ファイアウォール・VPN・不正アクセス対策｜情報Ⅰ 最強120講義 第77講

こんにちは、数強塾代表の藤原進之介です。この記事は参考書『藤原進之介の最強120講義』の第77講「ファイアウォール・VPN・不正アクセス対策」のWeb版です。共通テスト「情報Ⅰ」での重要度はA（頻出。得点差がつく）、情報Ⅱでの接続先は(4)情報システムとプログラミングです。

前提になるのは第68講（プロトコルとTCP/IPの4階層）、第69講（パケット交換）、第70講（IPアドレス）、第74講（HTTPとHTTPS）です。この講は、そこで作った土台の上に「境界で通信を選り分ける」という一点だけを載せます。

1. 国の一次資料は、ここに何を書いていないか

まず、語がどこに何回出てくるかを数えました。対象は学習指導要領（平成30年告示）解説 情報編の全文、情報Ⅰ教員研修用教材（序章＋第1〜4章）、情報Ⅱ教員研修用教材（序章＋第1章・第2章・第3章前半・第3章後半・第4章・第5章）。すべてPDFをテキスト化し、空白を除去してから機械的に数えています（2026年8月3日実施）。

語数調査（第77講で実施・2026年8月3日）

読み方が3つあります。

(a) 解説の「ファイアウォール」1件は、情報Ⅰではなく情報Ⅱの記述

該当箇所は情報Ⅱ(4)ア(ア)です。

つまり情報Ⅰ側の解説に「ファイアウォール」という語は一度も出てきません。

(b) 情報Ⅰ教員研修用教材は、仕組みを一行も説明していない

4件の内訳は、第1章の1段落に3件、第4章に1件だけ。第1章の原文はこうです。

「導入せよ」しか書かれていません。 第4章の1件も「ルータ等のLANの内部と外部を分ける機器については，どのような役割を果たしているのか，IPアドレスや簡単なプロトコル，ファイアウォールなどとの関係などとともに生徒に理解させることが必要である」という、指導者に向けた要請です。

(c) VPNは、そもそも共通教科の一次資料に無い

解説の2件はどちらも専門教科情報科の「ネットワークシステム」の記述で、共通教科（情報Ⅰ・情報Ⅱ）側は0件。教員研修用教材は情報Ⅰ・情報Ⅱとも全章0件でした。

名前だけ知る段階が情報Ⅰ、何を見て何をしているかを説明するのが情報Ⅱ、VPNはその外側。 共通テストで問われる以上、この空白は自分で埋めるしかありません。

2. ファイアウォールは「悪いもの」を見分けていない

仕組みを説明している唯一の一次資料が、情報Ⅱ教員研修用教材 第4章 学習20「情報システムの情報セキュリティ」です。

「パケットのヘッダーを見て」。 ここが本講の全部です。

第69講で扱ったとおり、パケットには必ずヘッダが付き、そこに宛先と送信元が書いてあります。ファイアウォールが読んでいるのはその札だけで、封筒の中身ではありません。「このデータは機密情報だ」「このリクエストは攻撃だ」といった判断は、原理的にしていないのです。

しかも同じ教材の図表4には、図中にこう書かれています。

「それ以外は遮断」。 考え方の順序が「悪いものを見つけて止める」ではなく、「許可すると決めたもの以外は全部落とす」なのです。ウイルス対策ソフトのように悪いもののリストを持っているわけではありません。持っているのは通してよいもののリストです。

この違いは大きい。悪いもののリストは新しい攻撃が出るたびに更新しないと穴が空きます。通してよいもののリストは、知らない攻撃に対しても最初から閉じています。ファイアウォールが強いのは賢いからではなく、既定が「拒否」だからです。

3. なぜポート番号で区別できるのか ── 住所と部屋番号

同じ学習20が、ポート番号をこう定義しています。

第68講の階層構造を思い出してください。IPアドレスはインターネット層、ポート番号はトランスポート層に書かれます。層が違うということは、役割が違うということです。

• IPアドレス＝どの機械か（建物の住所）
• ポート番号＝その機械のどのサービスか（建物の中の部屋番号）

1台のサーバがWebもメールもSSHも同時に喋れるのは、同じ住所に部屋がたくさんあるからです。そしてファイアウォールが「Webは公開、データベースは遮断」と書き分けられるのも、宛先に部屋番号まで書いてあるからです。住所しか書いていなければ「そのサーバへの通信を全部通す／全部止める」しか選べません。

教材の図表5は代表的なポート番号として 22 SSH／53 DNS／80 HTTP／123 NTP／443 HTTPS を挙げます。推測で番号を書くわけにはいかないので、1件ずつ裏を取りました（2026年8月3日確認）。

