ファイアーウォールの設定を確認する

今回のコラムは、ファイアーウォールと呼ばれるセキュリティを高める機能について解説します。【連載コラム：Linuxを学ぼう（３０）】

最終更新日:2024年02月28日

外部からのアクセスを遮断し、セキュリティを高めるため、Linuxではパケットフィルタリングが設定できます。一般的にはファイアーウォールと呼ばれる機能です。ファイアーウォールの設定を確認し、必要に応じてアクセスを遮断、ないし許可する設定が必要となります。今回はファイアーウォールの設定を確認します。

Linuxのパケットフィルタリング機能
- カーネルモジュールを確認してみる
netfilterのフロントエンド
バックナンバー

Linuxのパケットフィルタリング機能

Linuxに実装されているパケットフィルタリング機能はnetfilterです。netfilterは、パケットフィルタリングの機能の他、NATやNAPTの機能も備えています。NAPTはIPマスカレードとも呼ばれることがあります。netfilterはLinuxカーネルのモジュールとして動作しているので、設定などはいくつかのツールを使って行うことになります。

カーネルモジュールを確認してみる

netfilterはカーネルモジュールとして提供されているので、lsmodコマンドで確認できます。

$ lsmod | grep nf_tables
nf_tables             225280  204 nft_ct,nft_reject_inet,nft_fib_ipv6,nft_fib_ipv4,nft_chain_nat,nft_reject,nft_fib,nft_fib_inet
（略）

モジュール構造としては、nf_tablesが本体で、様々な機能がさらに別モジュールとして提供されている形になっています。

netfilterのフロントエンド

netfilterはカーネルモジュールのため、直接操作が行えません。操作するには、様々なフロントエンドを使うことになります。

iptables/nftables

iptablesはnetfilterを使ってパケットフィルタリングを行う仕組みです。現在ではnftablesという名前に変わっています。

iptablesコマンドとnftコマンド

iptablesコマンドはiptablesの設定を操作するためのコマンドです。バージョンが進み、iptablesがnftablesに変わるのに伴って、現在ではnftコマンドという名前になっています。新しいLinuxディストリビューションでは互換性のためにiptablesコマンドも用意されていますが、互換性を維持する目的以外には使用しないのが望ましいでしょう。
nftコマンドでnftablesを操作するのは複雑なため、firewalldやUFWなどのフロントエンドが用意されています。具体的なパケットフィルタリング機能の操作はこれらのフロントエンドを使って行うことになります。