特集安全なネットワーク 「盗まれて困るようなデータはない ! 」 などと胸を張っても未がないことがお分かりいただけた でしようか。 基本は“外、内、 DMZ ” 外部に公開するサーバーは、誰からどのようにアクセス されるか分かりません。もちろん、不正に侵入される可能 性もあらかじめ考慮に入れておく必要があります。万一 侵入されたときも、内部ネットワークのホストが影響を受 けないように DMZ (DeMilitarized zone) ネットワーク を設け、外部からアクセスできるサーバーはかならず DMZ に接続します。 DMZ とは、日本語では緩衝地帯もしくは非武装地帯な どといわれますが、、、外部でも内部でもない第 3 のネット ワーク " のことです。もうすこし難しく表現すると、、、第 3 のセキュリティ・ポリシーをもつネットワーク " です。じ つは、 DMZ がどの部分のネットワークを指すのかは曖味 端末 で、人によって定義が違ったりする混乱を招きやすい用語 です。 たり、不必要に大きな範囲で許可しなければならなかった このネットワークは、インターネットからのアクセスを りします。しかし、ステートフルなバケット・フィルタリ 制限しているので外部ネットワークではありません。かと ング機能をもっファイアウォールを使用すると、このルー いって、内部ネットワークへの自由なアクセスも許さない ルも簡潔に謎できます。 ので内部ネットワークの一部ともいえません。このような インターネットから DMZ への内向きコネクションにつ 構成は、外部からのアクセスを許しつつも、 DMZ からほ いては、外部に公開するサーバーのプロトコルのみ許可し、 かのネットワークへのアクセスを制限することができるた その他はすべて拒否します。 め、公開サーバーを設置するのに適しています。 前述の、、サーバーホストに侵入されても内部へ被害がお フィルタポリシー よぶのを防ぐ " ということは、言い換えれば、公開サーバー ホストを内部への侵入の足掛かりにさせないということで DMZ を図 1 のように構成した場合、インターネットと す。そのためには、 DMZ から内部ネットワークへの接続 内部ネットワークとのあいだのフィルタリング・ルールは、 もすべて拒否します。ただし、リモートアクセス・サーバー DMZ を設けていないときと同様に考えます。つまり、 から内部へのアクセスも禁止すると、 こには組織の基本的なネットワーク使用ポリシーを適用し ます。多くの場合は、内部からインターネットへの外向き 「リモートからアクセスでけへんリモートアクセス・サー のコネクションは、、デフォルト許可 " の方針で言妬 t し、拒否 バーなんて、未ないやんか」 するルールを追加していけばよいでしよう。 反対に、インターネットから内部ネットワークへの内 などと言われるでしよう。だからといって、リモートアク 向きのコネクションは絶対に許可してはいけません。しか セス・サーバーから内部ネットワークへのアクセスをすべ し、外向きに張ったコネクションの戻りバケットは許可す て許可するのはたいへん危険です。現実には、 DMZ から る必要があります。単純なフィルタリング・システムでは、 アクセス可能な内部ホストは少数に絞り、さらに特定のプ この、、戻りバケットを許可するルール " の記述が面倒だっ ロトコルだけを許可するルールを譿定します。 図 1 DMZ ネットワークの構成例 インターネット 三ー DMZ ネットワーク ロ ロ ロ ロ ファイアウォール 内部ネットワーク 公開サーバー 44 UNIX MAGAZINE 2004. 1

連載 /UNIX Communication Notes ーー 0 図 3 VPN ルータを用いたレイヤ 2 拡張 (SSH 、 PPTP など ) ロ ネットワーク 1 ( 163.221.1 / 24 ) インターネット ロ 163.221.1.153 VPN ルータ その他のパッケージ VPN ルータ ーインターフェイス ネットワーク FreeBSD 用に開発されたパッケージだが、残念ながら に MPD (Multi-line PPP Daemon) も有名である。 PPTP を利用するためのパッケージは、 Poptop 以外 NetBSD には移植されていない。 いたい ) 。 から導入できる ( 言田は、上記のページなどを参照してもら 最新バージョン ( 執筆時は 3.14 ) は、 FreeBSD の ports ・ http://www.dellroad.org/mpd/ MPD に関する情報は、下記の URL で得られる。 いであろう。 