情報システム管理

情報システム管理
５. ネットワークとファイアウォール
水野嘉明
本日の内容
１. ネットワーク
TCP/IPの基本
２. ファイアウォール
ファイアウォールによるセキュリ
ティの保護について
2
本日の内容
１. ネットワーク
１.１ＴＣＰ／ＩＰ
１.２ＩＰアドレスとネットマスク
１.３ＩＰアドレスの割り当て
１.４ポート番号
１.５ネットワークの設定
２. ファイアウォール
3
１．ネットワーク
 サーバは、必ずネットワークに接続さ
れる
 インターネットは、
世界中のコンピュ－タネットワーク
を相互に接続したネットワーク
4
１.１ＴＣＰ／ＩＰ
 インターネットのプロトコルには、
ＴＣＰ／ＩＰが使用されている
Transmission Control Protocol /
Internet Protocol
5
１.１ＴＣＰ／ＩＰ
 プロトコル
(protocol)とは、
『通信規約』
 データの形式
 データ送受信の手順
などの約束事
多岐にわたる機能を分類するため、
階層化されている
6
１.１ＴＣＰ／ＩＰ
 ＴＣＰ／ＩＰ
の階層構造
応用層
(SMTP,POP3,
HTTP,FTP など）
トランスポート層（ＴＣＰ）
インターネット層（ＩＰ）
ネットワーク
インタフェース層
7
１.１ＴＣＰ／ＩＰ
 ＯＳＩ参照モデル
ネットワークに必
要な機能を、７つ
の階層に分けて
定義している
ＩＳＯ（国際標準
化機構）が制定
応用層（アプリケーション層）
プレゼンテーション層
セッション層
トランスポート層
ネットワーク層
データリンク層
物理層
ＯＳＩ参照モデル
8
１.１ＴＣＰ／ＩＰ
 ＴＣＰ／ＩＰとＯＳＩ参照モデルの対応
トランスポート層（ＴＣＰ）
インターネット層（ＩＰ）
ネットワーク
インタフェース層
応用層
プレゼンテーショ
ン層
セッション層
トランスポート層
ネットワーク層
データリンク層
物理層
ＴＣＰ／ＩＰ
ＯＳＩ参照モデル
応用層
(SMTP,POP3,
HTTP,FTP など）
9
１.１ＴＣＰ／ＩＰ
 パケット交換 (インターネット層の通信)
ネットワーク同士は、ルータを介し
てつながっている
パケット交換方式
データをパケットと呼ばれる単位
に区切り、
「バケツリレー式」で受け渡す
10
１.１ＴＣＰ／ＩＰ
ルータ
ルータ
ルータ
（パケット）
パケット交換の様子
11
１.１ＴＣＰ／ＩＰ
 パケット交換（バケツリレー）に必要
な情報
ＩＰアドレス
ホストの区別
ネットマスク
ネットワークアドレスを計算
ルーティング情報
受取ったパケットの転送先
12
１.２ＩＰアドレスとネットマスク
 ＩＰアドレス
ネットワークに接続されたホストを
一意に識別するための数値
ＩＰｖ４では32ビット、ＩＰｖ６では128
ビット（いまだ主流はＩＰｖ４）
ＩＰｖ４では、0~255の数値４ヶを
ピリオドで区切って表示
例） 160.30.21.110
13
１.２ＩＰアドレスとネットマスク
ＩＰアドレスは、ネットワークアドレス
部とホストアドレス部に分かれる
例） 160.30.21.110
ネットワークアドレスホストアドレス
（ネットワークアドレスは、可変長。
これは、１６ビットの場合）
14
１.２ＩＰアドレスとネットマスク
例） 160.30.21.110
ネットワークアドレスホストアドレス
ネットワークアドレス
ネットワークを識別
ホストアドレス
ネット内のホストを識別
15
１.２ＩＰアドレスとネットマスク
 ネットマスク
（サブネットマスク）
ネットワークアドレスの長さを示す
ネットワークアドレス部を１とした
ビット列
例1） 255.255.0.0
例2） IPアドレスとあわせて、
160.30.21.110/16 という表記も可
ネットワークアドレスの長さ＝16ビット
16
１.２ＩＰアドレスとネットマスク
 ＩＰアドレス
１９２.１６８.１０.６
ネットマスク２５５.２５５.２５５.１２８の時
11000000 10101000 00001010 00000110
192
． 168
． 10
．
6
11111111 11111111 11111111 10000000
255
． 255
． 255
． 128
ネットワークアドレス
ホスト
アドレス
17
１.２ＩＰアドレスとネットマスク
 ホストアドレス部が、全て０および全て１
のアドレスは、特殊用途に使われる
一般のホストに割り付けることができ
るのは、その他のアドレス
例）ネットワークアドレス１９２.１６８.１０.０
サブネットマスク２５５.２５５.２５５.１２８
⇒１９２.１６８.１０.１～１９２.１６８.１０.１２６
が使用可
18
１.２ＩＰアドレスとネットマスク
 以前は、IPアドレスは、５つのアドレ
スクラスに分類されていた
クラスA～クラスCが通常使われる
（クラス D、E は特殊用途用）
ホストアドレス部の長さが、クラス
により決まっている
(ネットワークの規模が異なる）
19
１.２ＩＰアドレスとネットマスク
アドレスクラスA～C
クラス規模ホスト部
アドレスの範囲
Ａ
大
24 ビット
Ｂ
中
16 ビット 128.0.0.0～191.255.255.255
Ｃ
小
8 ビット 192.0.0.0～223.255.255.255
0.0.0.0～127.255.255.255
20
１.３ IPアドレスの割り当て
 ＩＰアドレスは、勝手には決められな
い
衝突（重複）が起こっては困る
世界中でユニーク
21
１.３ IPアドレスの割り当て
 グローバルＩＰアドレス
世界中で一意なＩＰアドレス
日本では、ＪＰＮＩＣという組織が割
り当てを行っている
JPNIC
プロバイダ
ユーザ
22
１.３ IPアドレスの割り当て
 プライベートＩＰアドレス
アドレスの枯渇が問題
ローカルなネットワーク内では、厳
密な（世界中での）一意性は保証し
なくても良い
ローカルなネットワーク内だけで通
用するＩＰアドレスを割り振る
23
１.３ IPアドレスの割り当て
プライベートＩＰアドレスは、ネット
ワーク外に出してはならない
（ネットワーク外と通信できない）
ローカルな
ネットワーク
ルータ
インターネット
24
１.３ IPアドレスの割り当て
プライベートIPアドレスでは、外部
にアクセスできない
外にアクセスするときは、ＮＡＴ等
の技術を使用する
（後日解説する予定）
サーバは、通常グローバルIPアド
レスを用いる
25
１.３ IPアドレスの割り当て
 推奨されるプライベートＩＰアドレス
プライベートでも、どんなＩＰアドレ
スを使っても良いわけではない
クラスＡ 10.0.0.0
～10.255.255.255
クラスＢ 172.16.0.0
～172.31.255.255
クラスＣ 192.168.0.0 ～192.168.255.255
26
１.３ IPアドレスの割り当て
 固定ＩＰアドレスと動的アドレス
通常、サーバのＩＰアドレスは固定
ＰＣなどは、接続するごとにＩＰアド
レスを割り当てることが可能
⇒ ＤＨＣＰを用いる
（後日解説）
27
１.４ポート番号
 1台のホスト上で、複数のプログラム
が同時に通信を行う
ポート番号により、サービス（アプ
リケーション）を区別する
クライアント
ブラウザ
80番ポート
Ｗｅｂサーバ
メーラ
2５番ポート
メールサーバ
28
１.４ポート番号
 ＩＰアドレスでホストを特定し、ポート
番号でその中のサービス（アプリ
ケーション）を指定する
ＩＰアドレス＋ポート番号＝ソケット
 ０～１０２３番は、インターネット上で
よく使用されるサービスに割り当てら
れている
⇒ ウェルノウンポート番号
29
１.４ポート番号
 代表的なウェルノウンポート番号
サービス
機能
番号
Web
80
Webサーバ
FTP
20
ファイル転送（データ）
FTP
21
ファイル転送（コマンド）
SSH
22
リモートホストの操作（暗号化）
Telnet リモートホストの操作
23
DNS
53
ホストの名前解決
SMTP 電子メールの配信
25
POP3 メールサーバからの受信
110
30
１.５ネットワークの設定
 ｉｆｃｏｎｆｉｇ
コマンド
ネットワークインターフェースに、Ｉ
Ｐアドレスとネットマスクを設定する
$ ifconfig if ipaddr [mask]
$ ifconfig [if [option]]
if ：
インターフェース名
