Linuxセキュリティ基盤とOpenSSH・nftables・VPN構築【202試験 主題2.12】



LinuCレベル2（202試験）の主題2.12「システムセキュリティ」では、外部の脅威からサーバーやネットワークを防護するパケットフィルタリング（firewalld / iptables）、リモート運用の安全性を担保する中核技術である OpenSSHサーバーの堅牢化（公式重要度4）、暗号化通信トンネルを確立する OpenVPN、そして侵入検知・セキュリティ監査ツール（Fail2ban / Snort / OpenSCAP / nmap）が公式出題範囲に指定されています。

あわせて本記事では、試験必須のiptables/firewalldとOpenSSHの徹底攻略に加え、実務のモダンLinux環境で標準採用されている nftables による統合フィルタリング、AIDE によるファイル改ざん検知、軽量・高速な WireGuard VPN についても「実務拡張」として網羅。Netfilterフレームワークのフックポイント（PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING）のパケット通過フローから、試験最重要の sshd_config セキュリティディレクティブ、TUN/TAP仮想インターフェースの仕組みまで、AlmaLinux 9.8の実機検証ログとともに体系的に解説します。

1. Linuxパケットフィルタリングのアーキテクチャ（Netfilter）#

Linuxカーネル内部には、ネットワークプロトコルスタックを通過するパケットを検査・改変・破棄するためのフレームワークである Netfilter が組み込まれています。

図1: Linux Netfilterパケットフローとiptables/nftablesのフックポイント

1.1 Netfilterフックポイントとパケット走査フロー#

第4回で設定した物理NICがパケットを受信してから外部へ送出されるまで、パケットは以下の5つのフックポイントを順次通過します。

1.2 iptablesの構造（テーブルと組み込みチェーン）#

旧来の iptables では、パケットを処理する目的ごとに「テーブル」が分かれており、各テーブル内に「チェーン」が組み込まれていました。

特に重要なのが、ステートフルパケット検査（ステートフルインスペクション）を実現する コネクショントラッキング（conntrack） です。

# 既に確立された通信（ESTABLISHED）および関連通信（RELATED）を無条件許可
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

1.3 現代の標準: nftables の特徴とコマンド体系#

AlmaLinux 9や最新のLinuxカーネルでは、iptablesの後継として nftables が標準採用されています。

• 単一フレームワーク統合: IPv4（iptables）、IPv6（ip6tables）、ARP（arptables）、Ethernetブリッジ（ebtables）がすべて nft コマンド1つに統合されました。
• 固定テーブルの撤廃: 事前に組み込まれた filter や nat テーブルは存在せず、管理者が任意の名前でテーブルやチェーンを柔軟に作成できます。
• バイトコード実行エンジン: ルールがカーネル内の仮想マシン（JITコンパイル）で高速実行されるため、大量のルールが存在してもパケット遅延が発生しません。

2. nftables による実機ファイアウォール構築とログ検証（実務拡張）#

LinuC 202試験の公式出題範囲は iptables と firewalld が中心ですが、最新のLinuxディストリビューション（RHEL 9 / AlmaLinux 9等）ではバックエンドが nftables に完全移行しています。現場で必須となる実務拡張知識として、nft コマンドを用いたテーブル・チェーンの作成および基本ルールの構築手順を整理します。

2.1 基本ルールの設計と適用（INPUTドロップとステートフル許可）#

サーバーを堅牢化するファイアウォールポリシーの基本は、「入力をすべて破棄（既定DROP）し、許可された正当なパケットのみを通す」ホワイトリスト方式です。

# 1. inetファミリ（IPv4/IPv6共用）でカスタムテーブルを作成
sudo nft add table inet my_firewall

# 2. INPUTフックに接続する基本チェーンを作成（既定ポリシーは drop）
sudo nft "add chain inet my_firewall my_input { type filter hook input priority 0 ; policy drop ; }"

# 3. ループバック（lo）インターフェースの通信を許可
sudo nft add rule inet my_firewall my_input iif lo accept

# 4. 確立済み接続（established/related）を許可
sudo nft add rule inet my_firewall my_input ct state established,related accept

# 5. SSHポート（TCP 22）を許可
sudo nft add rule inet my_firewall my_input tcp dport 22 accept

2.2 実機でのルールセット出力とパケット疎通テスト#

適用されている全ルールセットを確認するには nft list ruleset を実行します。

[user01@linuc-node01 ~]$ sudo nft list ruleset | head -n 15
table inet firewalld { # progname firewalld
	flags owner,persist

	chain mangle_PREROUTING {
		type filter hook prerouting priority mangle + 10; policy accept;
		jump mangle_PREROUTING_ZONES
	}
	chain mangle_PREROUTING_POLICIES_pre {
		jump mangle_PRE_policy_allow-host-ipv6
	}
	chain mangle_PREROUTING_ZONES {
		iifname "eth0" goto mangle_PRE_public
		goto mangle_PRE_public
	}
}

