ファイアウォール

更新日：2006/03/31

サブディレクトリ

NAT／ファイアウォール／ルーティング／フィルタリング に戻る

ファイアウォール
	Windows XPのファイアウォール機能を活用する Windows XPには標準でファイアウォール機能が用意されている／これは、インターネット側のインターフェイスでファイアウォールのチェックボックスをオンにするだけで利用できる。
	電子メールの送受信が異常に遅い Windows XPのファイアウォール機能は、デフォルトではidentプロトコルに対してもサイレントにブロックするので、接続相手のサーバによっては、数十秒のタイムアウト待ちが生じる可能性がある／これを防ぐには、identに対して拒否応答を返すようにすればよい。
	Windows 2000／Windows XPのICSを活用する（NATを利用する方法） インターネット接続共有機能を使えば、1台のインターネット接続を通じて、家庭内やSOHOのLAN上の複数のマシンから、同時にインターネットを利用することができる。／ICSを利用するには、システムにイーサネット・カードを2枚装着して、インターネット側のインターフェイスでICS機能を有効にするだけでよい。／Windows 2000では、セキュリティ対策としてRRASのパケット・フィルタ機能も設定しておきたい。／Windows XPはファイアウォール機能も持っているので、より便利に、安全に利用することができる。
	イントラネットでファイアウォールを使う（Windows XP編） イントラネットでもICF（OS内蔵のファイアウォール機能）を使ってセキュリティを高めることができる。 ／ ICFのデフォルト設定では、共有リソースへアクセスできないだけでなく、外部からマシンを管理することも不可能になっている。 ／ これらを有効にするためには、ファイル共有プロトコルを通すためのフィルタを定義すればよい。
	ファイアウォールの空白時間に注意 Windows OS内蔵のファイアウォール機能には、システム起動時にサービスが開始するまで若干のタイムラグがある。このタイムラグの間にワームなどに感染する危険性があるので注意する。 ／ これを避けるためには、外部ルータを使ってパケットをフィルタするのがよい。 ／ システムのインストールやパッチの適用などは、インターネットから隔離された安全な場所で行うこと。
	Windowsファイアウォールのリモート管理を有効にする Windowsファイアウォールを有効にすると、外部からのアクセスが一切禁止され、管理者ですらコンピュータの状態を調査できなくなる。 ／ Windowsファイアウォールのリモート管理モードを有効にすると、管理用のポートがいくつかオープンされ、管理ツールなどでリモート操作できるようになる。 ／ リモート管理モードは、グループ・ポリシーで設定するとよい。 ／ リモート管理モードを利用する場合は、必ずスコープも設定すること。
	リモート管理機能のスコープ設定に注意 リモート管理機能のデフォルトのスコープは「*」であり、すべてのIPアドレスからの要求を受け付ける。 ／ リモート管理機能を利用する場合は、必ずスコープも設定しておかないと危険である。 ／ スコープには、LocalSubNetと組織内部で使用しているプライベートIPアドレスを指定しておくとよい。
	XP SP2のファイアウォールでリモート管理を有効にする Windows XP SP2では、デフォルトでファイアウォールが有効になり、外部からはアクセスできなくなっている。 ／ リモートからコンピュータを管理するためには、いくつかのポートをオープンにしなければならない。 ／ リモート管理するためには、ファイル共有とMS-RPCポートをオープンにすればよい。
	FTPの標準ポート番号を変更する セキュリティ対策や複数のFTPサイトのホスティングのために、標準のFTPポート番号を変更することができる。 ／ エクスプローラでアクセスする場合は、ポート番号を明示的に指定する。 ／ ftpコマンドの場合は、openコマンドでポート番号を指定する。 ／ ファイアウォールを利用している場合は、パッシブ・モードにするなどの対策が必要になる。
	ICMPリダイレクト使用時のファイアウォール設定に注意 例外的なルート情報を追加するには、各クライアント・コンピュータ上で作業をする必要があり、面倒である。 ／ だがICMPリダイレクト・メッセージを受信すると、動的なルーティング・エントリが作成され、一時的にルーティング情報が利用可能になるので、これを利用するとよい。 ／ Windowsファイアウォールのデフォルト設定では、ICMPリダイレクト・メッセージの受信が拒否されるようになっている。 ／ ICMPリダイレクトの受信を許可するには、ファイアウォールの設定を変更する。

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）