡単な設定にし、プロキシでカバーできないか検討しましょう。

プロキシは設定が割と簡単で効果的です。接続（使用）状況を確認し易いのもメリットの１つです。

しかし、プロキシはパケットの偽装などをブロックできません。

パケットフィルタ（静的ルール）

IP パケットのヘッダ情報（アドレス、ポート、フラグ）で判断
処理は高速
CPU、メモリ資源は少なくても良い
安全性は低い（以下の２方式に比べて）
処理状況は分かりにくい
ルールはいつでも変更できる

パケットフィルタ（ステートフル／動的ルール）

IP パケットのヘッダ情報だけでなく、時間や履歴も判断（アプリケーション・レベルのデータまで判断できるものもある）
処理は中速
CPU、メモリ資源は多少必要
安全性は中程度
処理状況はやや分かりにくい

プロキシ／アプリケーション・ゲートウェイ

IP アドレス、ポートとアプリケーション・レベルのデータで判断
処理は低速
CPU、メモリ資源は必要
安全性は高い
処理状況は分かり易い

構成の違い

装置の構成を分類してみました。

Firewall の基本構成

WWW サーバなどの公開サーバを DMZ に置く構成
安全性は高い

簡易 DMZ の構成
上の構成に比べると安全性は低い

Personal firewall や Host-base firewall と呼ばれるもの

市販品

外部から内部へのアクセスを許すかどうかで、必要なシステムが変わります。

安価な市販品は NAT + パケットフィルタですが、外部から内部へのアクセスが必要ないなら、それで充分でしょう。ただし、性能に注意！

ブロードバンドルータ・インデックス（Impress）

ADSL/CATV 対応ルータ一覧（ASCII24、3月29日）

50万円以下のソフトウェア

FireWall-1 -- パケットフィルタ + α（25ノードで49万円）
BorderWare -- WWW, mail(POP3), DNS, News, FTP サーバ内蔵（25ノードで40万円）
GNAT Box -- NAT + DHCP + パケットフィルタ（20万円）
Microsoft Proxy Server（WindowsNT server 用） -- パケットフィルタ（22万円、アカデミック11.5万円）
WinWrapper（Windows95,98,NT 用） -- パケットフィルタ（10ノード10万円）
WinGate（Windows95,98,NT 用） -- プロキシ（50ユーザ7万円）
VPN-1/FireWall-1 SmallOffice -- NAT + VPN + パケットフィルタ（5ノード6.7万円から）
Windows 2000 Server はパケットフィルタ、NAT、VPN の機能付き

50万円以下の一体型

SonicWALL -- NAT + DHCP + パケットフィルタ（10ユーザ14万円、50ユーザ30万円から）
Fireless -- NAT + パケットフィルタ（34万円から）
ネットワークガードマン1号 -- NAT（30万円）
CentreCOM AR320 -- NAT + DHCP + パケットフィルタ（stateful inspection） + α（6.8万円）
プレステージ 310 -- NAT + DHCP + パケットフィルタ（6.8万円）
FR314 -- NAT + DHCP + パケットフィルタ（stateful inspection）+ コンテンツフィルタ + 4 ポートスイッチ（5.3万円）
子羊ルータ LAMB -- NAT + パケットフィルタ（5万円）
CA2000 -- NAT + DHCP（4.6万円）
OpenBlocks -- NAT + DHCP + パケットフィルタ + CF（4万円）
マイクロ Firewall パーソナル II -- NAT + DHCP + パケットフィルタ（3.5万円）
bRoad Lanner (BRL-04FW) -- NAT + DHCP + パケットフィルタ（stateful inspection）+ 4 ポートスイッチ（3.3万円）
bRoad Lanner (BRL-07P) -- NAT + DHCP + 7 ポートスイッチ + プリントサーバ（3万円）
NetGenesis OPT -- NAT + DHCP + パケットフィルタ + 4 ポートスイッチ（2.7万円）
EtherFast 8-port Cable/DSL Router (BEFSR81) -- NAT + DHCP + パケットフィルタ + 8 ポートスイッチ + α（2.5万円）
bRoad Lanner (BRL-04F) -- NAT + DHCP + 4 ポートスイッチ（2.5万円）
Broadband Gate (CR-110,CR-110Pro) -- NAT + DHCP + パケットフィルタ（1.6万円,5万円）
RT314 -- NAT + DHCP + パケットフィルタ+ 4 ポートスイッチ（2.4万円）
NetLINE Broadband Gateway -- NAT + DHCP + パケットフィルタ（2.3万円）
BEFSRU31 -- NAT + DHCP + DMZ/Forwarding + 3 ポートスイッチ（2万円）
EtherFast 4-port Cable/DSL Router -- NAT + DHCP + パケットフィルタ + 4 ポートスイッチ（2万円）
AR220E -- NAT + DHCP + パケットフィルタ + 4 ポートスイッチ（2万円）
broadDirect SMC7004BR -- NAT + DHCP + 4 ポートスイッチ + プリンタサーバ（2万円）
bRoad Lanner (BRL-01N) -- NAT + DHCP（1.8万円）
BAR SW-4P -- NAT + パケットフィルタ + 4 ポートスイッチ（1.8万円）
NP-BBR -- NAT + DHCP + パケットフィルタ + 4 ポートスイッチ + α（1.7万円）
bRoad Lanner (BRL-04A) -- NAT + DHCP + パケットフィルタ + 4 ポートスイッチ（1.7万円）
BroadStation (BLR-TX4) -- NAT + DHCP + パケットフィルタ + 4 ポートスイッチ（1.6万円）
BLR-TX4L -- NAT + DHCP + DMZ + 4 ポートスイッチ（1万円）