サーバーを構成する場合は、 MPD の導入を検討してもよ 理も高速である。 FreeBSD べースのシステムで PPTP netgraph という機能を用いて実装されており、 PPP の処 に導入できる。 MPD は、 FreeBSD の特徴の 1 つである FreeBSD ではパッケージが用意されているので、簡単 方法、もう 1 つは遠隔地にある 2 つのネットワークを仮想 は、端末に対して VPN によってネットワークを拡張する 11 月号で、 VPN の 2 つの実現方法を説明した。 1 つ のが IPsec である。 VPN について述べるうえで、もう 1 つ忘れてならない IPsec UN 工 X MAGAZINE 2004. 1 VPN の旧 ノヾーチャ丿レ ネットワーク インターフェイス 的に同一のネットワークとして運用するというものである。 図 3 ~ 4 に、それぞれの典型的な構成方法を示す。前者の 代表例が SSH や PPTP などによるアクセスであり、後 者のイ弋表例が IPsec を用いたネットワーク拡張である。 IPsec とは何か もともと、 IPsec はネットワーク層のプロトコルであ る IP におけるセキュリティ拡張機能として定義された。 IPsec は IPv4 ではオプションだが、 IPv6 では必須実装 機能となっているため、 IPv6 でのセキュリティ機能強化の 中心的な存在となっている。 IPsec では、 ・トランスポート・モード ・トンネルモード という 2 つのモードが考えられてきた。 トランスポート・モードは、インターネット上の任意の 2 つのホスト間での通信を暗号化によって保護するための 機構である。これは、各工ンドノードに IPsec が実装され ていなけれは利用できないこともあり、これまでのところ はあまり普及していない。 トンネルモードは図 4 に示したような考え方で、 IPsec を用いて遠隔地の複数のネットワークを仮想的に統合し、 さらに、それらのネットワーク間の通信を暗号化して保 護しようというものである。 VPN は、 Virtual Private 67

図 3 構築するネットワーク構成 インターネット ファイアウォール ADSL モデム DMZ ネットワーク ( 192.168.0.0 / 24 ) ロ メールサーバー Web サーバー FTP サーバー SSH サーバー PPTP サーバー 内部 DNS サーバー ・ PPPoE (PPP over Ethernet) の糸村崙 ・バケットのフィルタリング 内部と DMZ 用の NTP サーバー ・ DMZ 用の DNS サーバー PPPoE の終端は、ファイアウォール・ホストではなく、 プロードバンド・ルータでおこなうという選択肢も考えら れますが、 1 つにまとめても問題はないのでこのようにし ました。ただし、 PPPoE の終端はそれなりに負荷のかか る処理のようなので、十分に速い CPU の PC が用意で きなければ分離するほうがよいでしよう。なお、今回の環 境では CPU が Celeron 560MHz の PC を使っていま すが、これまでとくにイ ; 合は感じていません。ですから、 、、十分に速い " といってもその程度です。 バケットのフィルタリングについては、ステートフルな バケット・フィルタリングをおこなうため、 (ipchains で はなく ) iptables を使用します。 今回のファイアウォールは、 DMZ からほかのネット 内部ネットワーク ( 192.168.1.0 / 24 ) 端末 UNIX MAGAZ 工 NE 2004. 1 特集安全なネットワーク ワークへの接続はデフォルト拒否、インターネットへの SMTP のみ許可する方針で設定します。そのため、 DMZ ネットワークのホストに対して DNS と NTP のサービス を提供します。 OS のインストール Red Hat Linux のインストール手川頁の詳細は説明しま せん。途中でファイアウォールの設疋について訊かれると ころがありますが、そこでは、、 N 。 firewall" を j 尺してく ださい。 基本的には、必要最低限のパッケージだけをインストー ルします。ただし、プログラムをコンパイルするための GCC と、 OpenSSH のパッケージはインストールしてお きましよう。ファイアウォールでは、 X ウインドウ・シス テムやドキュメント・ツール、ネットワーク・サーバー類 は不要です。ただし、調子に乗って削りすぎると依存関係 ・・といわれることもあります。 