--- title: "パケットフィルタリング方式とは？ファイアウォール方式の基本【SG試験】" description: "パケットフィルタリング方式は、IPアドレスやポート番号などのパケット情報をもとに通信を許可・遮断するファイアウォール方式です。SG試験で迷いやすい他方式との違いも整理します。 選択肢で問われる目的・対象・責任範囲を押さえ、似た用語や対策との違いを判断できるようにします。" last_modified_at: "2026-06-21" canonical_url: "https://stemtazoo.github.io/sg/packet-filtering-firewall/" section: "sg" --- ## まず結論 **パケットフィルタリング方式**とは、通信の最小単位である**パケットの情報**を見て、通すか遮断するかを判断するファイアウォール方式です。 主に見ているのは、次のような情報です。 - 送信元IPアドレス - 宛先IPアドレス - 送信元ポート番号 - 宛先ポート番号 - プロトコル SG試験では、パケットフィルタリング方式は、**パケット単体の条件で判断する方式**と押さえるのが大切です。 ステートフルインスペクション方式との違いは、**通信の状態を覚えて判断するかどうか**です。 --- ## 直感的な説明 パケットフィルタリング方式は、受付でいうと、**名簿や条件だけを見て通す受付**のようなものです。 たとえば、次のようなルールを作ります。 - 社内から外部のWebサイトへの通信は許可 - 外部から社内への不要な通信は遮断 - 特定のポート番号への通信だけ許可 このように、あらかじめ決めた条件に合うかどうかで判断します。 ただし、パケットフィルタリング方式は、基本的に**そのパケットがどの通信の続きなのか**までは詳しく見ません。 そのため、通信の流れまで考えて判断するステートフルインスペクション方式とは、ここが大きな違いです。 --- ## 定義・仕組み パケットフィルタリング方式では、ファイアウォールに**アクセス制御ルール**を設定します。 そして、通過しようとするパケットのヘッダ情報を見て、ルールに合っているかを確認します。 たとえば、次のようなルールです。 | 条件 | 動作 | |---|---| | 社内PCから外部WebサーバへのHTTP通信 | 許可 | | 外部から社内PCへの不要な通信 | 遮断 | | 管理用ポートへの外部からの通信 | 遮断 | DMZにWebサーバを置き、インターネットからWebページの閲覧だけを提供する場合は、**Web閲覧に必要なHTTP（80番）やHTTPS（443番）を許可**し、それ以外の不要なプロトコルは遮断する、という考え方になります。 | プロトコル | 主な用途 | Web閲覧だけを提供する場合の考え方 | |---|---|---| | FTP | ファイル転送 | Web閲覧には不要なので遮断候補 | | HTTP | Webページ閲覧 | 閲覧提供に必要なので遮断できない | | SMTP | メール送信・転送 | Web閲覧には不要なので遮断候補 | | SNMP | ネットワーク機器の監視・管理 | インターネットからDMZへ公開する用途では通常不要 | ここで重要なのは、主に**ヘッダ情報**を見る点です。 通信の本文や、Webアプリケーションへの入力内容を詳しく検査する方式ではありません。 参考として、NISTのファイアウォールに関する文書でも、ファイアウォール技術の例として、パケットフィルタリング、ステートフルインスペクション、アプリケーションプロキシゲートウェイなどが整理されています。 [NIST SP 800-41 Rev.1 Guidelines on Firewalls and Firewall Policy](https://csrc.nist.gov/pubs/sp/800/41/r1/final) ### ファイアウォール方式の切り分け | 方式 | 見ているもの | 試験での判断基準 | |---|---|---| | パケットフィルタリング方式 | IPアドレス、ポート番号、プロトコルなど | **パケット単体**の条件で判断する | | ステートフルインスペクション方式 | 通信セッションの状態 | **通信の流れ・状態**を見て判断する | | アプリケーションゲートウェイ方式 | アプリケーションプロトコルの内容 | **プロキシとして中継**し、内容を詳しく検査する | | サーキットレベルゲートウェイ方式 | コネクションの確立可否 | **接続の成立**を見て制御する | | WAF | Webアプリケーションへの通信内容 | **Webアプリへの攻撃**を防ぐ | | 次世代ファイアウォール（NGFW） | アプリケーション識別、利用者、脅威情報など | 従来型FWに加えて、**より細かい通信制御**を行う | | UTM | 複数のセキュリティ機能 | FW、ウイルス対策、IPSなどを**まとめて提供**する | SG試験では、選択肢の中に「IPアドレス」「ポート番号」「プロトコル」「パケットヘッダ」といった言葉があれば、パケットフィルタリング方式を考えます。 --- ## どんな場面で使う？ パケットフィルタリング方式は、ネットワークの基本的なアクセス制御に使われます。 たとえば、次のような場面です。 - 外部から社内ネットワークへの不要な通信を遮断する - 社内から外部への通信を必要なものだけ許可する - 特定のサーバに対して、特定のポートだけ開ける - ルータやファイアウォールで基本的な通信制御を行う 設定ルールが比較的シンプルなので、基本的な制御には向いています。 一方で、通信の中身を細かく見たり、Webアプリケーションへの攻撃を検査したりする目的には向きません。 そのため、SG試験では、**基本的な通信の入口管理はパケットフィルタリング、Webアプリの攻撃対策はWAF**と切り分けると分かりやすいです。 --- ## よくある誤解・混同 ### ステートフルインスペクション方式との混同 パケットフィルタリング方式は、基本的に**パケット単体の条件**で判断します。 一方、ステートフルインスペクション方式は、**通信セッションの状態**を記録し、その通信の流れに合うかどうかを判断します。 選択肢に「過去に通過したパケット」「通信セッション」「状態に照らして判断」とあれば、ステートフルインスペクション方式です。 ### アプリケーションゲートウェイ方式との混同 アプリケーションゲートウェイ方式は、クライアントとサーバの間に入り、**プロキシとして通信を中継**します。 パケットフィルタリング方式は、アプリケーションごとにプロキシを用意する方式ではありません。 選択肢に「アプリケーションプロトコルごとにプロキシプログラムを用意」とあれば、アプリケーションゲートウェイ方式です。 ### WAFとの混同 WAFは、Web Application Firewallの略で、**Webアプリケーションを狙う攻撃を防ぐ仕組み**です。 たとえば、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリへの不正な入力を検査します。 パケットフィルタリング方式は、主にIPアドレスやポート番号などを見ます。 つまり、**通信の入口をざっくり制御するのがパケットフィルタリング、Webアプリの中身を守るのがWAF**です。 ### DMZのWebサーバで「禁止できないプロトコル」を選ぶ問題 SG試験では、DMZ上の公開サーバ構成を示し、ファイアウォールで「公開サービスに必要な通信」と「止めてもよい通信」を切り分けさせることがあります。 この場合、問題文の条件が**「Webページの閲覧だけを社外に提供する」**なら、Web閲覧で使うHTTPを禁止するとサービス自体が提供できません。したがって、選択肢に FTP、HTTP、SMTP、SNMP が並んだら、禁止できないものは HTTP です。 | 選択肢 | 判断 | |---|---| | FTP | ファイル転送なので、Web閲覧だけなら禁止できる | | HTTP | Web閲覧に必要なので、禁止できない | | SMTP | メール送信・転送なので、Web閲覧だけなら禁止できる | | SNMP | 監視・管理用途なので、外部公開Web閲覧には不要 | 👉 判断のコツ **「提供したいサービスで使うプロトコルは止められない」**と考える。 ### SMTP通信を許可するポート番号の見方 SG試験では、パケットフィルタリング方式の問題で、メール送信に必要なTCPポート番号や通信方向を判断させることがあります。 SMTPのデフォルトポート番号は **TCP/25** です。 クライアントがSMTPサーバへ接続する場合は、次のように考えます。 | 見る対象 | 考え方 | |---|---| | クライアント側 | 通信のたびに一時的なポートを使う | | SMTPサーバ側 | SMTPサービスとしてTCP/25で待ち受ける | | 戻り通信 | 送信元と宛先の関係が逆向きになる | ポイントは、**サーバが待ち受けているポートが宛先ポートになる**ことです。 クライアントがSMTPサーバへ接続するとき、クライアント側は一時的なポート番号を使い、SMTPサーバ側の25番ポートへ接続します。応答パケットでは、通信の向きが逆になるため、サーバ側のポート番号とクライアント側の一時ポートの関係も逆に見えます。 なお、メール関連の問題では、送信用のSMTPと受信用のPOP3/IMAPなどを混同させることがあります。問題文が「送信」なのか「受信」なのかを先に確認します。 ### ping制御との混同（ICMPとポート番号） SG試験では、**「pingを止めるには何を通過禁止にするか」**を問う選択肢が出ます。 ここでの判断軸は、次のとおりです。 - pingは**ICMP（echo request / echo reply）**を使う - ICMPは、HTTPやSMTPのような**TCP/UDPのサービス用ポート番号で識別する通信ではない** そのため、選択肢にDNS（53）、FTP（21）、NTP（123）などが並んでいても、 **ping応答を止める目的なら、まずICMPを選ぶ**のが正しい切り分けです。 ### 「簡単だから不要」と考える誤解 パケットフィルタリング方式は基本的な方式ですが、不要という意味ではありません。 ネットワークの入口で、不要な通信を遮断する基本対策として重要です。 ただし、これだけで高度な攻撃をすべて防げるわけではないため、他の対策と組み合わせて使うことが大切です。 --- ## 確認問題（SG試験対策） 公開WebサーバをDMZに置き、外部利用者には通常のWeb閲覧だけを提供したい。ファイアウォールで外部からDMZへの通信を絞る場合、遮断してはいけない通信として最も適切なものはどれか。 - ア. HTTP - イ. FTP - ウ. SMTP - エ. SNMP
▶ クリックして答えと解説を見る（ここを開く） **正解：ア** ### 解説 Webページの閲覧はHTTP（またはHTTPS）で行われます。公開したいサービスに必要な通信を遮断すると、利用者がWebページを閲覧できなくなります。 - ア：HTTPはWeb閲覧に必要なので、通常のWeb公開では遮断してはいけません。 - イ：FTPはファイル転送用なので、Web閲覧だけなら遮断候補です。 - ウ：SMTPはメール送信・転送用なので、Web閲覧だけなら遮断候補です。 - エ：SNMPはネットワーク機器の監視・管理用なので、外部公開Web閲覧には不要です。 👉 判断ポイント **目的のサービスに必要な通信は許可し、目的外の通信を遮断する**のがパケットフィルタリング設定の基本です。
## まとめ（試験直前用） パケットフィルタリング方式は、**IPアドレスやポート番号など、パケットの情報をもとに通信を許可・遮断する方式**です。 試験直前は、次の基準で切り分けましょう。 - **IPアドレス・ポート番号・プロトコル**を見るなら、パケットフィルタリング方式 - **通信の状態・流れ**を見るなら、ステートフルインスペクション方式 - **アプリケーションごとのプロキシ**なら、アプリケーションゲートウェイ方式 - **コネクションの確立**を見るなら、サーキットレベルゲートウェイ方式 - **Webアプリへの攻撃**を見るなら、WAF 特に、選択肢に「パケットヘッダ」「送信元IPアドレス」「宛先ポート番号」といった表現があれば、パケットフィルタリング方式を選ぶ手がかりになります。 DMZのWebサーバ公開では、Web閲覧に必要なHTTP/HTTPSは許可し、FTP、SMTP、SNMPなど目的外のプロトコルは遮断候補として考えます。