ipfilter

- IP パケットフィルタ処理ソフトウェア

機能説明

IP フィルタは、Solaris システムにパケットフィルタ処理機能を提供するソフトウェアです。適切に設定されたシステムでは、ファイアウォールを構築するために使用できます。

Solaris IP フィルタは、Solaris オペレーティングシステムとともにインストールされます。ただし、パケットフィルタ処理はデフォルトでは有効になっていません。IP フィルタ機能を有効にしてアクティブ化する手順については、ipf(1M) を参照してください。

サービス

ipfilter SMF サービスは、start、stop、restart、および refresh メソッドをサポートします。これらのメソッドは、svcadm(1M) を使用して呼び出されます。

start

ipfilter カーネルモジュールをロードし、構成に従ってファイアウォールまたは NAT 規則をアクティブにします。

stop

適用されたすべてのファイアウォールと NAT 規則、および作成されたアクティブなセッション情報をクリアします。ネットワーク接続が有効な状態でのサービスの停止は、ネットワークトラフィックがホストに入るリスクがない場合にのみ実行するようにしてください。

restart

ipfilter サービスの停止と開始を実行します。動作中のファイアウォールに対してこのメソッドを使用すると、トラフィックがファイアウォールに侵入したり、フィルタリングされずに通過することができる、危険にさらされやすい期間が生じることになります。

refresh

現在の構成をロードし、セキュリティーポリシーが両方ともアクティブに使用されない時間をまったく生じさせずに古い構成から新しい構成に切り替えます。

ホストベースのファイアウォール

IP フィルタ構成の管理を簡素化するためにファイアウォールフレームワークが作成され、ユーザーはシステムレベルとサービスレベルのファイアウォールポリシーを記述することによって IP フィルタを構成できます。ユーザーが定義したファイアウォールポリシーから、必要なシステム動作が得られるようにフレームワークによって一連の IP フィルタ規則が生成されます。ユーザーは、特定のホスト、サブネット、およびインタフェースからのネットワークトラフィックを許可または拒否するよう、システムおよびサービスのファイアウォールポリシーを指定します。これらのポリシーが一連のアクティブな IPF 規則に変換されることにより、指定されたファイアウォールポリシーが適用されます。

ユーザーはフレームワークを利用しないことを選択した場合でも、独自の ipf 規則ファイルを指定できます。カスタマイズされた規則を有効にする方法については、ipf(1M) を、ipf 規則の構文を見つけるには、ipf(4) を参照してください。

モデル

この節では、ホストベースのファイアウォールフレームワークについて説明します。ファイアウォールポリシーの構成方法の詳細については、svc.ipfd(1M) を参照してください。

ユーザーは、優先度の異なる 3 つのレイヤーを利用して、必要な動作を実現できます。

Global Default

Global Default - システム全体のデフォルトファイアウォールポリシー。このポリシーは、サービスで独自にファイアウォールポリシーが変更されている場合を除き、すべてのサービスによって自動的に継承されます。

Network Services

Global Default よりも優先されます。サービスのポリシーは、Global Default ポリシーにかかわらず、その特定のポートに対するトラフィックを許可または禁止します。

Global Override

もう一つのシステム全体のポリシーで、Network Services レイヤーの個々のサービスの要求よりも優先されます。

Global Override
      |
      |
Network Services
      |
      |
Global Default

ファイアウォールポリシーには、ファイアウォールモードと、必要に応じてネットワークソースを設定します。ネットワークソースとは、システムが着信トラフィックを受け取る可能性のある、発信元の IP アドレス、サブネット、およびローカルネットワークインタフェースです。基本的なファイアウォールモードは次のとおりです。