1 つ削りそこねたから どうこうというものでもないので、「よっしや、なにがなん でも削ったるで」と根を詰めるほどの必要はありません。 OS のインストールが終ってシステムが起動したら、次 のコマンドを実行して開いているポートを調べます。 netstat —an 最初の段階では、 22 番 (ssh) と 123 番 (ntp) だけカ畤 受け状態になることを目指して、ネットワーク・サービス を停止していきます。 ネットワーク・サービスを提供するデーモンプロセスは、 ディレクトリ /etc/rc?. d の下にあるスクリプトから起動 されます。よって、 こから不要なスクリプトを消去すれ ばよいのですが、 Red Hat Linux では該当するファイル を rm や mv で消すのではなく、 chkconfig というツール を使います。 現在の設疋内容を確認するには、図 4 のように プションを指定します。 ファイアウォール・ホスト上では、 sshd と named 、 ntpd 以外のネットワーク・デーモンは停止します。よっ て、 xinetd は不必要なので、次のコマンドを実行し、プー ト時に xinetd を起動しないようにします ( オプションの 意未は、 chkconfig のマニュアルを参照してください ) 。 # /sbin/chkconfig ——level 345 xinetd off —list オ 47

図 2 危険なネットワーク構成 内部ネットワーク ロ 公開サーバー 端末 インターネット ロロロ 一方、内部ネットワークから DMZ へのアクセスはすべ て許可してもよいでしよう。 もし可能であれば、 DMZ から外部への接続は拒否する ほうがよいと思います。これは、サーバーホストがほかの サイトへの攻撃の踏み台として悪用されるのを防ぐためで す。 ダメな言十とその理由 ときどき、図 2 のような構成で公開サーバーを内部ネッ トワークに接続しているのをみたり、同様な構成を紹介し ている文献をみかけることがあります。 このようなネットワーク構成は、、、手軽でお金がかから ない " というメリットとともに紹介されることが多いので すが、ルータでフィルタリングするか否かにかかわらず、た いへん危険なので絶対にマネしてはいけません。たとえ公 開サーバーを安全に構築したとしても、危険であることに 変わりはありません。 この構成では、さきほど述べたセキュリティの基本方釣・ が考慮されていません。つまり、いったん公開サーバーへ 侵入されると、内部ネットワークへのアクセスを食い止め られなくなってしまうのです。攻撃者の立場からみると、 たとえばサーバーホスト上で root の権限を奪ってから、 UN 工 X MAGAZ 工 NE 2004. 1 特集安全なネットワーク ネットワーク上に流れるパスワードを盗み、それを使って ほかのホストヘログインするという一連の攻撃が容易にお こなえます。 「内部ネットワークでも、リモートログインには SSH を 使うてるから大丈夫 ! 」 という人でも、ファイルの転送には FTP を使っていたり しないでしようか。 内部ホストへの侵入は、パスワードの覗き見によるも のだけでなく、そのホストで動いているサーバープロセス への攻撃によっておこなわれる場合もあります。したがっ て、ワームが内部ネットワークの計算機に侵入することも ありえます。 これまで安全だといわれていた Apache ですら、 root で侵入できるセキュリティ・ホールが発見されました。最 近は、 SSH にも定期的にセキュリティ・ホールが発見され ています。もはや、放っておいても 100 % 安全といえるよ うなサーバーはありません。もう一度書きますが、糸寸に 公開サーバーを LAN にキしてはいけません。 リモートロクイン ファイアウォール・ホストにリモートログインするとき は、たとえ LAN 内からであっても、通信を暗号化しない telnet や rlogin などは使わす、 SSH を利用しましよう。 また、ファイアウォール・ホストヘログインできるユーザー を制限し、アカウント管理も厳しく運用すべきです。 インターネットからファイアウォール・ホストへのリモ ートログインは禁止します。 SSH だったらよいというこ ともありません。外部からのアクセスはすべて禁止、カ源 則です。 もちろん、原則は守らなければいけません。しかし、緊 急事態が生じたときには、原則を曲げざるをえないことも あります。たとえば、ホストの管理者力外出中に緊急の保 乍業が必要になっても、出先からログインできなければ お手上げです。 このようなときは、インターネットからのログインに利 用するホストをあらかじめ決めておき、その IP アドレスか らの接続だけ許可するフィルタを設定します。ただし、 の IP アドレスは、 ( PPP 接続で動的に割り当てられるよ うな ) 誰カ駛うのカ吩からないようなものではいけません。 45

