ファイアウォール設定入門【2026年6月更新】

ファイアウォールを正しく設定すれば、企業のネットワークセキュリティを飛躍的に向上させられます。外部からの攻撃を90%以上遮断できる設定が可能で、侵入検知システムと組み合わせれば実質的な被害をゼロに近づけられます。本記事では、ファイアウォールの基本原理から具体的な設定手順、運用時の注意点まで、実務で即活用できる知識を網羅的に解説します。

ネットワークエンジニアやセキュリティ担当者はもちろん、IT初心者でも理解できるよう、用語解説から具体的なコマンド例まで丁寧に説明します。2026年6月現在の最新動向や主要ベンダーの設定例も紹介し、実務ですぐに役立つ内容となっています。それでは、ファイアウォール設定の世界へ一緒に踏み込んでいきましょう。

目次

ファイアウォールとは何か？基本原理を理解する

ファイアウォールは、ネットワーク間の通信を制御するセキュリティ装置です。外部ネットワーク（インターネット）と内部ネットワーク（社内LAN）の間に設置され、通過するパケットを検査して許可・拒否を判断します。この基本原理を理解することが、効果的な設定の第一歩となります。

ファイアウォールの3大機能

ファイアウォールには主に以下の3つの機能があります。

機能説明具体例
パケットフィルタリングIPアドレスやポート番号に基づいて通信を許可・拒否する80番ポート（HTTP）のみ許可、22番ポート（SSH）は特定IPのみ許可
ステートフルインスペクション通信の状態（セッション）を追跡し、不正なパケットを検出する外部からのTCP SYNパケットに対する応答がない場合は拒否
アプリケーションレイヤーフィルタリングHTTP、DNSなどのアプリケーションプロトコルを解析して制御する特定のURLへのアクセスをブロック、ファイル転送を制限

ファイアウォールが守る3つ…

ファイアウォールは以下の3つの基本原則に基づいて動作します。

  1. デフォルト拒否の原則：許可されていない通信はすべて拒否する
  2. 最小権限の原則：必要最小限の通信のみを許可する
  3. 分離の原則：重要なシステムは他のネットワークから隔離する

これらの原則を守ることで、不正アクセスのリスクを大幅に低減できます。例えば、デフォルト拒否の原則に基づけば、許可されていないポートへのアクセスはすべて遮断されるため、未知の脆弱性を突いた攻撃を防ぐことができます。

ファイアウォールが防げる主…

ファイアウォールは以下のような脅威からネットワークを保護します。

  • ポートスキャン攻撃（不正なポートへのアクセス試行）
  • DDoS攻撃（大量のパケットによるサービス停止）
  • 不正なIPアドレスからのアクセス
  • 特定のアプリケーションを悪用した攻撃
  • 内部から外部への機密情報漏洩

ただし、ファイアウォールだけでは完全なセキュリティは実現できません。ウイルス対策ソフトや侵入検知システム（IDS/IPS）と組み合わせることで、より強固なセキュリティ体制を構築できます。

ファイアウォールの種類と特徴を比較する

ファイアウォールにはさまざまな種類があり、用途や機能によって使い分ける必要があります。ここでは主要なファイアウォールの種類とその特徴を比較します。

1. パケットフィルタリン…

最も基本的なファイアウォールで、IPアドレスやポート番号に基づいて通信を制御します。

特徴メリットデメリット主な用途
第3層（ネットワーク層）で動作処理速度が速いアプリケーションレベルの攻撃を防げない基本的な通信制御、ルーター組み込み型
ステートレス（状態を保持しない）設定が簡単不正なパケットを検出できない小規模ネットワーク、家庭用

代表的な製品：iptables（Linux）、Windows Firewall、Cisco IOS ACL

2. ステートフルインスペ…

現在最も一般的に使用されているファイアウォールで、通信の状態を追跡して不正なパケットを検出します。

特徴メリットデメリット主な用途
第4層（トランスポート層）まで対応不正なパケットを検出できる処理負荷が高い企業ネットワーク、データセンター
セッションテーブルを保持TCP/UDPの状態を管理メモリ使用量が多い中規模以上のネットワーク

代表的な製品：Cisco ASA、Palo Alto Networks、FortiGate、Check Point

3. アプリケーションレイ…

HTTP/HTTPSなどのアプリケーションプロトコルを解析して制御します。

特徴メリットデメリット主な用途
第7層（アプリケーション層）で動作Webアプリケーションの脆弱性を防げる処理速度が遅いWebサーバー、クラウドサービス
SQLインジェクションやXSSを検出具体的な攻撃パターンをブロック偽陽性の可能性があるECサイト、オンラインサービス

