[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:54539] Re: ファイアーウォール
みやもとともーします。
この場合の「ファイアーウォール」 = Linuxマシンですよね。
以後、ファイアーウォール＝ファイアウォールマシンと表記します。
個人的にこのテのネットワークについては、
・ルータのWAN側にグローバルアドレスを付与
・ルータのWAN側ポートとファイアウォールマシンのポートを対応付ける
というようにしたほうがよいかと思います。
理由はいくつかありますが、ざっとしたところは以下のような感じです。
・ファイアウォールマシンにアドレスを付与した場合、そのアドレスが外からの
パケットを全部受けることになる
・ファイアウォールマシンの設定にミスがあった場合、そのマシン自体が危険に
さらされる
・ルータで最低限の通信だけファイアウォールマシンに対して許可するように
しておけば、少なくともその最低限の通信を行うプログラムのメンテナンス
だけやっておけばすむ
もちろんこの方法には欠点もあります。
・メンテナンスする対象が2つに増える
PPPoEで通信やらせる分には、ファイアウォールマシンのメンテナンスだけで
済むが、ルータにWAN側のアドレスを持たせる場合にはルータとファイアウォー
ルマシンの両方のメンテナンスが必要（ファームやOSのアップデートなど）。
という感じでしょうか。
いわゆるファイアウォールの管理について修得するのであれば、インバウンド
（外から自分ところ向けの通信）の制御もそうですが、アウトバウンド（自分と
ころから外向けの通信）の制御について学ばれてからでもいいかな、とか思った
りします。これならば、外に迷惑かけるリスクは減らせますし（自分のネットワー
クを使う人には少々不自由を強いるかもしれませんが）。
ある程度アウトバウンドのルール記述とかに慣れてから、インバウンド制御も
同じようにやっていく、というようにすればよいかなぁと。
On Sun, 10 Oct 2010 23:44:51 +0900
"furuta" <furuta007@xxxxxxxxxxxxxxx> wrote:
> 幾許様
>
> 早速の回答ありがとうございます。
> イントラネットは4~5台で規模は小さいです。
> 将来規模を大きくするにあたって、ファイアーウォールを入れてLinuxを学ぶと
> 共に実践をしたいということです。
>
> 今一番知りたいのはインターネットに繋がるWAN側に付与するパブリックIPアド
> レスを質問のようにルータのWANに付与した場合と、ファイアーウォールに
> PPPoeで付与した場合にどちらが良いのか、また、何が違ってくるのかが知りたい
> のです。
>
> ご教授頂ければ幸いです。
>
> ふるた
>
> ----- Original Message -----
> From: <murasaki@xxxxxxxxxxxxxxxxxx>
> To: <debian-users@debian.or.jp>
> Sent: Sunday, October 10, 2010 11:02 PM
> Subject: [debian-users:54537] Re: ファイアーウォール
>
>
> > 幾許です。
> >
> > On Sun, 10 Oct 2010 22:06:02 +0900
> > "furuta" <furuta007@xxxxxxxxxxxxxxx> wrote:
> >
> >>お世話になります。
> >>
> >>ルータの直下に、ファイアーウォールを置きたいのですが、一つしかないパブリックIPアドレスを、”Internetに繋がるルーター側”
> >>に付与するのと、”ルータに繋がるファイアーウォール（ｐｐｐ０）”に付与する場合に、セキュリティやネットワークの効率性に関しての違いが理解出来ていません。
> >>
> >>添付URLにあるネットワークをイメージしていいます。
> >>http://www.atmarkit.co.jp/aig/02security/dmz.html
> >>
> >>パブリックアドレスは １つだけ
> >>当座はDMZにWebサーバを置くつもり。その他は後で考える。
> >>イントラネットはルータかDebianのファイアーウォールを置くか検討中です。
> >>
> >>一応、どちらの設定でもインタネットに繋ぐことは出来ましたが、どちらの設定が効率的で良いのかがわかりません。
> >>ご教示頂ければ幸いです。
> >
> > Web 1機のみで あれば、別に firewall機を置くまでもなく、
> > 安直に router でアドレス変換、Web機で filter と言うのが第一感では
> > ありますが、どうなのでしょうね。
> >
> > intranet、と言われているものの規模感が分かりませんが、
> > 内部間での間仕切を したいのであれば、router なり firewall機なりを
> > 置くのが無難で あろうとは思います。
> >
> > --
> > 幾許
> >
> >
>
---
宮本 久仁男 (Kunio Miyamoto)
E-mail: wakatono@xxxxxxxxxx
WebDAV Resources JP: http://webdav.todo.gr.jp/
wakatonoの戯れメモ : http://d.hatena.ne.jp/wakatono/
Microsoft MVP (Windows - Security , 2005/10 - 2008/1
Consumer - Security, 2008/2 - 2008/8, Enterprise Security, 2008/9 - 2010/9)