ファイアウォール — 出入口で危険な通信だけ遮断する門番

ファイアウォールの基本はパケットフィルタリング※1です。行き交う通信のひとかたまり（パケット）の宛名の情報を見て、機械的に許可／拒否します。

• 送信元・宛先のIPアドレス（どこから、どこ宛か）
• ポート番号（どの用途か。443＝HTTPS、22＝SSH など）
• プロトコル（TCP／UDP など、どんな通信方式か）

これらをルール表に照らし、「宛先ポート443は許可」「22は拒否」のように仕分けます。ルールに書いていない通信は、後述のデフォルト拒否で通しません。

登場人物メモ:

• ※1 パケットフィルタリング — IP・ポート・プロトコルで許可／拒否する最も基本の方式
• ※2 ステートフルインスペクション — 通信の「状態」を覚えて、戻りの通信だけ通す方式

1. パケットが出入口に届く
2. IP・ポート・プロトコルを読み取る
3. ルール表を上から順に照合し、最初に一致したルールで許可／拒否を決める
4. どのルールにも一致しなければ、デフォルト拒否で通さない

ステートフルインスペクション※2 — 単に1つ1つのパケットを見るだけでなく、通信の状態を覚えておく方式です。内側から始めた通信を記録しておき、その戻りの通信だけを通します。外から突然来た通信は「始めた覚えがない」ので通しません。これは NATとポート の「内側発は戻せるが外からは入れない」という性質とちょうど重なります。

allow／deny リストとデフォルト拒否 — ルールには「許可（allow）」と「拒否（deny）」を並べます。安全側の原則はデフォルト拒否——まず全部拒否し、業務に必要な穴だけを許可で開けます。こうすれば「書き忘れ＝遮断」に倒れ、想定外の通り道が生まれにくくなります。逆にデフォルト許可だと、書き忘れがそのまま穴になり危険です。

WAFとの違い（守る層の分担） — 基本のファイアウォールが見るのは主にネットワーク層（IP・ポート）です。一方 WAF（Web Application Firewall）は、Webアプリの層まで踏み込み、リクエストの中身を見て攻撃（不正な入力など）を弾きます。守る層が違うので、両者は役割分担で併用します。

境界を越えて拠点間を安全につなぐ通信そのものは、暗号化トンネルの VPN が担い、ファイアウォールはその出入口で通す・通さないを見張ります。

• ルールの順序ミス — 上から順に一致するため、広い許可を上に置くと後の拒否が効かない
• 穴の開けすぎ — 「とりあえず許可」を重ね、実質デフォルト許可になってしまう
• 戻り通信の考慮漏れ — ステートフルでないと、正当な戻りまで塞いでしまう
• 層の取り違え — ネットワーク層のFWだけでアプリ層の攻撃（不正入力など）は防げない。WAFなど別の層の守りが要る