パケットフィルターの仕組みとは？動作原理と検査項目をわかりやすく解説

パケットフィルタリングは導入コストが低い

パケットフィルタリングの最大の魅力は、導入コストが非常に低い点です。ただし、パケットフィルタリング装置は、アプリケーションゲートウェイ型やプロキシ型ファイアウォールと同等のセキュリティレベルを提供するものではないことを理解しておく必要があります。

ごく小規模なネットワークを除き、ほとんどのIPネットワークは複数のIPサブネットで構成され、ルーターが含まれています。そして、各ルーターは潜在的なフィルタリングポイントとなり得ます。ルーター自体の価値はすでに投資として回収されているため、パケットフィルタリングのために追加のコストを費やす必要はありません。

パケットフィルタリングが適しているケース

パケットフィルタリングは、シンプルなセキュリティ要件しかない環境に適しています。一部の組織の内部（プライベート）ネットワークは、それほど細かく分割されていません。組織内のある部門と別の部門を隔離するだけであれば、高度に洗練されたファイアウォールは必須ではありません。

とはいえ、研究室や実験用ネットワークから本番ネットワークを保護する対策を講じておくことは賢明です。パケットフィルタリング装置は、サブネット同士を分離するための非常に有効かつ適切な手段となります。

パケットフィルターの基本的な動作原理

ほとんどのパケットフィルターは、共通のパターンで動作します。TCP/IPプロトコルスタックのネットワーク層とトランスポート層で機能し、各パケットがプロトコルスタックに入ってくる際に検査が行われます。

具体的には、ネットワーク層とトランスポート層のヘッダーが詳細に調べられ、以下の情報が確認されます。

1. プロトコル（IPヘッダー／ネットワーク層）

IPヘッダーの9バイト目（バイト数は0から数えます）によって、パケットのプロトコルが識別されます。フィルター装置の中には、TCP・UDP・ICMPを区別できるものもあります。

2. 送信元アドレス（IPヘッダー／ネットワーク層）

送信元アドレスとは、パケットを生成したホストの32ビットIPアドレスのことです。

3. 宛先アドレス（IPヘッダー／ネットワーク層）

宛先アドレスとは、パケットの送り先であるホストの32ビットIPアドレスのことです。

4. 送信元ポート（TCPまたはUDPヘッダー／トランスポート層）

TCPやUDPによる通信リンクの両端は、それぞれポートにバインドされます。TCPポートとUDPポートは互いに独立した別個のものです。1024未満のポート番号は予約されており、明確に定義された用途を持っています。

一方、1024以上のポート番号は「エフェメラルポート（一時ポート）」と呼ばれ、ベンダーが任意に選択して使用できます。「ウェルノウンポート（well-known ports）」の一覧はRFC1700で定義されています。送信元ポートは擬似ランダムに割り当てられたエフェメラルポート番号であるため、送信元ポートを基準としたフィルタリングはあまり効果的ではありません。

5. 宛先ポート（TCPまたはUDPヘッダー／トランスポート層）

宛先ポート番号は、パケットの送り先となるポートを示します。宛先ホスト上の各サービスは特定のポートに関連付けられており、代表的なポートには次のようなものがあります。

• 20/TCP および 21/TCP：FTP（データ転送／制御接続）
• 23/TCP：Telnet
• 80/TCP：HTTP
• 53/TCP：DNSゾーン転送

6. 接続状態（TCPヘッダー／トランスポート層）

接続状態の情報により、そのパケットがネットワークセッションの最初のパケットかどうかが判別できます。セッションの最初のパケットである場合、TCPヘッダー内のACKフラグは「false（0）」に設定されます。この仕組みを利用すれば、ACKビットが「false（0）」になっているパケットを拒否または破棄するだけで、外部ホストによる新しい接続の確立を簡単にブロックすることが可能です。