LinuCレベル2 202試験の例題と解説

2.12.1iptables や firewalld によるパケットフィルタリング

LinuCレベル2 202試験の出題範囲から「2.12.1 iptables や firewalld によるパケットフィルタリング」についての例題を解いてみます。

Linucレベル2 202試験出題範囲

例題

firewalldにてデフォルトゾーンをworkに変更するコマンドを選択してください。
（以下はrootユーザで実行する前提のコマンドです）

firewall-cmd --new-zone=work
firewall-cmd --get-default-zone=work
firewall-cmd --zone=work --list-all
firewall-cmd --set-default-zone=work

※この例題は実際の試験問題とは異なります。

解答と解説

正解は、「4. firewall-cmd --set-default-zone=work」です。

パケットフィルタリングとは、送受信するIPパケットの内容を解析して、そのパケットの送受信の許可や拒否、転送等の制御を行うことができる機能です。firewalldはデフォルトでは受信パケットの制御のみを行いますが、ポリシーオブジェクト機能等を利用することで送信パケットの制御も可能です。

firewalldではパケットフィルタリングのルールをゾーンという単位で管理を行います。ゾーンをインターフェースに割り当て、設定を追加、削除することで各ゾーンごとにフィルタリングのルールを管理することができます。ゾーンは標準で用意されているものもありますが、任意で追加することもできます。

firewalldにて提供されているゾーンには以下のようなものがあります。

public
公共領域での利用を想定しており、受信コネクションを選択的に許可します。

home
家庭での利用を想定したゾーンです。ほとんどのコンピュータが信頼できる環境での利用を想定しています。受信コネクションを選択的に許可します。

external
ファイアウォールの外部ネットワークが環での利用を想定したゾーンです。ほかのコンピュータが信頼できない環境での利用を想定しています。受信コネクションを選択的に許可します。

trusted
すべてのネットワークコネクションを許可します。

block
受信パケットは基本的に拒否します。外部への通信とそれに関する受信パケットだけを許可します。

デフォルトゾーンとは、ゾーンと明示的に紐付いていないNICが所属するゾーンのことです。firewall-cmdのコマンド実行時に--zoneオプションでゾーンを指定しない場合に、デフォルトの設定対象となります。セキュリティレベルや、利用するNICの通信内容に従ってデフォルトゾーンを変更することでルール定義を簡略化できることがあります。

例題の各選択肢について解説をします。

１. firewall-cmd --new-zone=work
これは、新しいゾーンを作成する場合に利用するコマンドです。例題で作成しようとしているworkゾーンは標準で用意されているものとなりますので、今回新たにゾーンを作成する必要はありません。

２. firewall-cmd --get-default-zone=work
これは、無効なコマンドです。デフォルトゾーンを確認するためのコマンドとして、「# firewall-cmd --get-default-zone」コマンドは存在しますが、選択肢のような「=work」でゾーンを指定するような使い方はできません。

３. firewall-cmd --zone=work --list-all
これは、特定のゾーンに設定されたすべてのルールや設定を一覧表示するコマンドです。上記コマンドは、workゾーンに定義されている設定の一覧を表示します。

４. firewall-cmd --set-default-zone=work
これは、デフォルトゾーンを変更するコマンドとなります。よって正解です。