このダイアログでは、起動時の処理内容を設定します。既定のインストールでは、 SuSEfirewall2 を自動的に起動します。ここから開始や停止を制御することが できるほか、新しい設定を反映させたい場合は、 設定を保存してファイアウオールを今すぐ再起動 を使用することもできます。

図14.2 YaST ファイアウオール設定¶

ここには、既知のネットワークインターフェイスがすべて表示されます。 ゾーンからインターフェイスを取り除くには、インターフェイスを選択して 変更 を押し、 どのゾーンにも割り当てない を選択します。ゾーンにインターフェイスを追加するには、インターフェイスを 選択してから 変更 を押し、追加したいゾーンを選択 します。また カスタム を押すと、独自の設定を作成する こともできます。

お使いのシステムから、保護対象のゾーンに対してサービスを提供したい場合、 このオプションを利用する必要があります。既定ではシステムは外部ゾーンからの 保護のみを行なうため、外部ゾーンにつながっているホストからアクセスできる ようにするには、ここで明示的に指定する必要があります。まずは 設定対象のゾーン を選んだあと、一覧からサービスを選択 してください。

マスカレード機能を利用すると、内部のネットワークを外部 (たとえばインターネット) から隠蔽することができるほか、内部ネットワークのホストからは透過的な 形で外部にアクセスできるようになります。外部ネットワークから内部ネットワーク への要求はブロックされますが、内部ネットワークから外部ネットワークに対しては、 マスカレードサーバを介して自由に行なうことができるようになります。内部 ネットワークにあるマシンに対して、ある特定のサービスを外部ネットワークに 公開したい場合は、それらのサービスに対して特別な転送ルールを設定します。

このダイアログでは、ブロードキャストと呼ばれる全体通知用の UDP ポートを 設定します。それぞれ必要なゾーンに対して、ポート番号やサービスを指定して ください。複数のポートやサービスを指定する場合は半角スペースで区切って ください。サービスについて、詳しくは /etc/services をお読みください。

受け入れられなかったブロードキャストに対して、ログ記録を行なうことも できます。ただし Windows ホストが存在する環境でこの機能を利用すると、 それらのマシンはブロードキャストを利用してお互いを認識する仕組みである ことから、受け入れられなかったパケットが多数生成され、結果として多数の ログ記録が生成されることに注意してください。

このダイアログでは、外部ネットワークに対して IPsec を有効にするかどうか を設定します。また、 詳細 では、どのパケットを信頼 するかを設定することができます。

なお、 詳細 内でも IPsec まわりの設定を行なうことが できます。 IPsec パケットは暗号化された形式であるため、暗号を解読して からファイアウオールがどのように処理すべきかを設定することができます。 内部ゾーン を選択した場合は、解読された IPsec の パケットは、外部ゾーンから来たものであっても、内部ゾーンからのものと して信頼されます。このような状況を避けるには、 発信元の ネットワークと同じゾーン を選択します。

ログレベルでは 2 つのルールを設定することができます。それぞれ許可した パケットと許可しなかったパケットです。許可しなかったパケットには、 パケットそのものを廃棄した場合や、拒否した場合が含まれます。それぞれ に対して、 すべてを記録, 重要なものだけ記録, 何も記録しない の中から選択します。

ここでは接続を許可するルールについて、カスタムなルールを作成すること ができます。条件として設定できる項目としては、発信元ネットワークや プロトコル、宛先ポートや発信元ポートがあります。それぞれ外部、内部 非武装の各ゾーンに対して設定できます。

インターネットに接続されているデバイスを指定します。モデムで接続している 場合は ppp0 を、 ISDN (YaST の ISDN モジュールで設定している場合のみ。日本国内の場合、一般的には モデム接続と同じ設定を使用します) で接続している場合は ippp0 を、 DSL 接続を行なっている 場合は dsl0 をそれぞれ指定します。なお auto を指定すると、デフォルトルートに設定されている デバイスを使用します。

内部のプライベートネットワークに接続されているデバイス (たとえば eth0 など) を指定します。内部ネットワークが存在 せず、ホスト単体を保護すれば十分である場合は、何も指定しなくても かまいません。

