RTX1000ルータで確認しています。コマンド、出力結果、動作は、機種、ファームウェアのバージョンで異なる場合があります。資格取得が就職、転職、派遣に有利なのは確かですが、「資格=即戦力」とは言えません。求められるエンジニア(仕事・ジョブ・ワークの達人)としての即戦力を養いましょう。◆静的フィルタリング(TCPヘッダの指定)静的フィルタリングでは、通過させたい通信のために、常に、行きと戻りのパケットを通過させる穴が開けた状態になります。そのため、そこから、クラッカーやウイルスなどから侵入されるリスクが残ってしまいます。Webの通信を通すために戻りのパケットのために、送信元のTCPの80番のポート番号を通すように穴をあけていた場合、クラッカーが送信元ポートを偽装して、不正なパケットを送りつけてくると、ファイアウォールは正規のパケットとして通過させてしまいます。このような不正パケットを遮断するために、ファイアウォールにTCPヘッダ内の情報を見るように、もう少し、細かな条件を加えることができます。◆TCPにおける通信ファイアウォールにおけるTCPヘッダの指定方法について説明する前に、まず、TCPにおける通信を理解しておきましょう。TCPの通信において、スリーウェイハンドシェイクという手順で、接続を確立します。このハンドシェイクで、初期シーケンス番号を交換することで、2つのホストが、それぞれの初期シーケンス番号を同期させています。同期は、SYN(同期制御ビット)と初期シーケンス番号で構成されるパケットを交換することで行われます。その手順は、次のように行われます。送信元が相手に対して、「SYNパケット」を送信する。パケットを受け取った相手は、送信元に接続を許可する「SYN,ACKパケット」を送信する。パケットを送信し、受信側との通信を開始する。スリーウェイハンドシェイクの様子を図で表すと次のようになります。このように、スリーウェイハンドシェイクでは、3つのパケットを往復させることで、コネクションを確立します。上図では、3つのパケットのやり取りしか、表していませんが、この後に続くパケットには、全てACK(アック)のフラグがオンになったパケットを送信します。TCPの通信では、送信側がSYN(シン)のフラグをオンにしたパケットを受信側に送信し、それ以降に続くパケットには、全て確認応答であるACK(アック)のフラグをオンにしたパケットを送ることとなります。◆ファイアウォールにおけるコードビットのチェックTCPヘッダは、次のように構成されています。——→ファイアウォールに、外部から送られてくるパケットのTCPヘッダ内のコードビット内のACKがオンになっているかを確認し、オンになっているパケットだけを通過させるようにすれば、外部からの不正パケットを遮断することができます。TCPにおける通信は、スリーウェイハンドシェイクという手順で、接続を確立しないと通信ができないので、SYNがオンになったパケットを遮断することで、スリーウェイハンドシェイクが確立できなくなり、TCPのコネクションは成立しなくなります。TCPは、このようにスリーウェイハンドシェイクのやり取りを確認することで、静的フィルタリングを細かく指定することができますが、UDP接続の場合、UDPヘッダ内にはコードビットがないので、TCPのような細かな指定をすることができません。この辺りが、静的フィルタリングの限界となります。次の「静的フィルタリングの限界」では、静的フィルタリングの限界について、もう少し、詳しく説明してゆきます。