VPSのファイアウォール完全ガイド：考え方と、各社の機能の違い

レン

ファイアウォールって、なんとなく「守ってくれるやつ」ってのは分かるけど、具体的に何をするものなの？

プロクラ

通信の出入り口を管理するものだよ。サーバーには「ポート」という番号のついた入口がたくさんあって、ファイアウォールは、そのどれを開けてどれを閉じるかを決める役割を持っている。

「危ないものを止める」ではなく「許可した以外を止める」

この向きの違いが決定的です。危ないものを列挙して塞ぐ方式では、知らない危険は素通りします。しかも新しいサービスを入れるたびに、塞ぎ忘れが増えていきます。既定で全部閉じ、必要なものだけ開ける方式なら、忘れても閉じたままです。安全側に倒れる作りかどうかが、この2つを分けています。

レン

危ない通信を見つけて止めてくれるんだよね？

プロクラ

そこが一番の誤解なんだ。実際は逆で、まともなファイアウォールは「許可したもの以外を全部止める」。この考え方をデフォルト拒否と呼ぶよ。

レン

え、全部止めちゃったら何も使えなくない？

プロクラ

そこから必要な分だけ開けるんだ。なぜこの順番かというと、「危ないもの」を全部数え上げるのは不可能だから。明日には新しい手口が出てくる。でも「自分が使う入口」なら数個しかない。数えられないものを拒否するより、数えられるものだけを許可するほうが確実で、漏れが出ないんだ。

ウィルスン

…その通りだ。ワタシが新しい手口を編み出しても、そもそも通り道が開いていなければ意味がない。デフォルト拒否は、ワタシにとって最も面倒な考え方なのだよ。

実際に開ける入口は、たいてい3つ以下

• 22番（SSH）: サーバーを操作するための入口。接続元を自分のIPに絞れるなら、さらに安全
• 80番・443番（Web）: サイトを公開する場合のみ。公開しないなら開ける必要はない
• データベースのポート: 外に出さない。同じサーバーの中からだけ使えれば足りる
• それ以外: 閉じる。使うことになってから開ければよい

プロクラ

特に多い事故が、データベースを外から見える状態で置いてしまうこと。初期設定のままだと外部から接続できてしまう構成もあるから、必ず確認しよう。

サーバーの中で止めるか、手前で止めるか

手前で止められるなら、そのほうが確実です。サーバーに届く前に遮断されるので、中の設定を間違えても影響が及びません。ただし手前の仕組みは事業者ごとに違い、無い場合もあります。両方使えるなら両方に入れておくと、片方の設定ミスをもう片方が受け止めます。

レン

サーバーの中にもファイアウォールの設定があるって聞いたけど、事業者が用意してるものと何が違うの？

プロクラ

止める場所が違うんだ。2種類あると思っておくといいよ。

• サーバー内で動かすもの（ufw、firewalld等）: 通信がサーバーに届いてから判断する。設定は自分の中で完結する
• 事業者が用意するもの（管理画面から設定）: サーバーに届く前のネットワーク側で止める。サーバーが起動していなくても効く

プロクラ

届く前に止まるほうが、サーバーの負荷という意味でも有利だね。ただし、どちらか一方だけにする必要はない。両方かけておくと、片方の設定を間違えてももう片方が残る。

レン

でも二重にすると、通信できない原因が分かりにくくならない？

プロクラ

そこは正直あるよ。繋がらないときに2箇所を見ることになる。だから、どちらで何を許可したかを自分でメモしておくのが実際のコツだね。

各社が用意している機能（当サイト調べ）

プロクラ

事業者ごとに呼び名も範囲も違うから、主なところを並べてみるね。名前が違うだけで、やっていることは「ネットワーク側で通信を止める」で共通しているよ。

• さくらのVPS: パケットフィルター。管理画面から設定できる
• XServer VPS / シンVPS: パケットフィルター。初期セキュリティ設定の手順が公式に用意されている
• ConoHa VPS: 接続許可ポートをコントロールパネルから設定
• クラウドVPS byGMO: VPSパネルからファイアウォールを管理。運用を任せるオプションもある
• KAGOYA CLOUD VPS: セキュリティグループとして、複数サーバーへまとめて適用できる
• Vultr: Firewall Groups。ルールをグループにして複数インスタンスへ適用できる
• Linode（Akamai）: Cloud Firewalls。全リージョンで追加料金なしと案内されている
• DigitalOcean: Cloud Firewalls。許可したルール以外をすべて止める方式
• Amazon Lightsail: インスタンスの管理画面から、開けるポートを選ぶ形式

プロクラ

提供条件は変わることがあるから、料金や適用範囲は申し込み前に各社の公式ページで確認してね。ここに書いたのは当サイトが確認した時点の整理だよ。

設定するときに気をつけること

レン

設定を間違えて自分が入れなくなったりしない？

プロクラ

それが一番多い事故だよ。SSHの許可を入れる前に他を全部閉じると、自分も締め出される。順番として、まずSSHの許可を入れて、接続できることを確認してから、残りを閉じること。

プロクラ

それと、多くの事業者は管理画面からコンソール接続を用意している。ネットワーク経由ではなく直接つなぐ手段だから、締め出されたときの逃げ道になる。使い方を先に確認しておくと安心だよ。

• SSHを許可してから、他を閉じる（逆順にしない）
• 閉じたあと、実際に接続できるか必ず確かめる
• 締め出されたときのコンソール接続の手順を、先に確認しておく
• 接続元IPを絞れるなら絞る。固定IPでなくても、作業する時間帯だけ許可する運用もできる

レン

「全部閉じてから、使う分だけ開ける」。そして順番を間違えない。覚えた。

プロクラ

それができていれば、外から試される攻撃のほとんどは、そもそも届かなくなるよ。