代表的な製品：ModSecurity、F5 BIG-IP ASM、AWS WAF、Cloudflare WAF

4. 次世代ファイアウォー…

従来のファイアウォール機能に加え、侵入検知・防止（IPS）、アプリケーション制御、SSL/TLS検査などの機能を統合した高機能ファイアウォールです。

特徴メリットデメリット主な用途
マルチレイヤー対応包括的なセキュリティを提供コストが高い大企業、重要インフラ
クラウド連携機能ハイブリッド環境に対応設定が複雑クラウド移行中の企業

代表的な製品：Palo Alto Networks、Fortinet FortiGate、Cisco Firepower、Juniper SRX

5. クラウド型ファイアウ…

クラウドサービスとして提供されるファイアウォールで、物理的な設置が不要な点が特徴です。

特徴メリットデメリット主な用途
サービスとして提供初期コストが低い月額費用がかかるスタートアップ、中小企業
グローバルな保護が可能DDoS攻撃対策に強いカスタマイズ性が低いSaaSサービス、グローバル展開

代表的なサービス：AWS Network Firewall、Azure Firewall、Google Cloud Firewall、Cloudflare、Akamai

ファイアウォール選定のポイント

ファイアウォールを選定する際は、以下のポイントを考慮しましょう。

  • ネットワーク規模：小規模ならパケットフィルタリング型、大規模ならNGFW
  • 必要な機能：Webアプリケーションの保護が必要ならWAF、クラウド環境ならクラウド型
  • 予算：初期コストと運用コストのバランスを考慮
  • パフォーマンス要件：処理速度と同時接続数の確認
  • 管理のしやすさ：GUI管理の有無、運用負荷の軽さ

例えば、Webサービスを運営している企業であれば、NGFWにWAF機能を統合した製品を選ぶことで、包括的なセキュリティを実現できます。一方、小規模なオフィスであれば、ルーターに組み込まれたファイアウォール機能で十分な場合もあります。

ファイアウォール設定の基本ルールと手順

ファイアウォールを効果的に設定するには、基本的なルールと手順を理解することが重要です。ここでは、ファイアウォール設定の基本原則と具体的な手順を解説します。

ファイアウォール設定の5つ…

効果的なファイアウォール設定を行うための基本原則を紹介します。

  1. デフォルト拒否の原則
    • すべての通信を拒否する設定から始める
    • 必要な通信のみを明示的に許可する
    • これにより、許可されていない通信をすべて遮断できる
  2. 最小権限の原則
    • 必要最小限の通信のみを許可する
    • 不要なポートやサービスは開放しない
    • これにより攻撃対象を最小限に抑えられる
  3. 分離の原則
    • 重要なシステムは他のネットワークから隔離する
    • DMZ（非武装地帯）を活用する
    • これにより、万が一の侵入時の被害を最小限に抑えられる
  4. 冗長性の原則
    • 単一障害点を排除する
    • ファイアウォールを冗長化する
    • これにより、ファイアウォール自体の障害に備えられる
  5. ログと監視の原則
    • すべての通信ログを記録する
    • 異常な通信パターンを監視する
    • これにより、攻撃の早期発見と対応が可能になる

ファイアウォール設定の基本手順

ファイアウォールを設定する際の基本的な手順を紹介します。

  1. 要件定義
    • 保護対象のシステムとネットワークを明確化する
    • 必要な通信要件を洗い出す
    • セキュリティポリシーを策定する
  2. アーキテクチャ設計
    • ファイアウォールの配置場所を決定する
    • ネットワークセグメントを設計する
    • 冗長構成の要否を検討する
  3. 基本設定
    • インターフェースのIPアドレスを設定する
    • デフォルトの拒否ルールを設定する
    • 管理用のアクセス制御を設定する
  4. 許可ルールの設定
    • 必要な通信を明示的に許可する
    • ルールの順序（優先順位）を考慮する
    • 不要なルールは削除する
  5. テストと検証
    • 設定したルールが意図通りに動作するか確認する
    • 不要な通信が遮断されているかテストする
    • 許可された通信が正常に行われるか確認する
  6. 運用と監視
    • ログを定期的に確認する
    • 異常な通信パターンを監視する
    • ルールの見直しと更新を継続的に行う

