ファイアウォール

（特 徴）

【パケットフィルタリング】
公開サーバをDMZ に設置することで、公開サーバが不正侵入されても、そこを踏み台にしての、内部ネットワ
ークへのアクセスをファイアウォールで禁止することができる。

例）
内部ネットワーク → DMZ （SYN：オン、ACK：オフ） 許可
DMZ → 内部ネットワーク （SYN：オン、ACK：オフ） 拒否


チェック！
FTP 通信の場合、外部からのTCP コネクション確率を拒否しているとデータのダウンロードが正常に行えない

【アクティブモード】
①　 クライアント側からサーバの制御用ポート番号21 に対して制御用コネクション確立を要求
② 　クライアントは制御用コネクションを使って、PORT コマンドでデータ転送用コネクションの確立で使うた
めのクライアントのIP アドレスとポート番号（1024 以上の任意のポート）を通知
③ 　クライアントは、制御用コネクションを使って、RETR コマンドで、ダウンロードするファイルのパスを指
定
④ 　サーバのポート番号20 から、クライアントのIP アドレス、ポート番号を使って、クライアントに対してデ
ータ転送用コネクションの確立を要求
⑤ 　サーバがクライアントに対してファイルを転送

そこで、

【パッシブモード】
① 　クライアント側からサーバの制御用ポート番号21 に対して制御用コネクション確立を要求
② 　クライアントは、サーバへパッシブモードへの変換を通知し、サーバは自分のIP アドレスとデータ転送用のエフェメラルポート番号を通知する。
③ 　クライアントは、制御用コネクションを使って、RETR コマンドで、ダウンロードするファイルのパスを指定
④ クライアントは、サーバから通知されたIP アドレス、ポート番号に対して、データ転送用コネクションの
確立を要求
⑤ 　サーバがクライアントに対してファイルを転送を利用する。


【動的フィルタリング】
パケットフィルタリングにおいて、内部ネットワークからインターネットへアクセスした場合の応答パケットを
通過させるルールを常に設定している場合（ACK が “1” のパケットは通過など）、インターネット側から、応答
パケットに見せかけた攻撃も通過させてしまう。

動的にルールを作成し、そのコネクションが確立している間だけパケットの通過を許可する。
攻撃者からの偽装パケットを判別するため、TCP ヘッダのシーケンス番号、確認応答番号により整合性、HTTPヘッダのリクエストヘッダ、レスポンスヘッダの関係、ヘッダ長などをチェックし、セッションの確立されている応答パケットだけを通過させる。（ステートフルインスペンクション）


【アプリケーションゲートウェイ】
プロキシサーバを利用して内部ネットワークとインターネットを切り離す方法。
アプリケーションごとに中継処理を行う代理サーバを用意して、クライアントはこの代理サーバを通して目的の
サーバに接続することになる。
最上位層までのパケットの中身を解析するため、高度な設定が可能となる。
URL フィルタリングの設定が可能で、ブラックリスト方式とホワイトリスト方式がある。


【リバースプロキシ】
アクセスさせるWeb サーバの代わりにプロキシサーバにアクセスさせて、応答時間の改善を図る方法。
アクセス頻度の高いページはキャッシュに保存し、キャッシュにない場合、プロキシサーバがWeb サーバにア
クセスして、問い合わせのあったページをキャッシュに取り込み、Web サーバに直接アクセスさせないため、セキュリティ上の脅威も減少する。