otice ・ 1 / 2004 lnter BEE 2003 / 林ロ真 11 月 19 日 ~ 21 日の 3 日間、千葉の幕張メッセで、 写真 1 lnter BEE 2003 国内最大級の放送機器展 lnter BEE 2003 (lnterna- tional Broadcast Equipment Exhibition 2003 ) [ 1 ] が開催されました。 音響機器や映像・放送機器に関連する企業を中心とす る 620 社が、幕張メッセの 6 つのホールを使った会場 にプースを構えていました。 lnternational" と謳っ ているだけあって、日本以外の 26 カ国からもべンダー が参加しています。 今年の lnter BEE の展示の主力は、従来と同じく映 像・音響機器です。北米で開催されている NAB (Na- tional Association of Broadcasters) と比較すると、 写真 2 昜風景 ネットワークと放送を融合させる試みはほとんどみられ ません。 以下では、かなり苦労してみつけたネットワーク関連 の展示のなかから、目についた製品をいくつカ齠介しま す。 ネットワーク映像伝送装置 必要としますが、後者では圧縮後の比較的小さなデータ を伝送するため、より狭いネットワーク帯域でも利用で インターネットを利用した映像中継システムは、イベ きます。 ントや遠隔会議、遠隔講義、医療分野などで利用され始 i-Visto HDTV システム めています。龝医業界でも、 IP ネットワークを前提とし たシステムカ嶝場し、報道番組や龝医局間の素材伝送な HD (High Definition) の非圧縮映像を IP で伝送す どに使われるようになってきました。 る HD over IP の製品として、 ~ 日甬イ言機 [ 2 ] が NTT ネットワークを利用した映像伝送は、大きく分けると ネットワークサービスシステム研究所と共同で開発した 次の 2 つのアプローチがあります。 「 i-Visto インターネット HDTV ビデオスタジオシステ ム」 ( 写真 3 ) を展示していました。 ・映像信号を圧縮せず、そのままネットワークで伝送す る方式 HD MPEG-2 TS over IP ・ MPEG-2 TS (Transport Stream) などのプロト HD MPEG-2 TS over IP の製品紹介の一環として、 コルを用いて圧縮した映像を伝送する方式 日本ビクター [ 3 ] と IBE[4] のプースを会場内光ファイ 前者では高画質を保持したままイ星延で伝送できます バーおよび NTT の B フレツツ回線の両方で結び、プー が、後者では圧縮・展開にかかる負荷のために多少の遅 ス間での HD 映像伝送のデモンストレーションがおこな 延が生じます。逆に、前者は膨大なネットワーク帯域を われていました ( 写真 4 ) 。 34 UN 工 X MAGAZ 工 NE 2004.1

連載 /UNIX Communication Notes UNIX MAGAZ 工 NE 2004. 1 が多い。原因を調べると、 PPTP 自体のトラフィックを拒否し る大学に PPTP でアクセスしようとしても、接続できないこと は IPv4 と NAT との組合せで実現しているため、私の所属す 25Mbps のリンクを提供しているようだ。ところが、ほとんど ゲートウェイから客室までは VDSL による 10Mbps または くの場合、ホテルは直接 ISP のネットワークに接続しており、 のインターネット・アクセスを提供するところカ寸曽えてきた。多 最近、米国などのホテルでは、客室内からプロードバンドで よく検副する必要がある。 については、組織全体でどのような方針をとるかを事前に 題になることがある。したがって、 PPTP サーバーの設置 しかし、細織内に PPTP サーバーが増えると管理上の問 的には、内部ネットワークでのアクセスを制限するとよい。 ポリシーを十分に考慮したうえで設計すべきである。一般 きをどのようにアクセスさせるかは、糸哉のセキュリティ・ は、図 1 の 1 ~ 3 に相当する。とくに、 2 の〃からさ トラフィック・マーキングをおこなう上記の 3 つの地点 簡単である。 