ipaddr： IPアドレス
mask：ネットマスク指定
31
１.５ネットワークの設定
ｉｆｃｏｎｆｉｇコマンドの例
$ ifconfig eth0
eth0 の設定を表示
$ ifconfig eth0 down
eth0 を停止（up にて起動）
32
１.５ネットワークの設定
ｉｆｃｏｎｆｉｇコマンドの例
$ ifconfig eth0 192.168.11.4
netmask 255.255.255.0
eth0 にIPアドレスとネットマスクを設定
33
１.５ネットワークの設定
 ルーティングテーブル
IPパケットを送信する時に、
「どこ宛のパケットはどのルータに
送ればよいか」
といった経路情報を記したテーブ
ル
34
１.５ネットワークの設定
 ｒｏｕｔｅ
コマンド
ルーティングテーブルの管理
経路情報の追加/削除/変更/表示
$ route com target [option]
$ route [option]
com ：コマンド（add / del)
target：対象のネットワーク / ホスト
35
１.５ネットワークの設定
routeコマンドの例
$ route add default gw mango-gw
デフォルト経路を追加する
$ route add -net 192.57.66.0
netmask 255.255.255.0
ネットワーク 192.5７.６6.x を追加する
36
１.５ネットワークの設定
routeコマンドの例
$ route del -net 192.57.66.0
ネットワーク 192.5７.６6.x を削除する
37
１.５ネットワークの設定
routeコマンドの表示例
デフォルトゲートウェイ
38
１.５ネットワークの設定
 netstat
コマンド
ネットワークの状態や統計情報を一
覧表示する
$ netstat [option]
option なし：有効な接続のみ表示
-a : すべての接続を表示
-s ：統計情報を表示
-r ：ルーティングテーブルを表示
39
本日の内容
１. ネットワーク
２. ファイアウォール
２.１スーパデーモンによる制御
２.２ファイアウォールとは
２.３パケットフィルタ
２.４アプリケーションゲートウェイ
２.５ＤＭＺとファイアウォール
40
２. ファイアウォール
 セキュリティのためには、無条件に通
信を許すことはできない
⇒ 通信相手や通信内容等によって、
アクセス制限
スーパデーモンでのアクセス制御
パケットフィルタ型ファイアウォール
アプリケーションゲートウェイ
41
２.１スーパデーモンによる制御
 ｘｉｎｅｔｄによるアクセス制御
利用を許可する／禁止するホス
ト・ドメインを指定
利用可能な時間帯を指定
NICによる制限
コネクション数の制限
ログについての設定
など
42
２.１スーパデーモンによる制御
ｘｉｎｅｔｄの設定ファイル
全てのサービスに共通の設定
/etc/xinetd.conf ファイル
各サービス個別の設定
/etc/xinetd.d/ ディレクトリ配下
のサービス名と同名のファイル
（例： /etc/xinetd.d/telnet ）
43
２.１スーパデーモンによる制御
ｘｉｎｅｔｄの設定ファイル
/ ─ etc ┬─ xinetd.conf
│
└─ xinetd.d ── telnet
rsync
swat
：
44
再掲
２.１スーパデーモンによる制御
 ｉｎｅｔｄ
＋ＴＣＰＷｒａｐｐｅｒ
inetd には、ｘｉｎｅｔｄのようなアクセ
ス制御機能はない
TCP Wrapper というアクセス制御
プログラムと組み合わせて利用
少々古いが、まだ現役
（KNOPPIXではｉｎｅｔｄを使用）
45
２.１スーパデーモンによる制御
 TCP
Wrapper の設定
設定ファイルは、/etc/hosts.allow
および /etc/hosts.deny
hosts.allowには、アクセスを許可す
るホストを書く
hosts.denyには、アクセスを拒否す
るホストを書く
46
２.１スーパデーモンによる制御
1. /etc/hosts.allow で許可されている
ホストは許可
2. 上記で許可されず/etc/hosts.deny