3. OpenSSHサーバーの構築と堅牢化（公式重要度4）#

LinuC 202試験の主題2.12において、公式重要度「4」（試験全体で最高ランク）に指定されている最重要項目が OpenSSHサーバーの設定と管理 です。サーバーの遠隔操作を一手に担うSSHは、設定の不備がサーバー乗っ取りに直結するため、本番試験の記述式問題（コマ問）でも極めて高い頻度で問われます。

3.1 sshd_config の主要ディレクティブ完全攻略#

OpenSSHサーバーの主設定ファイルは /etc/ssh/sshd_config です。試験で頻出するセキュリティディレクティブと推奨設定値を整理します。

実機環境（AlmaLinux 9.8）において sshd -T を実行し、現在有効なアクティブパラメータをダンプ抽出したログです。

[user01@linuc-node01 ~]$ sshd -V
OpenSSH_9.9p1, OpenSSL 3.5.5 27 Jan 2026

[user01@linuc-node01 ~]$ sudo sshd -T | grep -E '^(port|permitrootlogin|passwordauthentication|pubkeyauthentication|clientalive)'
port 22
clientaliveinterval 0
clientalivecountmax 3
permitrootlogin without-password
pubkeyauthentication yes
passwordauthentication yes

3.2 公開鍵暗号ペアの生成（ssh-keygen）と鍵の配布#

SSHの安全性を劇的に高めるのが、公開鍵暗号ペアを用いた認証です。鍵の生成には ssh-keygen コマンドを使用します。

[user01@linuc-node01 ~]$ ssh-keygen -t ed25519 -N "" -f ~/.ssh/id_ed25519 -C "user01@linuc-node01"
Generating public/private ed25519 key pair.
Your identification has been saved in /home/user01/.ssh/id_ed25519
Your public key has been saved in /home/user01/.ssh/id_ed25519.pub
The key fingerprint is:
SHA256:MQ3DVZXTM1sXSlvLqXCJzoMmWwaC86nx4xVFNT+OaDM user01@linuc-node01

[user01@linuc-node01 ~]$ ls -la ~/.ssh/
-rw-------. 1 user01 user01 411 Sep  8 00:23 id_ed25519      # 秘密鍵（パーミッション 600）
-rw-r--r--. 1 user01 user01  99 Sep  8 00:23 id_ed25519.pub  # 公開鍵（パーミッション 644）

生成した公開鍵をリモートサーバーの authorized_keys へ安全に転送・追記する専用コマンドが ssh-copy-id です。

# 指定した公開鍵（-i オプション）をリモートホストの ~/.ssh/authorized_keys へ自動配置
ssh-copy-id -i ~/.ssh/id_ed25519.pub user01@192.168.2.138

3.3 SSHポートフォワーディング（ポート転送）の3大種別#

SSHプロトコルが提供する暗号化トンネルを経由して、安全でない通信プロトコル（HTTPやVNC、データベース接続など）を中継・保護する技術が SSHポートフォワーディング（トンネリング） です。LinuC試験では以下の3つのオプションが頻出します。

3.4 sshd -t による設定構文検査#

sshd_config を編集した後は、デーモンを再起動する前に必ず sshd -t コマンドを実行して設定構文の誤りを検査します。構文にエラーが存在したまま systemctl restart sshd を行うとSSH接続が切断され、サーバーから締め出される致命的障害に至ります。

[user01@linuc-node01 ~]$ sudo sshd -t
# エラーがない場合は何も出力せず終了コード0で復帰

4. ホスト型侵入検知システム（HIDS）と脆弱性診断#

ファイアウォールによる境界防御を突破された場合に備え、サーバー内部のファイル改ざんを即座に検知する仕組みと、外部から自サーバーの弱点を事前診断するツール群を整理します。

