RFC 2979: インターネットファイアウォールの振る舞いと要件の定義

Tech

metadata: rfc_number: “RFC 2979” title: “Behavior and Requirements for Internet Firewalls” status: “Informational” security_focus: “Network Perimeter Security, Filtering Criteria, State Management” draft_author: “RFC 2979 defines requirements based on common practice, authored by T. P. Li” date_published: “October 2000”

target_audience: “Network Architects, Security Engineers, Firewall Vendors”

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

RFC 2979: インターネットファイアウォールの振る舞いと要件の定義

【背景と設計目標】

インターネット接続の普及に伴い、セキュリティ境界を担うファイアウォールの動作と期待される要件を標準化し、一貫したセキュリティポリシーの適用を可能にすることを目標とする。 これは特定のプロトコルを置き換えるものではなく、セキュリティデバイスの設計と導入に関する情報提供文書（Informational RFC）として機能する。

【通信シーケンスと動作】

RFC 2979が要件として定義するステートフルインスペクション（Stateful Inspection）の動作シーケンスを抽象化して示す。ファイアウォールは、単なるパケットフィルタリングではなく、コネクションの状態遷移を追跡し、通過許可/拒否を動的に判断する。

sequenceDiagram
    participant Internal as 内部ホスト
    participant "FW as ファイアウォール (FW)"
    participant External as 外部サーバー

    Internal ->> FW: SYN (Req. to Ext)
    Note over FW: 1. ポリシーチェック (許可)
    Note over FW: 2. 状態テーブルにエントリ作成
    FW ->> External: SYN
    External -->> FW: SYN-ACK (Response)
    Note over FW: 3. 状態テーブル更新 (ESTABLISHEDへ)
    FW -->> Internal: SYN-ACK
    Internal ->> FW: ACK
    FW ->> External: ACK

    Internal ->> FW: Data (Inbound flow accepted)
    Note over FW: 4. 既存コネクションと一致確認
    FW ->> External: Data

    External -->> FW: Data (Outbound flow accepted)
    Note over FW: 5. 既存コネクションと一致確認 (応答パケット許可)
    FW -->> Internal: Data

RFC 2979は、ファイアウォールがTCPのコネクション状態（SYN_SENT, ESTABLISHED, FIN_WAIT, CLOSEDなど）を正確に追跡し、UDPやICMPに対してもセッション状態管理を適用する能力を持つべきことを要求する。

【データ構造 / パケットフォーマット】

RFC 2979はデータ形式を定義しないが、ファイアウォールが効率的かつ正確に動作するために内部で管理すべき「セッション状態テーブル（コネクションエントリ）」の必須要素を抽象的に提示する。

/--- ファイアウォール状態管理エントリの必須要素 ---/
| offset:bits | Field Name / Description                        |
|-------------|-------------------------------------------------|
| 0:32        | Source IP Address (Src_Addr)                    |
| 32:32       | Destination IP Address (Dst_Addr)               |
| 64:8        | Protocol Type (TCP, UDP, ICMP, etc.)            |
| 72:16       | Source Port (Src_Port)                          |
| 88:16       | Destination Port (Dst_Port)                     |
| 104:8       | Connection State (TCP State: SYN_SENT, ESTABLISHED) |
| 112:32      | Creation Timestamp (for idle timeout calculation) |
| 144:32      | Last Activity Timestamp (Liveness Check)        |
| 176:32      | Ingress Interface ID / Egress Interface ID      |
| 208:N       | NAT/Policy Action Flags (Translation details)   |
\---------------------------------------------------------------/

解説: ファイアウォールは、これらの5タプル情報（Src/Dst IP, Protocol, Src/Dst Port）に基づいてセッションを識別し、状態（Connection State）を管理することで、ポリシーに合致する「応答」パケットのみを通過させる。状態管理は、セキュリティを維持しつつ、フィルタリング効率を向上させる上で不可欠な要件である。

