NAPTとファイアウォールによる境界防御

ファイアウォールとNAPTによる境界防御は、組織の内部ネットワークとインターネットの境界で通信を制御し、外部からの不正な侵入や意図しない着信を抑止する仕組みである。ファイアウォールは通過させる通信と遮断する通信をルールに基づいて判断し、NAPTは内部の複数の端末が一つのグローバルIPアドレスを共有できるよう、アドレスとポート番号を対応付けて変換する。両者を組み合わせて必要な通信だけを許可することで、内部の構成を外部から見えにくくした境界が実現する。

NAPTの仕組みと応答パケットの書き換え

NAPT（Network Address Port Translation）は、TCPやUDPのポート番号を併せて用いて通信を識別し、プライベートIPアドレスとグローバルIPアドレスの対応関係を管理する方式である。 この仕組みにより、LAN上の複数の端末が一つのグローバルIPアドレスを共有してインターネットにアクセスできる。

外部のWebサーバからの応答パケットでは、ルータが宛先IPアドレスと宛先ポート番号を書き換える。応答の宛先はルータのグローバルIPアドレスとポート番号になっているため、ルータは変換時に記録した対応表をもとに、PCのプライベートIPアドレスと元のポート番号へ戻す。

NAPTがもたらす効果は、外部からの着信通信を成立させにくくする点にある。対応付けを持たない外部からの新規通信は内部の端末へ届きにくく、家庭内の無線LANルータを経由する場合でも、意図しない着信を抑える効果が期待できる。

ただし、ポート転送などで対応付けを事前に設定すれば外部から特定の端末へ接続できるため、NAPTは不正アクセスを完全に防ぐ機能ではない。 NAPTは侵入の検知や遮断を行わないため、侵入の検知にはIDS、検知後の遮断にはIPSなどの機能を別途組み合わせる必要がある。

ステートフルパケットインスペクションの判断基準

パケットフィルタリングが個々のパケットのヘッダ情報だけで通過可否を判断するのに対し、ステートフルパケットインスペクションは過去に通過したパケットから通信セッションを認識し、受信パケットをその状態に照らして通過または遮断を決める。

具体的には、内部から外部へ送られたリクエストパケットに対応する戻りのパケットを通過させる。このため、内部からの要求に対する応答は通過でき、対応する通信の記録がない外部からの未承認のパケットは遮断できる。