１．ファイアウォールのルール（ポリシー）について
パケットフィルタリング型ファイアウォール（Firewall）のルール（ポリシー）の例を示す。（※出題はH20SV　午前問題　問45より）

Firewallのルールは、以下にあるようにパケットのヘッダ部分を確認し、アクション（許可か禁止）を決定する。
IPパケットのヘッダを合わせて確認したい。

問題にあるように「ファイアウォールでの処理は、ルール一覧に示す番号の1から順に行い、一つのルールが適用された場合には残りのルールは適用されない。」というのが一般的である。
また、これも製品ごとの仕様であって規格などで決まっているわけではないが、ルールが無ければ基本的に拒否である。（※暗黙のDENY（ANY-ANY-DENY）が設定されているとも考えられる。）


２．戻りパケットのルール
書く必要はない。NetScreen/SSGの場合、動的フィルタリングにより、戻りのパケットは自動で許可される。例えば、内部から外部のレンタルサーバにPOP3にてメールを受信するとする。この場合、内部から外部へのPOP3（110）のみを許可すればよく、外部から内部へのPOP3は不要だ。 Ciscoのルータなどでフィルタリングを書く場合は、動的フィルタではないので、戻りもきちんと書く必要がある。


３．一般的なルールの考え
この考え方は、理解しておきましょう。

全般
　・基本的には全てのパケットを停止させ、必要なルールだけを開ける。
　・pingによる疎通試験用にICMPをすべて許可するという設計をする人もいるが、不要なポリシーは停止するのが本来である。
　・IPアドレスでのポリシーが多いが、外部のサイトはURLで指定することもある。その方が便利なこともある。
　・ポリシーは上から順にチェックし、合致するものがあれば、そのルールを適用する。つまり、それ以降は見ない。なので、順番は大事だ。

外部からDMZ
　・公開Webサーバなどのために必要なポリシーは、必要なだけ許可する。
例えば、Webサーバであれば、HTTP（80）とHTTPS（443）のみを許可する。公開サーバのIPアドレス宛ては全て許可するような設定はよくない。

外部から内部セグメントへのアクセス
　・外部から内部セグメントへのアクセスはすべて禁止する。
　・たまに、外部から内部へのポリシーを設定している企業を見るが、これは絶対に推奨できない。すべて禁止にすべきだ。
　・外部からの通信はすべてDMZのサーバとすべきであり、どうしても許可すべきものがあるなら、DMZに配置すべきである。
なんらかの事情でそれができない場合、送信元IPアドレスを固定するべきである。

内部から外部へのアクセス
　・内部からインターネットへの接続も、内部からのアクセスだから何でも許可するのはよくない。不正な情報漏えいを防ぐためだ。
　・WebアクセスはProxy経由という場合は、送信元をProxyのみに限定する。
　・また、プロトコルもHTTPなどと具体的に指定する。FTPを使わないなど、使わないプロトコルは拒否。