【技術的な特徴と比較】

RFC 2979が暗に要求する「ステートフル・ファイアウォール」と、それ以前の「ステートレス・パケットフィルタ」の比較は、本RFCの重要性を理解する上で中心的な役割を果たす。

特徴 ステートレス・フィルタリング (RFC 2979以前の基本形) ステートフル・インスペクション (RFC 2979が要求)
評価単位 個々のIPパケット コネクション全体（セッション）
状態管理 なし（各パケットは独立して評価される） あり（TCPシーケンス番号や状態を追跡）
セキュリティ 限定的。応答パケットの偽装に弱い。 高い。確立済みの正当な応答のみ許可。
プロトコル対応 基本的なポート/プロトコル番号のみ。 FTP, SIPなどの複雑なプロトコル対応（ALGの基礎）。
HOL Blocking (該当しない) 状態テーブル検索がボトルネックになる場合がある。
リソース消費 低い（メモリ使用量が少ない）。 高い（大量のコネクション状態をメモリに保持）。

技術キーワード解説:

  • ステートフルインスペクション: コネクションの確立から終了までの全パケットの流れを監視し、ポリシーに厳密に合致する状態遷移のみを許可する高度なフィルタリング技術。RFC 2979の核心的な要求事項である。

  • 応答パケットの自動許可: ステートフル管理により、内部から開始された通信に対する外部からの応答パケットを自動的に安全だと判断し通過させる。

【セキュリティ考慮事項】

RFC 2979は、ファイアウォールがセキュリティ境界として機能するために満たすべき動作上の要件を列挙している。

  1. セッションのライフタイム管理: 不正なセッションがシステム資源を占有し続けることを防ぐため、アイドル状態のセッションやハーフオープンのセッション（例：SYN Flood攻撃によるもの）に対して、適切なタイムアウトを設定し、強制的に切断（クリーンアップ）するメカニズムを持つこと。

  2. IPフラグメントの厳密な処理: フラグメント化されたパケットがフィルタリングポリシーを迂回するために利用されることを防ぐため、ファイアウォールはフラグメントを正しく再構成し、再構成後の完全なパケットに対してポリシーチェックを行うことが強く推奨される。最低限、危険なフラグメント（例：最初のフラグメントがないもの）を破棄する機能が必要とされる。

  3. 不正なパケットの拒否: IPやTCP/UDPヘッダフィールドにおける不正な値（例：予約ビットの設定、矛盾するフラグやポート番号）を持つパケットを、ポリシーチェック前に破棄する「サニティチェック」機能が必須である。

  4. ポリシーの明確性と強制力: ファイアウォールは、設計されたセキュリティポリシーを曖昧さなく正確に適用し、ポリシー違反の試みをログに記録し、管理者へ通知する機能を持つべきである。

【まとめと実装への影響】

RFC 2979は、現代のファイアウォール設計の基本原則を確立した文書であり、実装者は以下の3点に特に留意する必要がある。

  1. リソース計画の最適化: ステートフルインスペクションは高性能なCPUと大容量のメモリ（セッションテーブル用）を要求する。特に大量の短期コネクション（Webトラフィックなど）を処理する場合、状態テーブルの検索効率（ハッシュ化など）とメモリ消費量のバランスを設計初期段階で考慮する必要がある。

  2. 非TCPプロトコルの状態管理: UDPやICMPなど、状態遷移が明示的でないプロトコルに対しても、内部で仮想的なセッション状態を定義し、タイムアウト管理を適用する必要がある。特にUDPベースのトンネリングやDNS応答の許可範囲は、セキュリティポリシーに合わせて厳密に設定しなければならない。

  3. 攻撃回避技術への対抗: IPフラグメント、IPオプション、TTLの操作など、ファイアウォールのフィルタリングロジックを欺こうとする攻撃手法が利用される。RFC 2979の要件を満たすには、これらのレイヤーでの不正な挙動を検出・破棄するロジック（例：IPアドレススプーフィングチェック、リバースパスフィルタリングの適用）を実装することが不可欠である。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました