今日は前回構築したVPNルータ機能を引き続き用いて、ファイアウォール機能を見ていきます。
前回作成した環境には以下の様にポートフォワーディングが設定されています。
これにより133.125.238.37への通信が192.168.0.2へとルーティングされるように設定されています。
デフォルト Allow と ファイアウォール
さくらのクラウド、VPNルータは送受信の通信はデフォルトAllow状態であり、すべての送受信が可能となっています。対象がウェブサーバの場合、以下の手順でファイアウォールを設定することを推奨しています。
1.すべての通信を一度遮断
2.80/443ポートのみを開放
この２つのファイアウォールルールを投入した場合、順番の若いルール が先に適応されることになります。したがって80/443ポートのみを開放をより若いルールで設定しておくことですべての通信を一度遮断より先にルールが適応されるようにしています。
こうすることで80/433以外の通信はすべてドロップされます。
さっそくやってみる
ルールは以下の項目が設定可能です。
VPNルータの詳細画面からファイアウォールタブをクリックします。
受信方向に以下のルールを追加します。
次に80の通信を許容するルールを追加します。
ルールの右にある三本線のアイコンをドラッグすることで順番を入れ替えることができます。
反映をクリックしてテストを行います。
前回構築したウェブにアクセスが行えれば設定成功です。
SSH用ルール
例えば特定の拠点（IPアドレス）からのSSHのみを許可する場合以下のルールを追加します。
ステートフルインスペクション
ファイアウォール機能はステートフルで動作します。これはクライアント→サーバへの上り通信が通れば、サーバ→クライアントへの戻り通信は自動で穴あけが行われます。
このため以下の様に送信つまりサーバ→クライアントの通信がすべて禁止されていても、ウェブサーバへのリクエストと呼応するレスポンスは問題なく動作します。
Discussion