サーバーを保護する効果的なファイアウォールポリシーを選択する方法

デフォルトのポリシー「受け入れる」は、一致しないトラフィックがサーバーに入ることを許可することを意味します。 これは一般的には推奨されません。これは、事実上、ブラックリストを維持することになるからです。 ブラックリストは、everyタイプの不要なトラフィックを明示的に予測してブロックする必要があるため、管理が困難です。 これは、メンテナンスの頭痛につながる可能性があり、一般にミス、設定ミス、および確立されたポリシーの予期しないホールになりやすいです。

別の方法は、「ドロップ」のデフォルトポリシーです。 つまり、明示的なルールに一致しないトラフィックは許可されません。 これはホワイトリストACLに似ています。 すべてのサービスを明示的に許可する必要がありますが、最初はかなりの量の調査と作業のように思えるかもしれません。 ただし、これは、ポリシーがセキュリティに向かう傾向があり、サーバーでトラフィックを受信することが許可されていることを正確に把握していることを意味します。

基本的に、選択はデフォルトでセキュリティに向かう傾向、またはすぐに使用可能なサービスに到達します。 サービスの可用性に傾いたファイアウォールを実装することは魅力的かもしれませんが、明示的に許可されていない限り、ほとんどの場合、トラフィックをブロックすることをお勧めします。

上記のデフォルトのドロップポリシーの選択は、別の微妙な決定につながります。 iptablesおよび他の同様のファイアウォールでは、ファイアウォールの組み込みポリシー機能を使用してデフォルトポリシーを設定するか、ルールのリストの最後にキャッチオールドロップルールを追加することで実装できます。

これら2つの方法の違いは、ファイアウォールルールがフラッシュされた場合に何が起こるかにあります。

ファイアウォールのビルトインポリシー機能が「ドロップ」に設定され、ファイアウォールルールがフラッシュ（リセット）されるか、特定の一致ルールが削除されると、サービスは即座にリモートからアクセスできなくなります。 これは、ルールが削除された場合にサーバーが悪意のあるトラフィックにさらされないように、重要ではないサービスのポリシーを設定するときに良いアイデアです。

このアプローチの欠点は、許容ルールを再確立するまで、クライアントがサービスを完全に利用できなくなることです。 問題を回避するためのローカルアクセスまたは帯域外アクセスがない場合は、サーバーから自分自身をロックアウトすることもできます（「アクセス」にある「コンソールアクセス」ボタンを使用すると、ネットワーク設定に関係なくDigitalOceanサーバーにアクセスできますコントロールパネルのドロップレットのページの一部）。 ファイアウォールのフラッシュが意図的なものである場合、ルールをリセットする直前にデフォルトポリシーを「受け入れる」に切り替えるだけで、これを回避できます。

組み込みのポリシー機能を使用してドロップポリシーを設定する代わりに、ファイアウォールのデフォルトポリシーを「受け入れる」に設定してから、通常のルールで「ドロップ」ポリシーを実装することもできます。 チェーンの最後に通常のファイアウォールルールを追加して、残りの一致しないトラフィックをすべて一致および拒否できます。

この場合、ファイアウォールルールがフラッシュされると、サービスはアクセス可能になりますが、保護されません。 ローカルアクセスまたは代替アクセスのオプションによっては、ルールがフラッシュされた場合にサーバーに再入力できるようにするために、これは必要な悪である可能性があります。 このオプションを使用する場合は、キャッチオールルールが常にルールセットのlastルールのままであることを確認する必要があります。

次の表は、ファイアウォールで保護されたサーバーが、宛先ポートに適用されているポリシーに応じて異なる要求にどのように反応するかを示しています。

最初の列は、クライアントが送信したパケットタイプを示します。 2番目の列には、各シナリオのテストに使用できるnmapコマンドが含まれています。 3番目の列は、ポートに適用されているポートポリシーを示しています。 4列目はサーバーが送り返す応答で、5列目はクライアントが受け取った応答に基づいてポートについて推測できるものです。

一部のICMPタイプは非推奨であるため、無条件でブロックする必要があります。 これらの中には、ICMPソース抑制（タイプ4コード0）と代替ホスト（タイプ6）があります。 タイプ1、2、7、およびタイプ15以上はすべて非推奨であり、将来の使用または実験用に予約されています。

