（2016年時点での内容をアーカイブとして掲載しているため、一部の掲載内容が最新情報とは異なる場合がありますので、ご了承ください。最新のIBM Cloudのアップデート情報はIBM Cloud アップデート情報や柔らか層本をご参照ください。）

概要
ここでは、サーバーの注文時にOSファイアウォールを選択する方法と、WindowsとLinuxそれぞれのルール設定をご説明します。 OSファイアウォールは、個別のOS上で実行されるもので、設定方法を知っていれば、OS標準の機能でサーバーを保護することができます。

OSファイアウォールの種類
LinuxとWindowsで選択できるOSファイアウォールの特徴と設定方法をご説明します。

Linuxの場合

Linuxでは、APF (Advanced Policy Firewall)を利用できます。 APFは、OS標準のiptables(netfilter)をベースとしたファイアウォールシステムです。 iptablesの複雑なルールを自分で書くよりも、比較的簡単にルールを書けるという利点があります。

Windowsの場合

Windowsでは、OSに標準で搭載されているファイアウォールが利用できます。アプリケーションごとにファイアウォールを設定する方法と、ポート番号を指定して設定する方法があります。

LinuxにOSファイアウォールを導入するには
Linuxの場合のOSファイアウォールの導入方法をご説明します。 Linuxの仮想サーバーや物理サーバーを注文する時のオーダー・フォームで、APFを選択して注文します。この選択をするには、「System Addons」の「HARDWARE&SOFTWARE FIREWALLS」の一覧から、「APF Software Firewall for Linux」をクリックします。

このようにして作成されたサーバーは初期状態からAPFが起動しており、すぐに利用できます。 APFの動作を確認してみましょう。コマンドラインから、apf --list を実行すると、次の画面のようにテキストエディターのnanoでAPFのルール一覧が表示されます。

以上で、LinuxにOSファイアウォールが導入できました。次にルールの設定を見ていきます。

APFのルールの設定方法
ここでは、APFのルールの設定方法をご説明します。導入後の設定はデフォルトの値が設定されているため、サーバーの用途に合わせて変更する必要があります。ここでは、インターネットからSSH(TCP/22)でログインできないようにします。ルール設定は、すべてVPN経由でプライベート・ネットワークからログインした状態で行います。ルール設定後はインターネットからサーバーにSSH(TCP/22)でログインができなくなるからです。 VPNの導入方法は、2.7 VPN接続でプライベートIPにアクセスするには？－パブリックIPからのログインを禁止するを参照してください。

次の画面は、OSファイアウォールを選択して作成したばかりのLinuxの脆弱性テストの結果です。この結果の3行目にssh(22/tcp)が表示されており、インターネットからSSHでログインができる状態であることがわかります。

それでは、実際に、APFを使ってインターネットからログインできないように設定していきます。これには、APFの設定ファイルの/etc/apf/conf.apfを編集します。このファイルをrootユーザーで開いて、IG_TCP_CPORTSの22を削除して保存します。これは、SSH(TCP/22）を通過するという設定のためです。次の画面は、削除前の初期の状態です。

ここで変更した設定は、プライベート・ネットワークからの接続には影響を与えません。初期状態では、プライベート・ネットワークからの接続は、信頼されているネットワークとして設定されているからです。このルールは、/etc/apf/conf.apfのIFACE_TRUSTEDに、eth0が設定されています。そのため、SSH(TCP/22)を閉塞する設定をしても、プライベート・ネットワーク側からの接続はできます。

変更後は設定を反映させるためAPFの再起動をする必要があります。 rootユーザーで、次のコマンドを実行します。

では、APFの設定が期待通りに働いているかどうか確認します。次の画面の脆弱性テストの結果を見ると、閉塞前に表示されていたssh(22/tcp)がなく、インターネット側にログインするためのポートが開いていないことがわかります。

これで、Linuxへの接続は、プライベート・ネットワークからの接続に限定されて、インターネットからのログインはできないようになりました。

しかし、IG_TCP_CPORTSでは、それ以外のポートも開かれています。必要に応じてさらに設定を追加して、脆弱性検査で確認しましょう。

APFの設定方法の詳細は、次のサイトを参照してください。
https://www.rfxn.com/projects/advanced-policy-firewall/

WindowsにOSファイアウォールを導入するには
ここでは、Windowsファイアウォールの導入方法をご説明します。 Windowsの仮想サーバーや物理サーバーを注文する時のオーダー・フォームで、Windowsファイアウォールを選択することができます。オーダー・フォームの「System Addons」の「HARDWARE&SOFTWARE FIREWALLS」から、「Microsoft Windows Firewall」を選択します。これによって、Windowsファイアウォールが有効化されたサーバーが作成されます。

次の画面は、サーバー作成後の、Windowsファイアウォールの画面です。この画面は、コントロールパネルを開き、System and SecurityからWindows Firewallをクリックして表示します。 Windows Firewall StateがOnでファイアウォールが有効になっていることがわかります。

以上で、WindowsにOSファイアウォールが導入できました。次にルールの設定を見ていきます。

Windowsファイアウォールの設定方法
WindowsのOSファイアウォールを設定する方法をご説明します。 Linuxと同じようにOSファイアウォールの導入後の設定はデフォルトの値が設定されている為、サーバーの用途に合わせて変更する必要があります。ここでは、リモートデスクトップ(TCP/3389)のログインをプライベート・ネットワークからの接続に限定するルールを例にご説明します。 Linuxの設定と同じようにこちらもVPN経由でログインした状態で行います。

ルールを設定する前に、初期状態を確認してみます。次の画面は、OSファイアウォールを選択して作成したばかりのWindowsの脆弱性テストの結果です。この結果の5行目に表示されているms-wbt-server(3389/tcp)により、インターネットからも接続ができることが確認できます。

次に、リモートデスクトップ(TCP/3389)への接続をプライベート・ネットワークに限定する設定に進みます。まず、コントロールパネルを開き、System and SecurityからWindows Firewallをクリックして、Windowsファイアウォールの画面を表示します。

次の詳細画面を表示するには、Windowsファイアウォール画面の左にあるAdvanced settingsをクリックします。この画面の左のInbound Rulesをクリックすると、右側の一覧が表示されます。この中からRemote Desktop - User Mode(TCP-in)をダブルクリックしてプロパティを開きます。

次の画面は、開いたプロパティのScopeタブをクリックしたものです。この画面から、リモートデスクトップ(TCP/3389)に接続できるサブネットを設定していきます。この画面の下のRemote IP addressのThese IP address:を選択しAddをクリックします。

クリックにより次の画面が開きます。この画面のThis IP address or subnet:の入力欄に、サブネットの10.0.0.0/8を入力してOKをクリックして閉じます。 SoftLayerではユーザIDごとにアクセス制限がかかっているため、この設定で他のユーザがサーバーにアクセスすることはできません。

最後に、プロパティのApplyをクリックして、ファイアウォールの設定は完了です。

では、Windowsファイアウォールの設定が期待通りに働いているかどうか確認します。次の画面は、ルール変更後の脆弱性テストの結果です。初期状態で表示されていたms-wbt-server(3389/tcp)がなく、インターネットからログインできないことが確認できます。

これで、Windwosへの接続は、プライベート・ネットワークからの接続に限定されて、インターネットからのログインはできないようになりました。

脆弱性検査でリモートデスクトップ(TCP/3389)以外のポートは検出されませんでした。しかし、Windowsファイアウォールの画面では、それ以外のポートが開いていることが確認できました。これはサービスが止まっているためと考えられます。必要に応じてさらにファイアウォールの設定を追加して、脆弱性検査で確認しましょう。