いれば、ルータなどでフィルタリングを言するときも 対して特定のアドレスプロックから割当てをおこなって 定のフィルタリングを施したい場合、それらのホストに 組織内で、 PPTP 経由でアクセスするホストについて特 当てるのがよい。 ネットワークのアドレスプロックは、特定のものを割り ・ PPTP 経由でアクセスするホストに割り当てる組織内 アクセスさせてもよい。 頼を置けるのであれば、組織内ネットワークに無制限に ん、 PPTP 経由でアクセスしてくるユーザーに全幅の信 へのアクセス制御をおこなってもよいであろう。もちろ セスできないように糸各を静的に設疋したり、サービス ポータルやグループウェア・サーバーなど ) にしかアク いは特定のネットワーク・サービス ( 組織内の WWW 変わる。たとえば、〃からは特定のネットワーク、ある するかは、その細織のセキュリティ・ポリシーに応じて からさきの内部ネットワークへどのようにしてアクセス のためのゲートウェイとして機能する。したがって、丑〃 ・〃〃は、外部から PPTP を介してアクセスするホスト ウォールそのものへの負荷カ減できる。 ルの前段に設置した負荷分散器で処理すると、ファイア て実現できるので、 11 月号で紹介した、ファイアウォー 図 1 PPTP トラフィックだけをバイバスさせる構造 インターネット 負荷分散器 要素ファイアウォール 企業内ネットワーク ( 内部 ① TCP/1723 、 GRE で Hp と通信 ② Hp(PPTP サーバー) VPN →非 VPN への変換 PPTP ノードへのゲートウェイ OPPTP ノード用の バーチャル・ネットワーク ているところもあるが、圧倒的に多いのは GRE の通過を許さ ないゲートウェイを使っているケースである。つまり、ホテルの NAT ゲートウェイが、 PPTP に必要なトラフィックを拒否して いるのである。この問題を解決するには、ホテルに設置されてい る NAT ルータの言定を変えてもらうしかないが、これはそう簡 単な交渉ではない。メールなどのやりとりは・商になっても、組 彳物内ネットワークのサービスカ吏えないようなできの悪い PPTP (NAT ルータ ) の言定には、正直なところ腹立たしい思いをする ことがある。 やつばり暗号化は使いたい さて、前号で説明した PPTP の設疋では、 VPN の本 来の長所である通信データの暗号化はいっさいおこなわれ ない。これは、たいへん悲しい状況である。 VPN の重要な機能の 1 つは、トンネリングを用いたネッ トワークのイ反想的拡張であるが、もう 1 っ忘れてはいけな いのが通信の暗号化である。とくに、糸目織内ネットワーク へのアクセスを前提とする VPN では、トラフィックの暗 号化が強く求められる。容易に想像できると思うが、 VPN 上を流れる情報は、本来は糸目織外の人にはみせたくないも のが多く含まれているからである。 65

IPv6 の実装 旧 v6 モビリティ ( 3 ) 2003 年 11 月 10 日から 14 日にかけて、米国のミネ アポリスで第 58 回 IETF ミーティングが開催されまし た。 MobiIe IPv6 に関する話題は 11 月 10 日の MIP6 (Mobility for IPv6) 分科会で議論されました。 MIP6 分 科会は、 Mobile IPv6 の基本仕様の安定化や、不足してい る周辺仕様について議論するために新しく設立された分科 会です。 今回の会議では、以下のような項目カ論されました。 ・ MobiIe IPv6 の MIB (Management lnformation Base) ・ Mobile IPv6 Socket API ・遠隔相互接続テストを実現するための遠隔ネットワーク ・ホーム・エージェント多重化のための俶兼 ・マルチホームの考察 糸各最適化の条件の考察 MIB や Socket API に関する議論が前面に出ているこ とから分かるとおり、 MobiIe IPv6 は、仕様策定の段階か ら利用場面の考察の段階へ移行しています。事実、今回の 会議では基本仕様についての議論はありませんでした。さ らに、テスト・ネットワークの仕様や多重化の提案は、実 装や運用面における関心力皜まっていることを意味してい ます。 入りました。 IANA がモビリテイへッダにプロトコル番号 IETF ミーティングの期間中に嬉しいニュースが 1 つ 今回から、 MobiIe IPv6 の固定ノードの処理の解説を IPv6 RFC の発行は秒読みの段階に入っています。 を割り当てたのです。新しい番号は 135 番です。 MobiIe UNIX MAGAZINE 2004. 