4.1 AIDE（Advanced Intrusion Detection Environment）による改ざん検知（実務拡張）#

LinuC 202試験の公式シラバス（主題2.12.4）では、侵入検知・セキュリティ運用として Fail2ban、Snort、OpenSCAP、nmap が指定されていますが、現場のサーバーセキュリティ管理で広く使われるファイル改ざん検知（HIDS）の代表格が AIDE（Advanced Intrusion Detection Environment） です。ここでは実務拡張としてAIDEの運用手順を解説します。

AIDEは、システム内の重要バイナリ（/bin, /sbin）や設定ファイル（/etc）のサイズ、パーミッション、所有者、更新日時、および暗号学的ハッシュ値（SHA256/SHA512等）を初期採取し、基準データベースとして保存します。定期的に現在のファイル状態と照合することで、バックドアの設置やファイルの改変を検出します。

4.2 nmap によるポートスキャン手法と防御#

自サーバーで不要なポートが開いていないか、意図しないサービスが外部に露出していないかを監査するネットワーク診断ツールが nmap（Network Mapper） です。

4.3 fail2ban によるブルートフォース攻撃の自動遮断#

SSHやWeb管理画面に対するパスワード総当たり攻撃（ブルートフォース）を検知・防御するデーモンが fail2ban です。/var/log/secure や access_log をリアルタイム監視し、短時間に一定回数以上の認証失敗を検知したIPアドレスを、nftablesやfirewalldを動的に操作して一定期間（例: 10分間）自動DROPします。

5. VPNトンネリング基盤（OpenVPN & 実務拡張：WireGuard）#

公衆インターネットを経由して、安全に社内LANやクラウドアセットへ接続するためのオープンソースVPNソリューションである OpenVPN および次世代VPNの WireGuard を整理します。

図2: OpenVPNトンネリング機構（TUN/TAP）とデータカプセル化

5.1 仮想デバイスドライバ（TUN vs TAP）#

OpenVPNは、Linuxカーネルが提供する仮想ネットワークインターフェースドライバを利用してパケットをカプセル化します。

5.2 OpenVPNサーバー設定（server.conf）の中核ディレクティブ#

OpenVPNサーバーの挙動を定義する server.conf の最重要ディレクティブを整理します。

5.3 WireGuardの概要と次世代VPNアーキテクチャ（実務拡張）#

LinuC 202試験ではOpenVPNが出題対象ですが、現場で採用が急増している次世代VPN WireGuard についても実務拡張として押さえておきましょう。Linux 5.6以降のメインラインカーネルに標準組み込みされたWireGuardは、コード行数わずか約4,000行というコンパクトさで圧倒的な高速性とセキュリティを実現しています。

• カーネル組込処理: TUNデバイスを介したユーザー/カーネル空間のコンテキストスイッチを排除し、極小のCPU負荷で高速暗号処理（ChaCha20-Poly1305, Curve25519）を実行。
• 公開鍵ペアによるPeer認証: SSHと同様に各端末が秘密鍵と公開鍵のペアを保持し、相手の公開鍵を登録するだけで接続が確立（wg genkey | tee privatekey | wg pubkey > publickey）。

6. LinuC 202試験（主題2.12）重要ポイント総整理#

主題2.12「システムセキュリティ」における記述式問題（コマ問）頻出コマンドおよび評価順序のポイントを整理します。

6.1 記述式（コマ問）頻出コマンド・設定ファイル一覧#

6.2 SSHパーミッション、DNAT/SNAT評価順序の盲点#

受験者が最も失点しやすい2大盲点を整理します。

7. まとめと次回予告（第16回：高可用性HAクラスタ【主題2.13】）#

本記事では、LinuCレベル2（202試験）における最重要防衛ラインであるシステムセキュリティについて、Netfilterの5大フックポイント（PREROUTINGからPOSTROUTING）、最新のnftablesによるホワイトリスト型ファイアウォール構築、公式重要度4のOpenSSHサーバー堅牢化（sshd_config、公開鍵認証、StrictModesパーミッション、ポート転送）、AIDEによるファイル整合性検証、nmapによるポートスキャン、およびOpenVPN（TUN/TAP）とWireGuardによる暗号化トンネルの構築手法を実機ログとともに体系的に解説しました。

次回（第16回）は、202試験の技術分野における最終関門「高可用性（HA: High Availability）クラスタと典型アーキテクチャ【主題2.13】」を取り上げます。障害発生時に瞬時に待機系へサービスを引き継ぐ Pacemaker & Corosync によるアクティブ/スタンバイHAクラスタ、スプリットブレインを防ぐフェンシング機構（STONITH）、および共有ストレージ同期（DRBD）の構築手順を詳細に解説します。

リンク