第10章：システム要塞化 (ufw ファイアウォール設定)

← 目次に戻る

10.1 設定の目的：
本章の目的は、全てのサービス移設が完了した主機 s2 において、外部からの不正アクセスを遮断しつつ、正規のサービス（Web/DNS/Mail/FTP）と内部管理（SSH/ISPCパネル）の通信路を不退転の規律で保護することである。特に管理ポートを内部ネットワークに限定し、攻撃の入り口を最小化する。

10.2 作業内容：防御陣の構築

設定をリセットし、以下の順序で「許可」を積み上げた後に有効化（Enable）する。

【警告】 SSH許可を出す前に ufw を有効化すると、即座にサーバーから締め出される。必ず手順通りに執行せよ。

ステップ 1：管理用ポートの限定開放

SSH(22)および管理パネル(8080)を、信頼できる内部ネットワーク 192.168.0.0/16 からのみ許可する。

執行コマンド

# SSHの許可
ufw allow from 192.168.0.0/16 to any port 22 proto tcp
# ISPConfig 3 管理パネルの許可
ufw allow from 192.168.0.0/16 to any port 8080 proto tcp

ステップ 2：公開サービスポートの一斉開放

外部世界へ提供するサービスの門を、適切なプロトコルで開放する。

執行コマンド

# DNS (Master DNS応答およびAXFR転送に必須)
ufw allow 53/tcp
ufw allow 53/udp

# Web (HTTP/HTTPS)
ufw allow 80/tcp
ufw allow 443/tcp

# FTP (制御ポート21とパッシブ範囲)
ufw allow 21/tcp
ufw allow 40110:40210/tcp

# Mail (配送・提出・受信プロトコル)
ufw allow 25/tcp
ufw allow 465/tcp
ufw allow 587/tcp
ufw allow 143/tcp
ufw allow 993/tcp
ufw allow 110/tcp
ufw allow 995/tcp

ステップ 3：内部通信セグメントの全開

Storage NASとのNFS通信や、将来のs3ミラー機との同期に支障が出ないよう、200系セグメントを完全に信頼する。

ufw allow from 192.168.200.0/24

ステップ 4：ファイアウォールの有効化

ufw enable
# "Command may disrupt existing ssh connections..." と聞かれたら "y" で執行する。

10.3 テストと検証プロトコル

有効化後、以下の3点により「正常な要塞化」が成されたかを判定する。

テスト項目	確認コマンド / 動作	合格基準
設定リストの目視	`ufw status numbered`	22, 8080 が 192.168.0.0/16 限定になっていること。
DNS 外部応答	`dig @192.168.200.226 dazoo.ne.jp`	外部から正しく Answer が返ること。
FTP 最終疎通	FTPクライアントから接続	ログイン成功後、`MLSD`（一覧取得）がタイムアウトしないこと。

最終更新：2026/03/06 | Version：1.0 | L-Core