ファイアウォールルールの記…

ファイアウォールのルールは、以下のような形式で記述されます。

<ルール番号> <アクション> <送信元IP> <送信元ポート> <宛先IP> <宛先ポート> <プロトコル>

具体的な例を示します。

ルール番号アクション送信元IP送信元ポート宛先IP宛先ポートプロトコル説明
10許可192.168.1.0/24any10.0.0.180TCP社内LANからWebサーバーへのHTTPアクセスを許可
20拒否anyanyanyanyanyデフォルトの拒否ルール

この例では、まず社内LANからWebサーバーへのHTTPアクセスを許可し、その後にデフォルトの拒否ルールを設定しています。これにより、許可されていないすべての通信が拒否されます。

ファイアウォール設定のベス…

ファイアウォールを設定する際のベストプラクティスを紹介します。

  • ルールの最小化
    • 不要なルールは削除する
    • ルール数を最小限に抑える
    • これにより、処理速度の向上と管理の簡素化が図れる
  • ルールの順序
    • 具体的なルールから一般的なルールの順に配置する
    • 特殊なケースは上位に配置する
    • これにより、ルールの整合性と処理効率が向上する
  • コメントの活用
    • 各ルールにわかりやすいコメントを付ける
    • ルールの目的や更新履歴を記録する
    • これにより、運用時のトラブルシューティングが容易になる
  • 定期的な見直し
    • ルールを定期的に見直す
    • 不要になったルールは削除する
    • 新たな脅威に対応するためのルールを追加する
  • テスト環境での検証
    • 本番環境に適用する前にテスト環境で検証する
    • 想定外の動作がないか確認する
    • これにより、本番環境への影響を最小限に抑えられる

実践的なファイアウォール設定例（主要ベンダー別）

ここでは、主要なファイアウォールベンダーの設定例を紹介します。実際の運用に役立つ具体的な設定方法を解説します。

1. Linux（ipta…

Linux環境で広く使用されているiptablesの設定例を紹介します。

基本的な設定手順

iptablesはコマンドラインでファイアウォールを設定するツールです。以下に基本的な設定例を示します。

# デフォルトのポリシーを設定（すべて拒否）
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT


ループバックインターフェースを許可

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT


既存の接続を許可

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT


SSHアクセスを許可（特定のIPからのみ）

sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT


HTTP/HTTPSアクセスを許可

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT


ICMP（ping）を許可

sudo iptables -A INPUT -p icmp -j ACCEPT


ルールの保存（保存方法はディストリビューションにより異なる）

sudo iptables-save > /etc/iptables.rules

iptablesのルール管理

iptablesのルールを管理する際のポイントを紹介します。

  • ルールの追加：-A（追加）オプションを使用
  • ルールの挿入：-I（挿入）オプションを使用
  • ルールの削除：-D（削除）オプションを使用
  • ルールの表示：-L（リスト）オプションを使用
  • ルールのフラッシュ：-F（フラッシュ）オプションを使用

例えば、特定のルールを削除するには以下のコマンドを使用します。

sudo iptables -D INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT

2. Windows Fi…

Windows環境で使用されるWindows Firewallの設定例を紹介します。

GUIでの設定方法

  1. コントロールパネルから「Windows Defender ファイアウォール」を開く
  2. 「詳細設定」をクリックして「セキュリティが強化されたWindows Defender ファイアウォール」を開く
  3. 「受信の規則」または「送信の規則」を選択する
  4. 新しい規則を作成するには「新しい規則」をクリックする
  5. 規則の種類（プログラム、ポート、カスタムなど）を選択する
  6. 許可または拒否のアクションを選択する
  7. 適用するプロファイル（ドメイン、プライベート、パブリック）を選択する
  8. 規則に名前を付けて完了する

PowerShellでの設定方法

PowerShellを使用してWindows Firewallを設定することもできます。

# 新しい受信規則を作成（HTTPポート80を許可）
New-NetFirewallRule -DisplayName "Allow HTTP" -Direction Inbound -LocalPort 80 -Protocol TCP -Action Allow


特定のIPアドレスからのSSHアクセスを許可

New-NetFirewallRule -DisplayName "Allow SSH from specific IP" -Direction Inbound -RemoteAddress 192.168.1.100 -LocalPort 22 -Protocol TCP -Action Allow


ルールの一覧を表示

Get-NetFirewallRule | Format-Table -AutoSize


ルールの削除

Remove-NetFirewallRule -DisplayName "Allow HTTP"

3. Cisco ASAの…

企業ネットワークで広く使用されているCisco ASAの設定例を紹介します。

基本的な設定手順

Cisco ASAの設定はCLI（コマンドラインインターフェース）で行います。以下に基本的な設定例を示します。

! 基本設定
enable password YourPassword
configure terminal
hostname ASA-Firewall

! インターフェースの設定
interface GigabitEthernet0/0
 nameif outside
 security-level 0
 ip address 203.0.113.1 255.255.255.0
 no shutdown

interface GigabitEthernet0/1
 nameif inside
 security-level 100
 ip address 192.168.1.1 255.255.255.0
 no shutdown

! デフォルトルートの設定
route outside 0.0.0.0 0.0.0.0 203.0.113.254

! NAT（Network Address Translation）の設定
object network LAN
 subnet 192.168.1.0 255.255.255.0
 nat (inside,outside) dynamic interface

! アクセスルールの設定
access-list OUTSIDE_IN extended permit tcp any object WEB_SERVER eq www
access-list OUTSIDE_IN extended permit tcp any object WEB_SERVER eq https
access-list OUTSIDE_IN extended deny ip any any

! アクセスルールの適用
access-group OUTSIDE_IN in interface outside

! 管理アクセスの設定
http server enable
http 192.168.1.0 255.255.255.0 inside
ssh 192.168.1.0 255.255.255.0 inside

Cisco ASAのセキュリティレベル

Cisco ASAでは、各インターフェースにセキュリティレベルを設定します。セキュリティレベルは0（最も低い）から100（最も高い）までの値で、以下のルールが適用されます。

  • 高いセキュリティレベルのインターフェースから低いセキュリティレベルのインターフェースへの通信はデフォルトで許可される
  • 低いセキュリティレベルのインターフェースから高いセキュリティレベルのインターフェースへの通信はデフォルトで拒否される
  • 同じセキュリティレベルのインターフェース間の通信はデフォルトで拒否される

例えば、外部インターフェース（セキュリティレベル0）から内部インターフェース（セキュリティレベル100）への通信は、アクセスルールで明示的に許可しない限り拒否されます。

4. Palo Alto …

次世代ファイアウォールとして広く使用されているPalo Alto Networksの設定例を紹介します。

基本的な設定手順

Palo Alto Networksの設定はWebインターフェース（GUI）で行います。以下に基本的な設定例を示します。

  1. Webインターフェースにログインし、[Network] > [Zones]に移動する
  2. 新しいゾーンを作成し、インターフェースを割り当てる
  3. [Objects] > [Addresses]に移動し、IPアドレスオブジェクトを作成する
  4. [Objects] > [Services]に移動し、サービスオブジェクトを作成する
  5. [Policies] > [Security]に移動し、新しいセキュリティポリシーを作成する
  6. セキュリティポリシーに以下の情報を設定する
    • 名前：Allow_HTTP
    • 送信元ゾーン：Trust（内部）
    • 宛先ゾーン：Untrust（外部）
    • 送信元アドレス：Any
    • 宛先アドレス：WEB_SERVER
    • サービス：HTTP
    • アクション：Allow
  7. ポリシーを保存し、[Commit]をクリックして設定を適用する

Palo Alto Networksのアプリケーション制御

Palo Alto Networksはアプリケーションレイヤーでの制御が可能です。以下に具体的な設定例を示します。

  1. [Objects] > [Applications]に移動し、アプリケーションを定義する
  2. [Policies] > [Security]に移動し、新しいセキュリティポリシーを作成する
  3. セキュリティポリシーに以下の情報を設定する
    • 名前：Block_Social_Media
    • 送信元ゾーン：Trust
    • 宛先ゾーン：Untrust
    • 送信元アドレス：Any
    • 宛先アドレス
      ABOUT ME
      たから
      サラリーマンをしながら開業して経営やってます。 今年、本業で独立・別事業を起業予定です。 ◆経験：IT講師/インフラエンジニア/PM/マネジメント/採用/運用・保守・構築・設計 ◆取得資格：CCNA/CCNP/LPIC-1/AZ-900/FE/サーティファイC言語 ◆サイドビジネス：アパレル事業/複数のWEBメディアを運営