マスカレード機能を必要とする場合は、この設定には yes に設定します。内部のホストはプライベートアドレス (たとえば 192.168.x.x など) であることになるので、インターネット ルータで無視されるため、 特別な設定を行なわない限り、外部からアクセスすることはできなくなります。

マスカレード機能を使用しない場合で、内部ネットワークに対してアクセスを 許可したい場合にも、 yes を設定します。この場合は、 内部のホストについても、公式に登録済みの IP アドレス (つまりプライベートアドレスではない IP アドレス) である必要があります。 通常は外部から内部のネットワークにアクセスさせるべき ではありません 。

マスカレード機能を必要とする場合は、ここに yes を設定 します。これにより、内部のホストから (アドレス変換を行なうことで仮想的に) 外部のインターネットにアクセスできるようになります。なお、内部のネットワーク とインターネットをつなぐ場合、プロキシサーバを使用するとより機密を保持する 環境を構築することができます。プロキシサーバがインターネットアクセスの 機能を提供する場合、マスカレード機能は不要です。

マスカレード機能を適用するホストやネットワークを指定します。複数の項目を 指定する場合は、それぞれ半角のスペースで区切ります。たとえば下記のように なります:

FW_MASQ_NETS="192.168.0.0/24 192.168.10.1"

内部ネットワークを発信元とする攻撃について、このファイアウオールで 保護を行なう必要がある場合、この値を yes に設定します。 yes に設定した場合は、内部ネットワークに公開する サービスを明示的に指定する必要があります。それぞれ FW_SERVICES_INT_TCP や FW_SERVICES_INT_UDP をお読みください。

外部ネットワークに対して公開する TCP ポートを指定します。いかなるサービスも 提供しない通常のワークステーションの場合、ここには何も指定しないでください。

外部ネットワークに対して UDP のサービスを実行し、公開したい場合にのみ 設定します。それ以外の場合は何も指定しないでください。なお、 UDP のサービス としては DNS サーバや IPsec, TFTP, DHCP などのサービスがあります。これらを 公開したい場合は、使用する UDP ポートを指定します。

インターネットに対して公開するサービスの一覧を指定します。これは FW_SERVICES_EXT_TCP や FW_SERVICES_EXT_UDP での設定をより汎用的にした設定 項目で、 FW_TRUSTED_NETS での設定よりはより詳しい 設定になっています。半角スペースで区切るタイプの一覧を指定し、それぞれの項目は ネットワーク,プロトコル [,宛先ポート][,発信元ポート] のルールで記述します。たとえば 0/0,tcp,22 や 0/0,tcp,22,,hitcount=3,blockseconds=60,recentname=ssh のように指定します。後者は、 1 つのアドレスから 1 分あたり 3 回までの接続を 許可する、というルールになります。

この設定では、内部ネットワークに対して公開するサービスを指定します。 記述方法は FW_SERVICES_EXT_TCP と同じですが、 設定は 内部の ネットワークに対して適用されます。 なお、この設定は FW_PROTECT_FROM_INT を yes に設定した場合のみ必要な項目です。

FW_SERVICES_INT_TCP をお読みください。

内部のホストに対して公開するサービスの一覧を設定します。 詳しくは FW_SERVICES_ACCEPT_EXT をお読みください。

これは netfilter における RELATED (関連パケット) に関する SuSEfirewall2 の設定項目です。

たとえば Samba のブロードキャストパケットに対して、より細かい許可を 設定する場合、従来は 関連する パケットを無条件に 受け入れることはできませんでした。 FW_SERVICES_ACCEPT_RELATED_ で始まる設定を 使用すると、特定のネットワークやプロトコルに対して、 関連する パケットを限定的に許可できるようになります。

これは接続追跡用 (コネクショントラッキング; conntrack) のモジュール を FW_LOAD_MODULES 内に設定することで実現 できるもので、これらのモジュールがパケットの関連性を判断し、自動的に 受け入れるかどうかを指定することができます。また、 FW_SERVICES_ACCEPT_RELATED_ で始まる設定も 適切に設定しなければなりません。

カスタムルールを設定する場合は、この行のコメントを外してください。 設定例は /etc/sysconfig/scripts/SuSEfirewall2-custom にあります。