1 始めます。 固定ノードの機能 Mobile IPv6 では、移動ノードの通信相手が Mobile IPv6 をまったくサポートしていなくても、問題なく通信で きるように言妬されています。この特徴は、 Mobile IPv6 をインターネットに広める際に重要な意味をもちます。移 動ノードと通信する可能性のある IPv6 ノードを、すべ て Mobile IPv6 対応に更新しなければならないとしたら、 Mobile IPv6 は普及しないと思われるからです。 ただし、この後方互撫性にはそれなりの代償がともない ます。 Mobile IPv6 では、移動ノードとの通信にかなら すホームアドレスカ駛われます。ホームアドレスは、移動 ノードが本来属するネットワーク ( ホーム・ネットワーク ) 上のアドレスであり、移動ノードがどのネットワークに接 続しても不変です。移動ノードは、自分の現在位置とホー ムアドレスの組を、つねにホーム・ネットワーク上で運用 されているホーム・エージェントに通知しておきます。移 動ノードと通信するノードは、移動ノードの現在位置にか かわらず、つねにホームアドレスと通信します。移動ノー ドがホーム・ネットワークから離れている場合は、ホーム・ ェージェントカ玳理受信し、移動ノードの現在位置に転送 します。逆に、移動ノードから j 当言されるバケットは、いっ たんホーム・エージェントに転送され、あたかもホーム・ ネットワークから送信されたかのように処理されます。 すなわち、移動ノードとの通信はかならずホーム・エー ジェント経由になります。この糸各は、移動ノードとホー ム・エージェントのネットワーク的な距離が遠く、逆に移動 ノードと通信相手の距離が近いほど無駄が大きくなります。 すぐ近くにいる通信相手にバケットを送信するために、わ 97

連載 /UNIX Communication Notes 図 4 VPN ルータを用いた中継 (IPsec など ) ロ ネットワーク 1 ( 163.221.1 / 24 ) VPN ルータ 1 ネットワーク インターフェイス ネットワーク 1 三 ( 163.221.1 / 24 ) 図 5 IPsec を有効にするオプション インターネット VPN ロ ネットワーク 2 ( 163.221.2 / 24 ) : / ヾーチャ丿レ丿レータ VPN ルータ 2 ネットワーク 2 インターフェイス ネットワーク ( 163.221.2 / 24 ) : options IPSEC options IPSEC—ESP #opt ions IPSEC—DEBUG # IP security # IP security (encryption part ; define w/IPSEC) # debug for IP security Network という名前からも分かるように、プライベート・ ネットワークのイ反想的な拡張という未合いをもっている。 つまり、トンネルモードは VPN で当初から考えられてき たものといえる。このため、 IPsec のトンネルモード機能 を実装した VPN ルータも数多い。 私カ所属する奈良先端科・学肢術大学院大学情報科学研究 科では、幅広い産学共同プロジェクトを推進しているが、 在京企業とのより緊密な共同研究を推進するために、東京 にリエゾンオフィスを設置した。その際、 IPsec を用いた VPN ルータを奈良キャンパスと東京オフィスの両方に設 置し、キャンパス・ネットワークのイ反想的な拡張を実現し、 東京オフィスでもキャンパス・ネットワーク内と同様のサ ービスおよび操作性を提供している。この種の VPN ルー タとしては、早くから製品化していた NetScreen のもの カ陏名だが、 Cisco Systems などの大手べンダーも VPN 機能をもつレイヤ 3 スイッチを販売している。 IPsec では、 2 つの重要な機能力甘是供される。 1 つは通 信相手が誰であるかの特定、もう 1 つはデータが通信路 の途中で改竄されていないかの確認である。これらの機能 を提供しているのが、 AH (Authentication Header) と 呼ばれるオ内へッダを構成する機構である。暗号化の処理 は、 IPsec における ESP (EncapsuIated Security Pay- load) を構成する機構として実装され、さまざまな暗号化 方式カ吏えるようになっている。 68 現在、 IPsec は IPv6 上での実装が進めら楸さまざま なプラットホームに IPv6 の機能とともに組み込まれてい る。