で拒否されているホストは拒否
3. 両方に記述のないホストは許可
47
２.１スーパデーモンによる制御
設定の記述方法
daemon_list : host_list [:command ]

daemon_list
制御するサービス名

hosts_list
制御対象のホスト名、IPアドレス
48
２.１スーパデーモンによる制御

command
シェルコマンド、または、拡張コ
マンド（ALLOW、DENY等）
注：拡張コマンドALLOW、DENYを
用いると、/etc/hosts.allowのみで
アクセス制御を記述することがで
きる
49
２.１スーパデーモンによる制御
 hosts.allow
サンプル
①
②
③
④
50
２.１スーパデーモンによる制御
① inetdによる telnetの起動を、IPアドレ
ス192.168.11.* のホストに許可
② sshによるアクセスを、すべてのホス
トに対して許可
③ ローカル（KNOPPIXが動作している
本体）では、すべての動作を許可
④ ①～③以外は、すべて禁止
51
２.２ファイアウォールとは
 「外敵を防ぐ最初の砦」
インターネット
内部ネットワーク
ファイアウォール
52
２.２ファイアウォールとは
 組織内ネットワーク（「信頼できるネッ
トワーク」）とインターネット（「信頼で
きないネットワーク」）の間で、出入り
するパケットを監視
インターネット
（信頼できない）
？
FW
内部ネットワーク
（信頼できる）
53
２.２ファイアウォールとは
 決められたルールをもとに、パケット
を通したり破棄したりする
ルールは、ユーザーのポリシー
（ネットワークをどのように運用した
いかという考え方・ルール）に従い
作成される
54
２.２ファイアウォールとは
 ファイアウォールには２種類
パケットフィルタリング型
IPアドレス、ポート番号などによ
り判断
アプリケーションゲートウェイ型
通信を中継するプロキシプログ
ラムを使用する
55
２.３パケットフィルタ
では、データは「パケット」を
単位として送受信される
パケットには以下の情報がある
送信元のIPアドレス
送信元ポート番号
宛先のIPアドレス
宛先のポート番号
 TCP/IP
56
２.３パケットフィルタ
これらの情報を基に、パケットその
ものの通過を制御するのが
パケット・フィルタリング
シンプルで高速な処理
ルールの定義が煩雑
57
２.３パケットフィルタ
IPアドレス a.b.c.d
以外からは拒否
IPアドレスa.b.c.d
からは許可
サーバ
SSHサーバ
パケット・
フィルタ
Webサーバ
FTPサーバ
（動作していない）
ポート20は拒否
ポート80は許可
58
２.３パケットフィルタ
 パケットフィルタ型ファイアウォールソ
フトウェアは、多数ある
ipfw
UNIX全般
IPFilter
UNIX全般
PF
BSD
iptables
Linux
ipchains
Linux
59
２.３パケットフィルタ
 iptablesは、パケットが通過する経路
上に、５つのチェインを設けている
【INPUT】
【FORWARD】
【OUTPUT】
【PREROUTING】
【POSTROUTING】
60
２.３パケットフィルタ
５つのチェインとパケットの流れ
PREROUTING
入ってくる
パケット
出て行く
パケット
ルーティング
（経路）の
決定
FORWARD
POSTROUTING
INPUT ローカル
プロセス
OUTPUT
61
２.３パケットフィルタ
iptablesは、このチェインを監視し
て
『このパケットは通さない』
『このパケットは通す』
などの処理を行う
注：その他、NAT（後日) のための
機能もある
62
２.３パケットフィルタ
 iptables
コマンド
$ iptables -A chain名パラメータ
-j 処理方法
どのチェインを
どのようなパケッ
トが通過する時に
どう処理するか
63
２.３パケットフィルタ
（iptables コマンド例）
$ iptables -A INPUT -p tcp
--dport 80 -j ACCEPT
・-A :
ルールの追加
