Mac OS X におけるネットワークセキュリティ

ここでは Mac OS X 10.4 Tiger におけるファイアウォールの設定方法を紹介します．

ファイアウォールの設定

1. “システム環境設定”を起動します．

   

2. インターネットとネットワークの“共有”をクリックします．

   

3. “ファイアウォール”をクリックし，“開始”をクリックします．

   

4. 上記の操作で制限を行えるのは TCP 通信のみです． UDP 通信を制限したい場合は“詳細...”をクリックし，設定を行う必要があります．

   

UDP 通信を制限した場合でも，主なクライアント機能は利用できるようにファイアウォールは設定されている様です．
ただし，視聴できないストリーミングメディアがあった場合，UDP 通信を制限した事が原因となっている場合もあります．

また，設定を行う Mac 上で各種サービスを利用する場合は，許可一覧に「入」のチェックを入れたり，詳細な設定を施す必要があります．
しかし，iBook や PowerBook を持ち運んで利用している場合，標準でチェックの入っている「ネットワークタイム」以外は許可する必要はないと思われます．

ファイアウォールの設定詳細

TCP のみ制限を行った場合の ipfw list の出力

02000 allow ip from any to any via lo*
02010 deny ip from 127.0.0.0/8 to any in
02020 deny ip from any to 127.0.0.0/8 in
02030 deny ip from 224.0.0.0/3 to any in
02040 deny tcp from any to 224.0.0.0/3 in
02050 allow tcp from any to any out
02060 allow tcp from any to any established
12190 deny tcp from any to any
65535 allow ip from any to any

TCP および UDP を制限した場合の ipfw list の出力

02000 allow ip from any to any via lo*
02010 deny ip from 127.0.0.0/8 to any in
02020 deny ip from any to 127.0.0.0/8 in
02030 deny ip from 224.0.0.0/3 to any in
02040 deny tcp from any to 224.0.0.0/3 in
02050 allow tcp from any to any out
02060 allow tcp from any to any established
12190 deny tcp from any to any
20310 allow udp from any to any dst-port 53 in
20320 allow udp from any to any dst-port 68 in
20321 allow udp from any 67 to me in
20322 allow udp from any 5353 to me in
20340 allow udp from any to any dst-port 137 in
20350 allow udp from any to any dst-port 427 in
20360 allow udp from any to any dst-port 631 in
20370 allow udp from any to any dst-port 5353 in
22000 allow udp from any to any dst-port 123 in
30510 allow udp from me to any out keep-state
30520 allow udp from any to any in frag
35000 deny udp from any to any in
65535 allow ip from any to any

TCP，UDP を制限し，ステルスモードを使用した場合の ipfw list の出力

02000 allow ip from any to any via lo*
02010 deny ip from 127.0.0.0/8 to any in
02020 deny ip from any to 127.0.0.0/8 in
02030 deny ip from 224.0.0.0/3 to any in
02040 deny tcp from any to 224.0.0.0/3 in
02050 allow tcp from any to any out
02060 allow tcp from any to any established
12190 deny tcp from any to any
20000 deny icmp from any to me in icmptypes 8
20310 allow udp from any to any dst-port 53 in
20320 allow udp from any to any dst-port 68 in
20321 allow udp from any 67 to me in
20322 allow udp from any 5353 to me in
20340 allow udp from any to any dst-port 137 in
20350 allow udp from any to any dst-port 427 in
20360 allow udp from any to any dst-port 631 in
20370 allow udp from any to any dst-port 5353 in
22000 allow udp from any to any dst-port 123 in
30510 allow udp from me to any out keep-state
30520 allow udp from any to any in frag
35000 deny udp from any to any in
65535 allow ip from any to any

IPv6 の場合

IPv6 を有効化している場合の ip6fw list の出力