もちろん、 NetBSD でも IPsec の機能力坏リ用できる。 そこで、以下ではこの機能を用いた VPN の構成について 考えてみよう。たとえば、図 4 を構成するゲートウェイ、 そして VPN ルータ 1 ~ 2 を NetBSD で構成してみる。 カーネルを作りなおす NetBSD 上での IPsec の実装は、 AH および ESP の 処理についてはカーネルの内部で実装されている。 IPsec は、実祭には AH と ESP のほかに IKE (lnternet Key Exchange) と呼ばれる機能から構成される。 IKE は暗号 鍵を自動的に交換する機能で、ユーザー空間で実装されている。今 回の VPN の言屶では IKE の機能は使わないので、説明は省略 する。未のある人は、 NetBSD の WWW サイトやオンライ ン・マニュアル racoon ( 8 ) を手、かりにするとよい。 IPsec の機能をカーネルに組み込むためのカーネル・オ プションは、標準では有効になっていない。そこで、まず カーネルに IPsec 機能を追加する必要がある。それには、 カーネルのコンフィギュレーション・ファイルを編集し、 IPsec 関連の 2 つのオプションを有効にする ( 図 5 ) 。 3 つ 目の IPSEC-DEBUG は、 IPsec のカーネルコードをデ バッグする際に使われていたオプションなので有効にしな くてもよい。 UN 工 X MAGAZINE 2004. 1

安全なネットワ リスト 1 iptables の言正 # ! /bin/sh PATH=/sbin: /bin: /usr/bin: /usr/sbin rmmod ip—conntrack—ftp modprobe ip—conntrack—ftp 100Se = 1 # # # ポリシーの初期設定 modprobe ip—conntrack—pptp # # 変数の定義 EXTERNAL_ 工 NTERFACE= " ppp0 " INTERNAL_INTERFACE="eth0" DMZ_INTERFACE="eth1 " # 外側インターフェイスの IP アドレス 特集 PASV モードを通すために 100Se = 1 が必要 # PPTP 用 ( パッチが必要 ) # 外側インターフェイスの名前 # 内側インターフェイスの名前 # DMZ 側インターフェイスの名前 IPADDR= ' ifconfig $EXTERNAL—INTERFACE BCAST= ( ifconfig $EXTERNAL—INTERFACE ー \ # 外部ネットワークのプロードキャスト・アドレス —e d ( # 内部ネットワークのプロードキャスト・アドレス INTERNAL_BCAST= ( ifconfig $INTERNAL—INTERFACE ー \ # 内部ネットワーク・アドレスのマスク長 INTERNAL_MASK= ' /sbin/ifconfig $INTERNAL—INTERFACE ー \ # 内部ネットワーク・アドレス INTERNAL—LAN—X= ( netstat —rn ー grep $INTERNAL-INTERFACE ー \ grep $INTERNAL_MASK ー grep 0.0.0.0 ー cut -fl ¯d' , ( INTERNAL-LAN=$INTERNAL_LAN_X/$INTERNAL-MASK # DMZ ネットワーク・アドレスのマスク長 DMZ_MASK= ( /sbin/ifconfig $DMZ—INTERFACE ー \ # DMZ ネットワーク・アドレス DMZ_LAN—X= ' netstat —rn ー grep $DMZ-INTERFACE ー \ grep $DMZ—MASK ー cut —fl —d' , ( DMZ_LAN=$DMZ_LAN_X/$DMZ_MASK ANYWHERE="O . 0 . 0 . 0 / 0 " # # 以下の設定を実行しているあいだはバケットの転送を停止する ech0 0 > /proc/sys/net/ipv4/ip-forward # # すでに設定されているルールを消去する iptables iptables iptables iptables iptables —F —t nat -X ALOG —P INPUT DROP —P OUTPUT ACCEPT UNIX MAGAZINE 2004. 1 ーク① 57