・INPUT :
入力パケットが対象
・-p tcp :
TCPプロトコル
・--dport 80 : 80番ポート（Webサーバ）
・-j ACCEPT: パケット受信の許可
64
２.３パケットフィルタ
iptables コマンドによる設定は、再
起動によりリセットされる
⇒ コマンドによりセーブしなければ
ならない
$ invoke-rc.d iptables save filename
$ iptables-save > filename
セーブする場所は、ディストリビューション
により異なる（/etc/sysconfig/iptables等）
65
２.４アプリケーションゲートウェイ
 プロキシ
(proxy)とは
「代理人」
内部ネットワークと外部（インター
ネット）との境界で、内部のホスト
／ソフトウェアの代わりに、外部と
の接続を行うホスト／ソフトウェア
66
２.４アプリケーションゲートウェイ
 アプリケーションゲートウェイ
プロキシを利用することにより、内
部ネットワークを外部から切り離す
外部との通信は、すべてプロキシ
が仲立ちする
内部からはプロキシとだけ通信
プロキシが通信内容をチェック
⇒ 不正アクセス、侵入行為
67
２.４アプリケーションゲートウェイ
 プロキシは、プロトコルを理解し
チェックする
例：ＵＲＬチェック
ウィルスチェック
情報漏洩の検出
68
２.４アプリケーションゲートウェイ
 サービスのプロトコル毎に、個別に
ゲートウェイプログラムを用意する必
要がある
煩雑
高度な機能を実現できる
69
２.４アプリケーションゲートウェイ
クライアント
内部
外部
Webサーバ
プロキシ
ｈｔｔｐ要求サーバ要求を
中継
クライアントからは、プロキシサーバ
がWebサーバに見える
70
２.５ DMZとファイアウォール
 DMZ
DeMilitarized Zone：非武装地帯
外部のネットワーク（インターネッ
ト）と、内部ネットワークの間に設け
られた緩衝地帯
外部に公開するサーバを、DMZに
置く（⇒外部からのアクセスを、こ
の領域だけに限定する）
71
２.５ DMZとファイアウォール
 DMZの構成例
(1)
サーバ
インターネット
ＦＷ
ＦＷ
DMZ
内部ネットワーク
72
２.５ DMZとファイアウォール
 DMZの構成例
(2)
サーバ
インターネット
ＦＷ
DMZ
内部ネットワーク
73
２.５ DMZとファイアウォール
 セキュリティ設計上の注意
ファイアウォールが万能というわけ
ではない
各レベルでのセキュリティを併用
することにより、安全性が高まる
74
【課題4】
 telnet
により、Windowsからログインす
る
VMWARE+KNOPPIX には、
Windowsとは別の独自IPアドレスが
自動的に割り振られている
「課題３」の inetdが動いていないと、
telnetは動かない
（iptablesの設定は、当面不要）
75
【課題4】
 KNOPPIX上では、
ifconfig コマンドにて、IPアドレスを
確認する
/etc/hosts.allow ファイルを編集し、
Windowsからの telnetを可能にする
（rootで作業しなければならない）
【課題4】
 Windowsにて、TeraTerm
を用いて
KNOPPIXにログインする
ユーザ名は、「課題１」で作成した自
分名のユーザとする
ログイン画面をキャプチャし、Word
ファイルに貼り付ける
Wordのファイル名を report4.docx
とし manabaのレポート４に提出する
77
【課題4】
注： TeraTerm
KNOPPIXのIPアドレス
telnetを
使う
78
【課題4】
ログインすると、こんな画面になる
はず
79
【課題4】
画面キャプチャは、
Fn ＋ Alt ＋ PrintScreen
（３つのキーを同時に押す）
Wordのファイル上で、貼り付け
（Ctrl＋V）
80
次回の予定
１. セキュリティについて
セキュリティの必要性、クラッカー
の攻撃手段、など
２. セキュリティ対策
どのようにして、セキュリティを
守るか
81
お疲れ様でした

Download Report