質問: 現在CentOS7のFIrewalldの検証を行っており、 以下の疑問を持っています。 ◆疑問 Firewalldはステートフルインスペクション機能が無いのか? (戻り通信も許可設定を行わないといけないのか?) FW機能を持ったNW機器でも、機能がないものがあるため、Firewalldは どちらかを調査したく以下の検証を行いました。 ◆検証内容 Window端末にOracleVMで仮想マシンを立て、 CentOS7を導入しました。 そのCentOS7のfirewalldにて以下の設定を行いました。 (ダイレクトルールを使用しています。また、設定後は毎回firewall-cmd --reloadを実施しています。) 1 firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p tcp -s -m state --state NEW,ESTABLISHED,RELATED -d --dport 22 -j ACCEPT 2 firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 200 -j DROP ステートフルインスペクション機能があれば、 1+2の設定でもSSH通信できると考えていましたが、不可でした。 (1のみの時はSSH通信可能であることは確認済です。) また、1+2の設定に以下を追加してみました。 3 firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 2 -p tcp -s --sport 22 -j ACCEPT 4 firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 2 -p tcp -s --sport 22 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT 1+2+3はSSH通信成功し、1+2+4は失敗しました。 ◆考察 検証結果より、現時点ステートフルインスペクション機能は無いのでは?と考えていますが、以下の疑問が残っています。 別サイト記事でfirewalldは「ステートフルパケットインスペクション」が可能という記事を見つけましたが、「ステートフルインスペクション」とは別物であると考えたほうがいいのでは?と考えております。 また、firewall-cmdコマンド内のstateモジュールが適切に使用できているかが少し自信がないため、有識者にアドバイス頂きたいと考えています。 ◆対象の別サイト記事 http://itpro.nikkeibp.co.jp/atcl/column/14/072400026/072400001/ 以上になります。 お手数ですが、アドバイスをお願いいたします。
回答: > > 別サイト記事でfirewalldは「ステートフルパケットインスペクション」が可能という記事を見つけましたが、「ステートフルインスペクション」とは別物であると考えたほうがいいのでは?と考えております。 > > > 「ステートフルインスペクション」も、「ステートフルパケットインスペクション」も同じだと思ってますが違いますかね? 前者はCheckPointのFirewall-1由来、後者はCiscoあたりでよく見る言葉くらいの認識です。 肝心の部分の回答は検証してみないとですが、とりあえず参考資料だけ置いておきますね。 ステート機構