ゾーンベースファイアウォール入門｜インターフェースをゾーンで束ねる

FortiGateやCiscoのFWで使われる「ゾーンベース」の考え方。従来のインターフェース単位のルールとの違いを解説します。

従来：インターフェース単位でルール

古典的なFW/ルータのACLは、インターフェースごとに「in/out」でルールを当てていました。インターフェースが増えると、組み合わせが増えて管理が煩雑になります。

ゾーンベースの考え方

ゾーンベースでは、インターフェースを**ゾーン（役割のグループ）**にまとめ、ゾーン間の通信に対してルールを書きます。

ゾーン例:
  TRUST   … 内部LAN
  UNTRUST … インターネット側
  DMZ     … 公開サーバ

ルール例:
  TRUST → UNTRUST : 許可（社内→ネット）
  UNTRUST → TRUST : 拒否
  UNTRUST → DMZ   : Web公開のみ許可
  DMZ → TRUST     : 最小限のみ許可

「どのゾーンから、どのゾーンへ」で考えるので、直感的で、インターフェースが増えてもルールが整理しやすいのが利点です。

デフォルト拒否が基本

ゾーンベースでは、明示的に許可していないゾーン間通信は拒否されるのが基本です。これは「デフォルト拒否＋必要な通信だけ許可」というセキュリティ原則にそのまま合致します。

FortiGateでのイメージ

FortiGateのファイアウォールポリシーは、まさにこの発想です。「送信元インターフェース/ゾーン → 宛先インターフェース/ゾーン」に対して、送信元・宛先アドレス、サービス（ポート）、アクション（許可/拒否）、そしてUTMプロファイル（AV/IPS等）を紐づけます。

設計のコツ

ゾーンは役割で分ける（内部/外部/DMZ/管理など）
同じ信頼レベルのインターフェースを同じゾーンに
ゾーン間ルールは最小権限で。広い許可を作らない
管理アクセス用のゾーン/経路を分けて、管理通信を守る

まとめ

ゾーンベースファイアウォールは、インターフェースをゾーンにまとめ、「ゾーン間の通信」にルールを書く方式です。インターフェース単位より整理しやすく、デフォルト拒否の原則とも相性が良い。FortiGateなど現代のFWはこの考え方が基本なので、「どのゾーンからどのゾーンへ」で設計する癖をつけると強いです。