ufwとfirewalld、どちらを使うべきか

レン

ファイアウォールの設定を調べたら、ufwの記事とfirewalldの記事が両方出てくる。どっちを使えばいいの？

プロクラ

どちらも、下にある同じ仕組みを操作するための道具だよ。役割は同じで、使い勝手が違うだけ。だから、両方を入れて両方を有効にする必要はないし、してはいけない。

OSの系統で決まる

• Ubuntu・Debian系 → ufw が既定で用意されていることが多い
• Rocky・AlmaLinux系 → firewalld が既定
• 特に理由が無ければ、そのOSの既定に従うのが素直
• 参考にする手順書がどちらを使っているかも判断材料になる

プロクラ

「どちらが優れているか」で選ぶ場面はほとんど無いよ。それより、自分が読む記事や公式の手順書と揃っているほうが、詰まりにくい。

両方を有効にしない

プロクラ

これが一番の注意点。両方が同じ仕組みへ設定を書き込むので、片方で開けたのにもう片方が閉じている、という状態が起きる。しかも、どちらの設定が効いているのか分かりにくくなる。

• 使うほうを決め、もう片方は無効にする
• どちらが有効かは、サービスの状態を確認すれば分かる
• どちらも有効になっていたら、片方を止める
• 止める前に、必要な通信が残る設定になっているかを確認する

事業者側のフィルターとの関係

プロクラ

多くのVPSには、サーバーの外側にもフィルターがある。こちらとサーバー内の設定は、どちらも通らないと届かない。二重の扉だと考えると分かりやすいよ。

• 外側で塞いでいれば、サーバーには届かない（負荷も届かない）
• 内側だけで塞ぐと、通信はサーバーまで来てから捨てられる
• 攻撃への備えとしては、外側で止まるほうが有利
• 細かい制御は内側のほうがやりやすい

プロクラ

使い分けとしては、外側で大まかに絞り、内側で細かく制御する。両方を使うのが定石だよ。片方だけに頼らないこと。

設定するときの順番

プロクラ

自分を締め出さないよう、順番が大事だよ。特に、既定ですべて拒否する設定にする前には、必ずSSHの通信を許可しておくこと。

• 先にSSHを許可する
• 次に、必要なポートを許可する
• 最後に、それ以外を拒否する設定を有効にする
• 今の接続を開いたまま、別の窓で入れるかを確かめてから閉じる

レン

OSの既定に従う。両方は有効にしない。SSHを先に許可する。

設定が消えていないか

プロクラ

どちらの道具も、有効化を忘れると設定を書いただけで動かない。再起動後に無効へ戻っていた、というのもよくある話だよ。

• サービスが起動時に自動で有効になる設定になっているか
• 再起動後に、規則が残っているかを確認する
• 道具を使わず直接規則を書いた場合、再起動で消えることがある
• 設定した内容を、別の場所にメモとして残しておく

プロクラ

4つめは地味だけど効くよ。サーバーを作り直すとき、同じ設定を再現できるかどうかで手間がまったく変わる。