12月2日(火)1、2コマ目

今日、やったこと

• [確認テスト]ファイアウォール1
• ファイアウォール(ICMP)
• [やってみよう]ファイアウォール(ICMP)

今日のホワイトボード

ICMPとは

Internet Control Message Protocolの略。IPの補助的なプロトコル。

ICMPに関係した最もよく使うのはpingコマンド。

pingコマンドはネットワークの導通確認に使われるコマンド。

ICMPのエコー要求、エコー応答を使って実際にパケットの往復をさせることで、導通確認を行う。

図　ICMP、pingコマンド

ICMPエコー要求パケット

ICMPエコー要求パケットを受信すると、ICMPエコー応答パケットを返信しなければならない。

が、インターネットに公開するサーバーは応答しない方がいい。そこで、ファイアウォールで破棄するように設定する。

逆に、LAN内のサーバーはメンテナンスのためにも応答する方がいいケースが多い。

ファアイウォールでICMPパケットをコントロール

ファイアウォールでICMPパケットに関する設定項目は以下の3つ。

項目名	説明
target	F/Wのデフォルトの動作。 許可、拒否(返信する)、破棄を選択
icmp-blocks	F/Wにて、許可　または　拒否　するICMPパケットのタイプ
imcp-block-inversion	noなら、icmp-blocksのタイプのパケットをブロック yesなら、icmp-blocksのタイプのパケットを許可

図　ICMPパケットに関する項目

以下のように、ゾーン「public」では、

図　firewall-cmd --list-all --zone=public

• icmp-block-inversion : no
• icmp-blocks : 

となっていることから、ICMPのパケットは全て許可する。

ICMPのタイプ

ファイアウォールが識別するICMPのタイプは --get-icmptypesオプションで確認できる。

図　firewall-cmd --get-icmptypes

いろんなタイプがあるように、ICMPはエコー要求、エコー応答だけでなく、色々な機能を持っている。

pingコマンドの応答

pingコマンドは以下の応答パターンがある。

図　pingコマンドの応答

icmp-block-inversionの変更

設定値はyes または noだが、

• yesに設定するには、--add-icmp-block-inversion
• noに設定するには、--remove-icmp-block-inversion

で行う。

⚪︎firewall-cmd --add-icmp-block-inservesion

実行すると、icmp-block-inversion : yesになる。

図　firewall-cmd --add-icmp-block-inversion

実行後は、icmp-blocksのパケットを許可する。icmp-blocksが未設定なら、全てのICMPパケットをブロック。

⚪︎firewall-cmd --remove-icmp-block-inservesion

実行すると、icmp-block-inversion : noになる。

図　firewall-cmd --remove-icmp-block-inversion

実行後は、icmp-blocksのパケットを拒否する。icmp-blocksが未設定なら、全てのICMPパケットを許可。

次回は

[確認テスト]ファイアウォール1の解説。

[やってみよう]ファイアウォール(ICMP)の解説。