フィルタリングルールは、どんな通信を許可し、どんな通信を拒否するかを定義している設定です。「ポリシー」や「ACL（Access Control List）」など、機器ベンダーによって呼び方はさまざまですが、基本的に全て同じものと考えてよいでしょう。

　フィルタリングルールは、

• 送信元IPアドレス（ネットワーク、インタフェース）
• 宛先IPアドレス（ネットワーク、インタフェース）
• プロトコル
• 送信元ポート番号
• 宛先ポート番号
• 制御（アクション）

などの設定項目で構成されています。例えば、「192.168.1.0/24」というネットワークにいる社内端末からインターネットに対してWebに関する通信を許可したい場合、一般的に以下のような設定になります。

　インターネットへのWebアクセスだからといって、単純にHTTP（TCPの80番）だけを許可しておけばいいというわけではありません。HTTPをSSL（Secure Socket Layer）で暗号化しているHTTPS（TCPの443番ポート）、URLをIPアドレスに変換（名前解決）するときに使用するDNS（UDPの53番ポート）も合わせて許可してあげる必要があります。

　特定できない要素については「ANY」と設定します。例えば、宛先IPアドレスはクライアントがアクセスするWebサーバによって異なるため、特定しようがありません。そこでANYと設定します。また、送信元ポート番号もOSがランダムで選択するため特定しようがないので、宛先IPアドレスと同じようにANYと設定します。

ファイアウォールのポイントはコネクションテーブル

　ステートフルインスペクションは、このフィルタリングルールを、コネクションの情報を基に動的に書き換えることによって、セキュリティ強度を高めています。ファイアウォールは、自身を経由するコネクションの情報を「コネクションテーブル」と呼ばれるメモリ内のテーブル（表）で管理しています。

　コネクションテーブルは、

• 送信元IPアドレス
• 宛先IPアドレス
• プロトコル
• 送信元ポート番号
• 宛先ポート番号
• コネクションの状態

など、各種要素（列）からなる複数のコネクションエントリ（行）から構成されています。このコネクションテーブルがステートフルインスペクションの要であり、ファイアウォールを理解するための大切なポイントです。

ステートフルインスペクションの動作

　ファイアウォールは、どのようにコネクションテーブルを利用し、どのようにフィルタリングルールを書き換えているのでしょうか。ここでは、図1のような環境で、クライアント（Webブラウザ）がHTTPでWebサーバにアクセスすることを想定して、一般的なステートフルインスペクションの動きを説明します。

ステップ1. フィルタリングルールと照合する

　ファイアウォールはクライアント側にあるOutsideインタフェースでSYNパケット（接続を要求するパケット）を受け取ると、自身の持つフィルタリングルールと照合を行います。その結果、最初のフィルタリングルールに該当するので、通信を受け入れます。なお、許可されていないパケットを受け取った場合は、クライアントにコネクションの強制切断を促すRSTパケットを返すか、何もせずに破棄します。

ステップ2. 戻り通信用のルールを追加する

　ファイアウォールは通信を許可したら、コネクションテーブルにコネクションエントリを作ります。また、それと同時にそのコネクションエントリに対応する戻り通信用の許可ルールを動的に追加します。戻り通信用の許可ルールは、コネクションエントリにあるパケットの送信元と宛先を反転したものです。フィルタリングルールを追加した後、WebサーバにSYNパケットを転送します。

ステップ3. 戻り通信用のルールを使ってSYN／ACKが返る

　WebサーバはSYNパケットに対するSYN／ACKパケット（接続を許可するパケット）を作り、クライアントに返します。この通信は、本来であれば、フィルタリングルールによって拒否されている通信です。ただし、ステートフルインスペクションでは、ステップ2で戻り通信の許可ルールを追加しているので、許可します。

ステップ4. アプリケーションデータのやりとりが行われる

　クライアントはSYN／ACKパケットに応答するACKパケットを作り、Webサーバに返します。ファイアウォールは、このACKパケットをもって、クライアント―Webサーバ間で3ウェイハンドシェイクが終了し、コネクションが確立したと判断します。この後、このコネクションでアプリケーションデータ、つまりHTTPデータのやりとりが始まります。

ステップ5. コネクションが使われているかどうか監視する

　コネクションが確立した後、ファイアウォールは、そのコネクションエントリが使用されているかどうかをモニタリングします。その結果、一定時間使用されていないと判断した場合、そのエントリを強制的に削除し、それと同時にステップ2で作った戻り通信用の許可ルールも削除します。コネクションエントリを削除するまでの時間のことを「アイドルタイムアウト」といいます。アイドルタイムアウトは、機器やそのOSによってさまざまです。アプリケーションごとに設定されていたり、プロトコルごとに設定されていたりします。

ステップ6. コネクションが終了したらエントリを削除する

　アプリケーションデータを送り終えたら、しっかりコネクションを閉じなければなりません。ファイアウォールはクライアントとWebサーバの間でやりとりされている「FIN／ACK」→「ACK」→「FIN／ACK」→「ACK」というパケットの流れを見て、コネクションエントリを削除します。また、それに合わせて戻り通信用のルールも削除します。

　今回は、レイヤー4で動作する機器であるファイアウォールについて説明しました。ファイアウォールは、たくさんのセキュリティ機能を搭載した「UTM（Unified Threat Management、統合脅威管理）」や、アプリケーションレベルで通信制御を行う「次世代ファイアウォール」「WAF（Webアプリケーションファイアウォール）」など、今現在も進化を遂げている機器の1つです。

　しかし、基本は「コネクションテーブル」と考えてまず間違いありません。コネクションテーブルを理解した上で、UTMや次世代ファイアウォールについて学習していくのが最も効率的でしょう。

　次回は、さらに上のアプリケーションの階層であるレイヤー5～7の代表的な技術、HTTPについて説明します。