Linux GUIを使ったシステム管理入門（５）

　4回に渡ってLinuxの基本的なシステム管理を、GUIという側面から駆け足で見てきた。GUIということから、従来からある、いわゆるLinux管理の常道とは若干異なる道筋を紹介してきたことになるが、Linux＝コマンドというという捉え方が唯一のものでないことはお分かりいた

特集特集

2003年10月29日（水） 12時00分

　4回に渡ってLinuxの基本的なシステム管理を、GUIという側面から駆け足で見てきた。GUIということから、従来からある、いわゆるLinux管理の常道とは若干異なる道筋を紹介してきたことになるが、Linux＝コマンドというという捉え方が唯一のものでないことはお分かりいただけたと思う。最終回である今回は、紹介しきれなかったシステム管理に有用なGUIツールについて、いくつか簡単に紹介することにしよう。

●ファイアウォールの設定

　ファイアウォールについては、改めて説明する必要はないだろう。Linuxには、デフォルトで強力なファイアウォールが搭載されている。ファイアウォールは、出入りするパケットを取捨選択するパケットフィルタリングによって実現されている。このパケットフィルタはnetfilterというものだが、設定にiptablesコマンドがを使われるため、Linuxのパケットフィルタリング全体はiptablesと呼ばれている。

　一般にパケットフィルタリングの動作は、対象マシンへの通信を遮断するか、あるいは許可するかを判断することに集約される。この判断に当たっては、IPアドレスやポート番号、内部あるいは外部どちら側からの通信なのかといった点が基準となる。つまり、一口にパケットを取捨選択するといっても、パケットがどの条件を満たしたときに通信を許可あるいは拒否するのかというルールを、あらかじめ決めておく必要があるわけだ。例えば、外部から80ポートへ接続しようとするパケットは破棄する、といった内容を、iptablesコマンドを使って設定していくのである。

　ただ、iptablesコマンドの使用方法は複雑で、コマンドラインから条件定義を行うのは結構面倒だ。先ほど挙げた例を、実際に行うと次のようになる。

#iptables -A INPUT -p tcp ─dport 80 -j DROP

　「-A INPUT」は、内部に入ってくるパケットに対する処理を表し、「-p ─dport 80」がポート80への接続パケット、「-j DROP」がそのパケットの破棄を示している。

　セキュリティ的には、余計なポートは塞ぐというのは鉄則だ。パケットフィルタリングでは、すべての通信を一度遮断した後、通信が必要なパケットについて許可の設定を行うというのが基本になる。しかし、サーバ専用マシンでもない限り、それほどきめ細かにパケットフィルタリングの設定をする必要性は薄い。そこで利用したいのが、ファイアウォールの簡易設定ツールである「セキュリティレベル設定ツール」だ。「セキュリティレベル設定ツール」を起動するには、スタートメニューから［システム設定］→［セキュリティレベル］を選択する。

画面A： http://vagabond.co.jp/c2/scan/column/linux05-a.gif
（起動した「セキュリティレベル設定ツール」。シンプルなファイアウォール設定ツールである）

　設定できるセキュリティレベルは「高」「中」「ファイアウォールなし」の3種類。それぞれの内容は、概ね次のようになる。

高：ユーザが明示的に定義した接続と、DHCPとDNS応答以外はすべて拒否。基本的に、ほとんどの接続が拒絶される設定である。
中：このレベルでは、あらかじめ指定された特定リソースにアクセスできないようになる。ポート1023番以下やNFS（ポート2049）、一部のX Windowシステムなどである。1023以下のポートというと、FTPやSSH、telnetといった代表的なサービスで使用されるポートだ。
ファイアウォールなし：読んで字の如くで、パケットフィルタリングの設定は一切行わなれない。

【執筆：磯野康孝】

（詳しくはScan本誌をご覧ください）
http://www.vagabond.co.jp/cgi-bin/ct/p.cgi?m-sc_netsec

《ScanNetSecurity》