一部のICMPタイプは、特定のネットワーク構成では便利ですが、他のタイプではブロックする必要があります。

たとえば、ICMPリダイレクトメッセージ（タイプ5）は、不適切なネットワーク設計を明らかにするのに役立ちます。 より良いルートがクライアントに直接利用できる場合、ICMPリダイレクトが送信されます。 そのため、ルーターが同じネットワーク上の別のホストにルーティングする必要があるパケットを受信した場合、ICMPリダイレクトメッセージを送信して、将来的に他のホストを介してパケットを送信するようクライアントに伝えます。

これは、ローカルネットワークを信頼し、初期構成中にルーティングテーブルの非効率性を発見したい場合に役立ちます（ルートを修正する方が長期的な解決策です）。 ただし、信頼されていないネットワークでは、悪意のあるユーザーがICMPリダイレクトを送信して、ホスト上のルーティングテーブルを操作する可能性があります。

一部のネットワークで有用であり、他のネットワークで潜在的に有害な他のICMPタイプは、ICMPルーターアドバタイズメント（タイプ9）およびルーター要請（タイプ10）パケットです。 ルーターアドバタイズメントおよび要請パケットは、IRDP（ICMPインターネットルーター検出プロトコル）の一部として使用されます。IRDPは、ネットワークの起動時または参加時にホストが使用可能なルーターを動的に検出できるシステムです。

ほとんどの場合、ホストが使用するゲートウェイ用に構成された静的ルートを持つ方が適切です。 これらのパケットは、ICMPリダイレクトパケットと同じ状況で受け入れられる必要があります。 実際、ホストは検出されたルートのトラフィックの優先ルートを知らないため、多くの場合、リダイレクトメッセージは検出後に直接必要になります。 ルーター要請パケットを送信したり、アドバタイズメントパケット（rdiscなど）に基づいてルートを変更したりするサービスを実行していない場合は、これらのパケットを安全にブロックできます。

通常は安全に許可されるICMPタイプを以下に示しますが、細心の注意が必要な場合は無効にすることができます。

以下のタイプは通常、ファイアウォールが行った要求への応答を許可するようにファイアウォールを構成することにより、明示的なルールなしで許可できます（conntrackモジュールを使用してESTABLISHEDおよびRELATEDトラフィックを許可します）。

一部のセキュリティ専門家は、着信ICMPトラフィックをすべてブロックすることを引き続き推奨していますが、現在では多くの人がインテリジェントなICMP受け入れポリシーを推奨しています。 リンクhereとhereに詳細があります。

接続制限は、connlimitなどの拡張機能を使用して実装し、クライアントが開いているアクティブな接続の数を確認できます。 これは、一度に許可される接続の数を制限するために使用できます。 接続制限を課すことにした場合、それがどのように適用されるかに関していくつかの決定をする必要があります。 決定の一般的な内訳は次のとおりです。

接続はホストごとに制限することも、ネットワークプレフィックスを指定してネットワークセグメントに制限を設定することもできます。 サービスまたはマシン全体の接続のグローバルな最大数を設定することもできます。 接続番号を制御するためのより複雑なポリシーを作成するために、これらを組み合わせて一致させることができることに留意してください。

レート制限を使用すると、サーバーがトラフィックを受け入れるレートまたは頻度を管理するルールを構築できます。 limit、hashlimit、recentなど、レート制限に使用できるさまざまな拡張機能があります。 使用する拡張子の選択は、トラフィックを制限するwayに大きく依存します。

limit拡張子を使用すると、制限に達するまで問題のルールが一致し、その後、さらにパケットがドロップされます。 「5 /秒」などの制限を設定すると、ルールは1秒あたり5パケットの一致を許可し、その後ルールは一致しなくなります。 これは、サービスのグローバルなレート制限を設定するのに適しています。

hashlimit拡張子はより柔軟であり、一致を評価するためにiptablesがハッシュする値の一部を指定できます。 たとえば、送信元アドレス、送信元ポート、宛先アドレス、宛先ポート、またはこれら4つの値の任意の組み合わせを調べて、各エントリをハッシュできます。 受信したパケットまたはバイトで制限できます。 基本的に、これはクライアントごとまたはサービスごとの柔軟なレート制限を提供します。

recent拡張子は、クライアントIPアドレスをリストに動的に追加するか、ルールが一致したときに既存のリストと照合します。 これにより、複雑なパターンのさまざまなルールに制限ロジックを広げることができます。 他のリミッターと同様にヒットカウントと時間範囲を指定する機能がありますが、追加のトラフィックが見られる場合は時間範囲をリセットすることもできます。

使用するレート制限拡張機能の選択は、実施する正確なポリシーによって異なります。