特集安全なネットワーク あくまでも、使用者を特定できる IP アドレスを、、決め打 ち " で指定します。間違っても、インターネット全体から アクセスできるようにしてはいけません。さきほども触れ たように、 SSH のサーバー・プログラムにもいくつかのセ キュリティ・ホールがみつかっています。、、 SSH を使うて るから、糸鰊寸に安全や " などと過信するのは勿です。 リモートアクセスと VPN 冒頭で述べたとおり、最近は ADSL 回線も驚くほど安く なり、誰もが当り前のように自宅からインターネットに常 日妾続しています。となると、自宅から会社のメールサー バーに接続してメールを取り込んだり、会社の計算機にロ グインしたくなります。 現在、このような目的には SSH を使うのが一般的だと 思います。しかし、 Windows で SSH を利用しようとす るとアプリケーションをインストールしなくてはなりませ んし、ポートフォワードなどの設定もそれなりに面倒です。 そこで、 Windows ユーザーには PPTP (Point-to-Point Tunneling Protocol) による VPN (Virtual Private Network) サービスを提供するのがよいでしよう。 こで注意してほしいのは、、、リモートアクセス・サービ スはセキュリティ・レベルを下げる " ということです。セ キュリティ対策のうえでは、外部からはいっさい内部にア クセスできないようにするのか理想です。しかし、理想だ けでは現実は乗り切れません。そこでリモートアクセス・ サーバーを設置するわけですが、それでも、 、、リモートア クセス・サービスを提供するとセキュリティ・レベルは下 がる " ことは憶えておきましよう。 リモートアクセス・サーバーを設置する場合は、どこに 置くかをよく考えなければいけません。 PPTP について いえば、どこからどこに VPN を張るかということです。 便利さを優先させるなら、ファイアウォール・ホストで SSH と PPTP のサーバーを動かそうと考えるかもしれま せん。つまり、ファイアウォールとリモートアクセス・サー バーが仲よく同居するわけです。しかし、このような構成 にすると、 SSH や PPTP のサーバー・プログラムに外部 から侵入できるようなセキュリティ・ホールが発見された 場合、即座に内部ネットワーク全体が脅威にさらされるこ とになります。したがって、ファイアウォール・ホストと リモートアクセス・サーバーを同居させてはいけません。 46 一方、 DMZ に設置した場合は、内部ネットワークとの あいだにファイアウォールがあるため、フィルタリングに ある程度は内部ネットワークを守れるようになり ます。このように構成したときも、リモートアクセス・サ ーバーから内部ネットワークへのすべてのアクセスを許可 よって、 ファイアウォール・ホストには、以下の機能をもたせる ファイアウォール・ホストの構築 ます。 公開サーバーなどの残りのホストについては次回に紹介し 今回は、ファイアウォール・ホストの構築手順を紹介し、 とで、 1 台のホストにすべてを任せることにしました。 は楽になります。しかし、、、とりあえすは様子見 " というこ ( つまり 1 ホスト 1 サーバーで ) 運用するほうが管理作業 では、それぞれのサーバーには専用のホストを割り当てて のホストですべての公開サーバーを運用します。私の経験 バーも Red Hat Linux 9 で構築します。今回は、 1 台 を使っています。同様に、公開サーバーと内部 DNS サー プタをもつ L ⅲ ux マシンです。 OS は、 Red Hat Linux 9 ファイアウォール・ホストは、 3 つのネットワーク・アダ なネットワークを構築することになりました。 こまでに述べた設計方針により、結果的に図 3 のよう ネットワークの構築 るからです。 への侵入、 DMZ から内部への侵入が同じ手法でおこなえ キュリティ・ホールがみつかった場合に、外部から DMZ ホストで同じサーバー・プログラムを利用していると、セ ロトコルは、別のものを使うほうがよいでしよう。両方の リモートアクセス・サーバーから内部ホストに接続するプ からリモートアクセス・サーバーに接続するプロトコルと、 さらにセキュリティ的な理想をいえば、インターネット に保守管理をおこなう必要があります。 こまめ キュリティ・パッチカ咄たらすぐに適用するなど、 できる内部ホストのサーバー・プログラムについては、セ さらに、リモートアクセス・サーバーとそこからアクセス ロトコルによるアクセスだけを許可するようにしましよう。 してはいけません。特定の内部ホストに対して、特定のプ ことにします。 UNIX MAGAZ 工 NE 2004. 1