firewalld（ファイアウォールディー）

2025年11月1日

firewalld（ファイアウォールディー）

英語表記: firewalld

概要

firewalldは、Linuxサーバ環境におけるネットワーク設定を司る、動的なファイアウォール管理ツールです。従来のiptablesに代わり、Red Hat系ディストリビューション（RHEL、CentOS、Fedoraなど）を中心に採用されています。サーバOS（Linux Server）のセキュリティ基盤として、パケットフィルタリングのルールを柔軟かつ安全に管理し、稼働中のサービスを保護する重要な役割を担っています。

このツールが「動的」と呼ばれるのは、設定変更時にファイアウォール全体を再起動する必要がなく、確立された接続を維持したままルールを適用できる点にあります。これは、サーバ基盤の安定運用と、ネットワーク設定の迅速な変更を両立させるために欠かせない機能です。

詳細解説

firewalldは、Linuxサーバ基盤のネットワーク設定において、セキュリティポリシーを効率的に適用するために設計されています。その最大の目的は、サーバへの不正なアクセスを防ぎつつ、必要なサービス（WebサーバのHTTP、リモート管理のSSHなど）だけを外部に公開することです。

firewalldの動作原理と主要コンポーネント

firewalldは、Linuxカーネルに組み込まれているパケットフィルタリング機能「netfilter」のフロントエンド（操作窓口）として機能します。これは、netfilter自体が非常に複雑なため、一般の管理者や認定試験の学習者が扱いやすいように抽象化されたインターフェースを提供している、と考えるとわかりやすいでしょう。

firewalldの理解において、最も重要な概念はゾーン（Zones）です。

ゾーン（Zones）:
ゾーンとは、ネットワークの信頼度レベルに応じて事前に定義されたルールの集合体です。firewalldでは、ネットワークインターフェース（例：eth0）や接続元IPアドレスを、これらのゾーンのいずれかに割り当てます。
例えば、「Public」（公開）ゾーンは信頼度が最も低く、必要なサービス以外はすべて拒否する設定が適用されます。「Internal」（内部）ゾーンは信頼度が高く、より多くの通信を許可する、といった具合です。
代表的なゾーンには、trusted（すべて許可）、home（家庭内ネットワーク）、internal（社内ネットワーク）、public（外部公開ネットワーク）などがあり、サーバの利用環境に応じて適切に使い分けることが、Linuxサーバ基盤のセキュリティ設計の基礎となります。
サービス（Services）:
ゾーン内で特定のポートを開ける際、firewalldはポート番号を直接指定する代わりに、事前に定義されたサービス名（例：ssh, http, https）を使用することを推奨しています。これにより、設定が直感的になり、誤設定のリスクを減らすことができます。
動的な設定管理:
firewalldには、一時的な設定（Runtime configuration）と永続的な設定（Permanent configuration）の2種類があります。
- 一時的な設定：firewall-cmdコマンドで即座に反映されますが、サーバを再起動すると失われます。
- 永続的な設定：再起動後も保持されます。

サーバの運用中、一時的に特定のポートを開けてテストする場合など、システム全体を止めることなくネットワーク設定を変更できる点が、Linuxサーバ基盤の管理者にとって非常に大きなメリットとなるのです。これは、従来のiptablesでは実現が難しかった、動的ファイアウォール管理の真骨頂と言えます。

具体例・活用シーン

firewalldがLinuxサーバのネットワーク設定においてどのように役立つのかを、具体的な例と比喩で見ていきましょう。

1. サービスの公開と遮断の例

サーバOS（Linux Server）上でWebサービスを公開する場合、通常はTCPのポート80（HTTP）や443（HTTPS）を開放する必要があります。

活用シーン: 外部に公開するネットワークインターフェース（例：eth0）をpublicゾーンに設定します。そして、firewall-cmd --zone=public --add-service=http --permanentというコマンドを実行することで、安全かつ永続的にWebサービスへのアクセスを許可できます。
遮断の例: 外部からのSSH（ポート22）アクセスはセキュリティリスクが高いため、特定の管理者IPアドレスからのアクセスのみを許可するsource設定を用いるか、信頼度の高いinternalゾーンにのみSSHサービスを追加し、publicゾーンではSSHを無効化します。

2. 比喩による理解：サーバという「要塞」の警備システム

firewalldの概念、特に「ゾーン」と「動的変更」を理解するには、サーバを「厳重な警備体制を持つ要塞」に例えるのが非常に有効です。

firewalldは、この要塞の「総合警備責任者」の役割を果たします。

ゾーン（Zones）は「入り口の分類」です。
要塞には複数の入り口があります。
- Publicゾーン: 一般公開されている「正面玄関」です。誰もが利用しますが、警備員（ファイアウォール）は非常に厳しく、許可された宅配便（HTTP/HTTPS）以外は絶対に通しません。
- Internalゾーン: 内部スタッフ専用の「通用口」です。信頼できる人しか来ないので、SSHや管理ツールなど、より多くのサービス利用を許可します。
- Trustedゾーン: 要塞の司令官や最高責任者だけが使う「秘密の裏口」です。このゾーンに割り当てられたIPアドレスからの通信は、完全に信頼され、すべてのアクセスが許可されます。
動的変更は「即座のルール変更」です。
警備責任者（firewalld）は、要塞の稼働中に「今日だけは、この時間帯に限り、特定の業者（IPアドレス）に資材搬入（特定のポート）を許可する」といった一時的な特別ルールを、正面玄関の警備員に即座に伝えることができます。要塞の門を閉め直す（再起動する）必要はありません。

このように、firewalldは単にパケットをブロックするだけでなく、通信の発生源に応じて信頼度を分類し、柔軟かつ迅速に警備体制（ネットワーク設定）を変更できる、現代のLinuxサーバ基盤に不可欠な管理システムなのです。

資格試験向けチェックポイント

firewalldは、特にLinuxベースのサーバ運用技術が問われる応用情報技術者試験や、基本情報技術者試験におけるセキュリティの具体的な実装例として出題される可能性があります。

ファイアウォールとは何か（パケットフィルタリングの役割）。
サーバOSのセキュリティ対策として、外部からの不正アクセスを防ぐ仕組みであること。

|
| 基本情報技術者試験 (FE) |

ファイアウォール機能の進化（動的管理の概念）。
ゾーンの概念の重要性：信頼度レベルに応じてセキュリティポリシーを適用する仕組み。
firewalldが従来のiptables/netfilterの「フロントエンド」として機能していること。

|
| 応用情報技術者試験 (AP) |

ゾーンの種類と用途（例：public, internal, trusted）を具体的なサーバ構成図と関連付けて理解すること。
firewall-cmdコマンドを用いた設定変更（特に、一時的な設定と永続的な設定の区別）。
ネットワーク設定変更の際、サービスを止めずに動的にルールを適用できることの運用上のメリット。

試験対策のコツ:
firewalldが出題された場合、「ゾーン」という言葉に着目してください。単なるポート番号の開閉ではなく、信頼度に基づくアクセス制御を行っている点こそが、firewalldの最大の特徴であり、出題の核となります。サーバOSの管理者は、どのインターフェースをどのゾーンに割り当てるかという設計判断が求められる、という視点を持つことが重要です。