質問: ### 疑問 現在自宅ネットワーク内にサーバーを設置しています。 小規模ですのでDMZは使用しておらず、ルーターのファイアーウォール(と言うよりNAPT)で必要なポートのみ外部に公開しています。 (もちろん、キチンとしたネットワークにするためにはDMZを利用すべきである事は理解しています) 以前は未熟でしたので(今も未熟ですが......)、「NAPTがあれば悪意のあるパケットは内側に流れてこないし、サーバーのファイアーウォール(iptables)は要らないよね」と思い設定していませんでした。 最近になって「サーバーやルーターに脆弱性があった場合の被害を最小にするために、NAPTがあっても各サーバーにiptablesは設定すべきでは?」という疑問が浮かんできており、今の自分の知識ではどちらが正しいのか判断出来そうにないので質問するに思い至りました。 ### 懸念 iptablesを使用する事によるオーバーヘッドを懸念しています。 多少のCPU/メモリ消費は厭わないくらいの余裕はあるのですが、応答速度はより早い方が良いかと考えています。 iptablesを使用した場合のオーバーヘッドは無視できる範囲でしょうか?(具体的には、ルーターと同じようにポートによるパケットフィルタを設定しようと思っています。) それとも、少なくないオーバーヘッドがあったとしてもiptablesを設定するくらいセキュリティを優先すべきでしょうか? 未熟故、拙い質問かも知れませんが、ご教示いただければ幸いです。
回答: > > 各サーバーにiptablesは設定すべきでは? > > > 単純に考えてやったほうが良いと思いますよ。脆弱性がないことは保証できませんので 二重三重に設定してると、厳しくしすぎたセキュリティのせいで設定が面倒になることはありますけど > > iptablesを使用する事によるオーバーヘッドを懸念しています。 > > > 実際動かしてみないと分からないと思いますがiptablesで激的に処理スピードが落ちることはないかと、また上位(ルータ等)で防いでいるならなおさら 以前、私も自宅にサーバーを立ててましたが、ルーターである程度(ブラックリスト)弾いて、サーバーは使用するポートしか開放しない(ホワイトリスト)と言う設定にしていました。