クライアントはプロキシファイアウォールに接続し、サーバとの接続を確立したと考える。続いてプロキシファイウォールがクライアントに代わって、サーバとの接続を開く。このユニークなアプローチにより、クライアントとサーバを分離するレイヤが追加され、ファイアウォールが両者のやりとりを中継し、アプリケーションレイヤでトラフィックを調べ、有害な恐れがあるコンテンツをチェックするといったことが可能になる。

　だが、ファイアウォールを使うと、クライアント／サーバの接続問題のトラブルシューティングが少し面倒になる。問題を診断するには、ファイアウォールの両側でトラフィックを監視しなければならない。ファイアウォールの外側のトラフィックを監視する外部監視装置と、ファイアウォールの各内部インタフェースに接続された内部監視装置が必要になる。以下では、幾つかの一般的な接続問題に目を向け、それらがtcpdumpの出力にどのように現れるかを見ていこう。以下の例では、いずれも前述した接続シナリオを使用する。Webサーバは、2つのIPアドレスを持つものとする。ファイアウォールで保護されたLAN上でのプライベートアドレスである192.168.3.150と、外部に公開されているパブリックアドレスである10.0.0.120だ。

ケース1：サーバの問題

　サーバは、DoS（サービス妨害）、設定ミス、ハッキングなどの原因から、接続に問題が生じることがある。こうした場合、ファイアウォールは正常に動作しているため、ファイアウォールの外側では、3ウェイハンドシェイクが完了しているはずだ。出力は次のようなものになる。

19:24:36.959777 IP 10.1.1.16.1450 > 10.0.0.120:80: S 735906036:735906036(0) win 16384

19:24:36.987938 IP 10.0.0.120:80 > 10.1.1.16.1450: S 3607622985:3607622985(0) ack 735906037 win 8190

19:24:36.987961 IP 10.1.1.16.1450 > 10.0.0.120:80: . ack 1 win 17640

　SYNフラグとACKフラグは、目立つように太字にしてある。これは正常な3ウェイハンドシェイクだ。問題は、ファイアウォールとWebサーバの間に現れる。サーバがダウンしていたり、あるいは応答していない場合、以下のような、ファイアウォールからサーバへの一連のSYNパケットでそれが確認できる。

19:22:40.214672 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384

19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384

19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384

19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384

19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384

ケース2：ファイアウォールの問題

　ファイアウォールの問題は、内容に応じてさまざまな形で現れる。ファイアウォールが完全にダウンしている場合には、ファイアウォールのパブリックIPアドレスに送信されても応答が返っていない、一連のSYNパケットが存在する。これは外部監視装置の出力に表示され、内部監視装置の出力には関連するトラフィックは何も表示されない。

　一方、ファイアウォールのルールが誤って設定されている場合は、外部監視装置の出力には、正常な3ウェイハンドシェイクが行われたことが示されるかもしれないが、内部監視装置の出力には、トラフィックが何も表示されないかもしれない。

ケース3：アプリケーションの問題

　内部監視装置と外部監視装置の両方の出力に正常な3ウェイハンドシェイクが行われたことが示されている場合、一般にファイアウォールに問題がある可能性は除外できる。この場合、アプリケーション自体に問題が生じている疑いが濃厚だ。例えば、攻撃者がアプリケーションを乗っ取って動作を改変している、サービスが誤って設定されている、クライアントが不正な要求を行っている、といった恐れがある。

　これらのケースは網羅的なものではない。あり得るトラブルシューティングシナリオをすべてカバーするのは、絶対不可能だ。とはいえ、これらの例はプロキシファイアウォールに関連する接続問題を診断するための良い出発点になる。

本稿筆者のマイク・チャップル氏は、ノートルダム大学のITセキュリティプロフェッショナル職を務めており、CISA（公認情報システム監査人）、CISSP（公認情報システムセキュリティプロフェッショナル）の資格を持つ。米国国家安全保障局と米国空軍に情報セキュリティ研究員として勤務した経験がある。「Information Security」誌のテクニカルエディターを務めるほか、「CISSP: Cissp Certified Information Systems Security Professional」や「Information Security Illuminated」（いずれも共著）など、情報セキュリティに関する数冊の著書がある。