はじめに

ファイアウォールの設定を見ていると、「拒否 (Reject)」と「破棄 (Drop)」という2つの選択肢を目にすることがよくあります。どちらも通信を遮断する機能ですが、その挙動には重要な違いがあります。今回は、この2つの違いと、それぞれをどのような状況で使い分けるべきかについて解説します。

拒否 (Reject) とは？

拒否 (Reject) は、特定の通信をブロックする際に、その通信を試みた送信元に対して「通信は拒否されました」という旨の応答 (ICMP Error Message) を返す挙動を指します。

送信元への通知: 通信が拒否されたことを送信元に明確に伝えます。
通信の切断: 通常、TCPであればRST (Reset) パケット、UDPであればICMP Destination Unreachable (Port Unreachable) などのエラーメッセージを返します。
トラブルシューティングの容易さ: 送信元は通信がなぜできないのかを把握しやすいため、トラブルシューティングが比較的容易になります。

一方、破棄 (Drop) は、特定の通信をブロックする際に、その通信を一切応答せずに破棄する挙動を指します。送信元は、あたかも通信が途中で消滅したかのように感じます。

送信元への無応答: 通信が破棄されたことを送信元に一切知らせません。
タイムアウト: 送信元は応答がないため、一定時間後にタイムアウトして通信が失敗したと判断します。
セキュリティの向上: 攻撃者からすると、ポートが開いているのか閉じているのか、あるいはファイアウォールが存在するのかどうかが判断しにくくなるため、セキュリティ面で有利になることがあります。

外部からの不正アクセス: インターネットからの不審な通信や、ポートスキャンなどの攻撃に対しては、Dropを選択することで攻撃者に情報を与えず、セキュリティを向上させることができます。
DoS攻撃対策: 大量の不正な通信を破棄することで、サーバーへの負荷を軽減し、DoS攻撃などへの対策として有効です。
不要な通信の黙殺: 特定の不要な通信を完全に無視したい場合に利用します。

これらの違いを理解することで、状況に応じた適切なファイアウォール設定が可能になります。

このように使い分けることで、ファイアウォールの効果を最大限に引き出すことができます。