6.1iptables/firewalldによるパケットフィルタリング

サーバーを外部に晒す以上、「どの通信を通し、どれを遮断するか」を明確にするのがファイアウォールの役目です。Linux ではiptablesがカーネルのパケットフィルタ機能を直接操作する伝統的な手段で、firewalldやufwはそれをゾーン・サービス単位で扱いやすくした上位レイヤーです。

6.1.1iptables/ip6tablesの基本

• iptables＝IPv4 パケットフィルタ設定コマンド。ip6tables＝IPv6 版で別コマンド・別ルールセット（IPv4 のルールは IPv6 通信に効かない）。
• カーネルのパケット転送や応答挙動は/proc/sys/net/ipv4/・/proc/sys/net/ipv6/以下の仮想ファイルで制御（例 net.ipv4.ip_forward を1にするとルータとして転送）。
• パケットの行き先判断はルーティングテーブルが決め、ファイアウォールはその前後で許可/拒否を判定する。ポートリダイレクト（宛先ポート変換）は NAT テーブルの PREROUTING で行い、待受ポート番号と名前の対応は/etc/servicesで確認できる。

6.1.2firewalld・ufuw・永続化

• firewalld＝firewall-cmd で操作する動的ファイアウォール管理サービス。ネットワークインターフェースをゾーン（public/internal/trusted 等）に割り当て、ゾーンごとにサービス・ポートの許可を設定する。
• ufw（Uncomplicated Firewall）＝iptables をよりシンプルなコマンド体系で扱うフロントエンド。ufw allow 22/tcp のように直感的にルールを追加できる。
• iptables のルールはメモリ上のみで再起動すると消えるため、iptables-saveでファイルへ書き出し、iptables-restoreで読み戻して永続化する（ディストリのサービス経由で起動時に自動適用させるのが定石）。

運用でよくある要件「社内向けWebサーバーへの外部からのSSHは遮断しつつ、社内セグメントからは許可したい」を考えると、各ツールの立ち位置が見えてきます。素のiptablesなら filter テーブルの INPUT チェーンに、送信元ネットワークで絞った ACCEPT ルールを先に置き、末尾のデフォルト DROP／REJECT で残りを遮断します。同じことをfirewalldでやるなら、社内セグメントのインターフェースを internal ゾーンへ、外部向けインターフェースを public ゾーンへ割り当て、internal ゾーンだけ ssh サービスを許可します（firewall-cmd --zone=internal --add-service=ssh --permanent の後 firewall-cmd --reload）。ポートフォワード（例：外部の8080番を内部のWebサーバーの80番へ）は NAT テーブルの PREROUTING チェーンで宛先変換（DNAT）を行う操作で、firewalld でも --add-forward-port として同等の機能があります。IPv6 も同時に運用しているなら、iptables のルールは ip6tables には引き継がれないため、ICMPv6 の近隣探索などIPv6特有のトラフィックも含めて ip6tables 側に個別にルールを書く必要がある点は見落としがちです。設定を検証したら、再起動後も同じ状態を保てるようにiptables-save > /etc/sysconfig/iptablesのようにファイル化し、起動時にiptables-restoreで読み込む仕組みを組み込みます。

6.1.3この節のまとめ

• iptables＝IPv4／ip6tables＝IPv6（別ルールセット）。永続化はiptables-save／iptables-restore
• firewalld＝ゾーン単位（firewall-cmd・--permanent＋--reload）／ufw＝簡易コマンド。ポート対応は/etc/services