None

ファイアウォールなしで、すべての着信トラフィックを許可します。

Deny

すべての着信トラフィックを許可しますが、指定した発信元からの着信トラフィックは拒否します。

Allow

すべての着信トラフィックを拒否しますが、指定した発信元からの着信トラフィックは許可します。

レイヤーの詳細

最初のシステム全体のレイヤー Global Default では、任意の着信トラフィックに適用するファイアウォールポリシーを定義します。たとえば、ある IP アドレスからのトラフィックをすべて許可またはブロックするように指定します。これにより、すべての着信トラフィックをブロックする、または望まない発信元からの着信トラフィックをすべてブロックするポリシーを簡単に作成できます。

Network Services レイヤーには、telnetd、sshd、httpd などのリモートクライアントにサービスを提供するローカルプログラムのためのファイアウォールポリシーが含まれています。このようなプログラム (ネットワークサービス) にはそれぞれ、サービスへのアクセスを制御する独自のファイアウォールポリシーがあります。最初は、サービスのポリシーは Global Default ポリシーを継承するように設定されています。つまり、「グローバルデフォルトを使用する」モードです。これにより、1 つのポリシーを Global Default レイヤーで設定し、それをすべてのサービスで簡単に継承することができます。

サービスのポリシーが Global Default ポリシーと異なっている場合は、サービスのポリシーが優先されます。あるサブネットからのトラフィックをすべてブロックするように Global Default ポリシーが設定されている場合でも、SSH サービスではそのサブネットの特定のホストからはアクセスを許可するように構成できます。Network Service レイヤーは、すべてのネットワークサービスに関するすべてのポリシーから成ります。

2 番目のシステム全体のレイヤー Global Override にも、任意の着信ネットワークトラフィックに適用されるファイアウォールポリシーが含まれています。このポリシーはもっとも優先度が高く、ほかのレイヤーのポリシーよりも優先されるため、個々のネットワークサービスの要求も上書きします。たとえば、サービスのポリシーにかかわらず、悪意のある既知の発信元をブロックする場合に適しています。

ユーザーとの対話

このフレームワークは IP フィルタ機能を活用するため、svc:/network/ipfilter が有効になっている場合だけアクティブになり、network/ipfilter が無効になっている場合はアクティブになりません。同様に、ネットワークサービスのファイアウォールポリシーは、サービスが有効になっている場合だけアクティブになり、サービスが無効になっている場合はアクティブになりません。ファイアウォールがアクティブになっているシステムには、実行中または有効になっている各ネットワークサービスの IP フィルタ規則が存在し、ファイアウォールモード None ではないシステム全体のポリシーが存在します。

ユーザーは、システム全体のポリシーと各ネットワークサービスのポリシーを設定することにより、ファイアウォールを構成します。ファイアウォールポリシーの構成方法については、svc.ipfd(1M) を参照してください。

ファイアウォールフレームワークは、ポリシーの構成と、そのポリシーから IP フィルタ規則を生成して適用することによって必要な IP フィルタ構成を実現するメカニズムから成ります。設計およびユーザーとの対話の要約は次のとおりです。

• システム全体のポリシーは network/ipfilter に保存されます

• ネットワークサービスのポリシーは各 SMF サービスに保存されます

• ユーザーは network/ipfilter を有効にすることでファイアウォールをアクティブにします (ipf(1M) を参照)

• ユーザーはネットワークサービスを有効または無効にすることで、そのサービスのファイアウォールをアクティブまたは非アクティブにします

• システム全体またはサービスごとのファイアウォールポリシーを変更すると、システムのファイアウォール規則が更新されます

属性

属性についての詳細は、attributes(5) を参照してください。

関連項目

svcs(1), ipf(1M), ipnat(1M), svcadm(1M), svc.ipfd(1M), ipf(4), ipnat(4), attributes(5), smf(5)

『Oracle Solaris の管理: IP サービス』

注意事項

ipfilter サービスは、サービス管理機能 smf(5) により次のサービス識別子として管理されます。

svc:/network/ipfilter:default

有効化、無効化、または再起動要求など、このサービスに関する管理操作は、svcadm(1M) を使用して実行できます。サービスステータスを照会するには、svcs(1) コマンドを使用します。

IP フィルタの起動時構成ファイルは /etc/ipf に保存されます。