6.1ファイアウォールによるトラフィックフィルタ

ネットワークのサポートでは、「特定のサービスにだけつながらない」という相談がよくあります。その原因の一つが、通信の出入口に置かれたファイアウォールによるフィルタです。ファイアウォールは、どの通信を通し（許可/permit）、どの通信を止める（拒否/deny）かをルールで判断する「関所」であり、既定では止めておいて必要な分だけ開ける既定拒否という考え方で守りを固めます。この節では、ファイアウォールの基本動作、よく止められる典型的なポート/プロトコル、そして通信の状態を覚えるステートフルの仕組みを、「届かない原因がフィルタなのか」を切り分ける視点で学びます。

6.1.1ファイアウォールの役割とルール

• ファイアウォール＝信頼度の違うネットワークの境界（例：社内LANとインターネットの間）に置き、通過する通信をルールで選別する機器やソフト。「通す／止める」を判断することで、外からの不正なアクセスや内部からの不要な通信を制限する。
• 通信を通す指示が許可（permit）、止める指示が拒否（deny）。ルールは主に送信元/宛先のIPアドレスとポート番号/プロトコル（例：TCP443やUDP53）を条件に判断する。どの条件に一致したら通す・止めるかを1行ずつ並べたものがルールの集まり。
• 守りの基本は既定拒否（default deny）＝「明示的に許可したもの以外はすべて止める」。必要なサービス（例：Web閲覧のHTTPS）だけを許可で開け、それ以外は既定で閉じておくことで、開けっ放しの穴を減らす。

6.1.2ステートフルと止められやすい通信

• ステートフル＝進行中の通信（コネクション）の状態を覚えておく方式。内側から出した通信の戻り（応答）は、いちいち許可ルールを書かなくても自動的に通す一方、外側から突然始まる通信は既定で止める。現在の主流はこのステートフル型。
• よく止められる典型は、暗号化されず危険なTelnet（TCP23）、外部に晒すと危ないSMB/ファイル共有（TCP445）、内部向けの管理系ポートなど。逆に、Web閲覧のHTTPS（TCP443）や名前解決のDNS（UDP53）のように業務に必須な通信は許可されることが多い。
• サポートの現場では、「pingは通るのに特定アプリだけ届かない」ときにファイアウォールを疑う。ICMPは通してもアプリが使うポートだけ止められていることがあるためで、通信が使うポート/プロトコルがルールで許可されているかを確認するのが定石。

ヘルプデスクに「社内から新しいクラウド会計サービス（HTTPS）にどうしても接続できない」という相談が来たとします。まず慌てて「サーバが落ちている」と決めつける前に、どこで止まっているのかを切り分けます。そのPCから対象サービスのホスト名へ ping を打つと応答が返ってくる——つまりL3の到達性はあり、名前解決も効いています。それでもブラウザではつながらない。この「pingは通るのにHTTPSだけ届かない」という症状は、ファイアウォールが経路上でTCP443（HTTPS）を拒否（deny）している可能性を強く示唆します。ICMP（ping）は許可されていても、アプリが使うポートだけが既定拒否のまま開けられていない、というのはよくあるパターンです。ここで大切なのは、ファイアウォールがステートフルである点です。社内から外向きにHTTPSを出せるように許可（permit）ルールが1つあれば、その戻りの通信は自動的に通るので、戻り用の穴を別途開ける必要はありません。したがって確認すべきは「社内→クラウド宛のTCP443の外向き通信が許可されているか」であり、必要ならネットワーク管理者にそのサービス向けの許可ルール追加を依頼します。逆に、もし ping すら通らないなら、疑いはファイアウォールより前のL3到達性やDNSへ移ります。「pingの可否」と「特定ポートの可否」を分けて考え、症状からフィルタの関与を見分ける——この切り分けが、原因究明を大きく速めます。

6.1.3この節のまとめ

• ファイアウォールは境界で通信を許可（permit）/拒否（deny）のルールで選別し、既定拒否で必要な分だけ開ける
• ステートフルなら内側発の通信の戻りは自動で許可され、外側から突然始まる通信は既定で止まる
• pingは通るのに特定アプリだけ届かないときは、そのアプリのポート/プロトコルがルールで許可されているかを疑う