クラウドファイアウォール、VPS のトラフィックルールを無料で適用

はい、クラウドファイアウォールはすべてのサーバーで無料です。1つのファイアウォールにルールを50個まで登録し、サーバー10台まで適用できます。大量のトラフィック攻撃にまで備えたい場合は、サーバー1台あたり月 $1.68 の DDoS 防御を追加でき、この金額はサーバー料金と一緒に更新されます。ファイアウォールだけを使うサーバーは、サーバー料金のままです。

クラウドファイアウォールは、サーバー外のネットワーク段階でトラフィックをルールに従って許可または遮断するファイアウォールです。方向、プロトコル、ポート、IP アドレスの範囲でルールを決め、ルールに合うトラフィックだけをサーバーまで送ります。OS に関係なく動作するので、Linux と FreeBSD のサーバーのどちらでも同じ方法で使えます。

1つのファイアウォールにルールを50個まで作成できます。ウェブサーバーは通常80番、443番、22番ポートのルール3行で十分で、管理ツールやデータベースのポートを加えても余裕があります。役割の違うサーバーのグループは、ファイアウォールを別に作って分けると管理しやすくなります。ルールごとに方向、プロトコル、ポート、IP の範囲を決めます。

はい、同じファイアウォールをサーバー10台まで適用できます。ルールを1つ直せばまとめたサーバーすべてに一緒に反映されるので、サーバーごとに同じ設定を繰り返す必要はありません。ウェブサーバー用、データベース用のように役割ごとにファイアウォールを作っておけば、新しいサーバーには合ったファイアウォールを選ぶだけです。ルール管理が1か所に集まり、ミスが減ります。

クラウドファイアウォールだけでも必要なポートだけを開けておけますが、ufw や firewalld のようなサーバー内のファイアウォールを併用すれば、もう一段守れます。両方のルールを同じ方針で揃えておけば、片方の設定を誤っても、もう片方が防いでくれます。設定例はファイアウォールのガイド記事にまとめました。

受信トラフィックのルールで、22番ポートを自分が接続する IP アドレスからだけ許可する方法をおすすめします。これに SSH キーによるログインを組み合わせれば、パスワードを推測しようとする接続試行がサーバーに届きません。接続する場所が複数あるなら、それぞれのアドレスをルールに登録してください。ウェブのポートは全員に、管理用のポートは自分のアドレスにだけ開けるのが基本です。

ファイアウォールは決めたルールに合うトラフィックだけを通す機能で、DDoS 防御は許可したポートに一斉に押し寄せる大量のトラフィック攻撃を遮断する機能です。2つを組み合わせれば、必要なポートだけを開け、そのポートに来る攻撃にまで備えられます。DDoS 防御はサーバー1台あたり月 $1.68 です。

メール送信に使う25番ポートは、スパム防止のためすべてのサーバーで閉じています。ウェブサイトの通知メールは外部の配信サービスの587番または465番ポートで送信し、ファイアウォールの送信トラフィックのルールでこのポートを許可しておいてください。メールの受信やほかのポートは、ルールどおりに使えます。

いいえ、クラウドファイアウォールのルールはサーバーの外側にあるため、OS を再インストールしてもそのまま残ります。再インストール直後でサーバー内の設定を終える前でも必要なポートだけが開いているので、新しいサーバーを準備している間も同じルールで保護されます。ファイアウォールを変えたりルールを直したりするときもサーバーを再インストールする必要はなく、稼働中のサービスにすぐ反映されます。

すべてのサーバーには IPv4 アドレス1つと IPv6 アドレスが付きます。ファイアウォールのルールを作るときに IPv4 と IPv6 のアドレス範囲を一緒に登録しておけば、2つのアドレスに届くトラフィックを同じ方針で管理できます。サーバー内のファイアウォールも、IPv6 の設定をあわせてオンにしておくのがおすすめです。2つのアドレスを同じ方針で管理すれば、すき間がなくなります。