ここでRFCの言葉づかいに注目してください。RFC 9110 の 4.2.1 はこう書いています。

is the default（既定である）であって、must be ではありません。443番も同じ書き方です。つまりポート番号は約束であって強制ではない。80番で全然別のものを喋ることも、技術的にはできてしまいます。

したがって「80番を許可する」は「HTTPだけを許可する」と同じ意味ではありません。 ファイアウォールは番号を見ているのであって、プロトコルを見ているのではないのです。

4. だから、許可したポートを通る攻撃は素通りする

Webサーバを公開するということは、80番と443番を世界中に開けるということです。

すると、第74講で扱ったXSS（クロスサイトスクリプティング）はどうなるでしょうか。攻撃はWebサーバに向かってきます。宛先IPは正しい。宛先ポートは443。送信元IPは世界のどこかの普通のIPアドレス。ヘッダは完全に正常です。 ルール表には「443番は許可」と書いてある。だから、通ります。

さらにHTTPSなら中身は暗号化されています。境界にいる機器から見れば、ただの読めないバイト列が正しい部屋番号に向かって流れていくだけです。

これは欠陥ではなく、設計上の当然の帰結です。公開するとは「通す」と決めることで、通すと決めたものは通るのですから。

そして重要なのは、教材自身がこの限界を、方式をもう1つ並べることで示していることです。学習20はパケットフィルタリング方式に続けて、こう書きます。

ヘッダを見るだけで足りるのなら、「アプリケーションレベルでフィルタリングを行う方式」を別に用意する必要がありません。 教材が2つの方式を並べて書いていること自体が、「ヘッダだけでは足りない」ことの一次資料上の証拠です。

5. DMZが要る理由 ── 破られる前提の場所を作る

公開しなければならないサーバがあります。Webサーバがそうです。世界中から接続できなければ意味がない。

では、そのWebサーバを社内LANの中に置いたらどうなるでしょうか。そこを乗っ取られた瞬間、攻撃者は社内LANの内側に立っています。 内側からなら、社内データベースへの通信は「内部同士の通信」に見える。境界のファイアウォールは、内側で起きていることを見ていません。

情報Ⅱ教員研修用教材 第1章は、この乗っ取りの帰結を「乗っ取られたデバイスが他者を攻撃するための踏み台として利用されてしまう」と書いています。踏み台にされるのは他者への攻撃だけではありません。自分の組織の内側への踏み台にもなります。

だから、公開するものを置く場所を分ける。学習20の原文です。

「両方から隔離された」という書き方に注意してください。DMZは「外から守られた安全地帯」ではありません。外からも内からも切り離された中間地帯です。設計思想はこうです。

• 公開サーバは、いつか破られるかもしれない
• 破られてもいいように、そこから内部へは行けなくしておく
• つまりDMZは「破られる前提の部屋」である

セキュリティを「破られないようにする」話だと思っていると、この発想は出てきません。破られたあとの被害の大きさを設計するのがDMZです。

同じ学習20は、この分け方を「ネットワークのセグメント化」として一般化し、教育現場の例として校務系・校務外部接続系・学習系の3分離を挙げ、物理的な配線と独立に区画を作るVLANにも触れています。第70講でサブネットマスクを使って学んだ「アドレス空間を切る」という操作が、ここでは「機密性の高さで区画を切る」という設計行為になります。切る技術は同じで、切る理由が変わる。

6. VPNが解決していること ── 経路を信用しない

第69講で確認したとおり、インターネットは他人の荷物と混ぜて流す仕組みです。あなたのパケットは、あなたが契約していない事業者の回線を、あなたが知らない機械を経由して運ばれていきます。

ここに1つの事実があります。経路上の機械は、通過するパケットを見ることができる。 ヘッダを見て転送先を決めるのが仕事なのですから、当然です。

そこで道が2つあります。

• 経路そのものを信用できるものにする … 専用線を引く。安全だが、拠点の数だけ回線が要る
• 経路は信用しないまま、中身を読めなくする … 暗号化する

VPN（Virtual Private Network）は後者です。通信路そのものは信用できないので、経路を信用する代わりに中身を暗号化して、信用できない経路の上に信用できる管を1本通す。 「Virtual（仮想の）Private（専用）Network」という名前が、そのまま「専用線を借りたことにする」という意味になっています。

解説 情報編でVPNに触れている唯一の箇所（専門教科「ネットワークシステム」）も、この位置づけで書かれています。

「物理ネットワークとの比較」という語が入っているのが要点です。物理的には他人の回線を通っている。論理的には自社の専用線である。この差を作っているのが暗号です。

そして暗号の中身は第16講・第17講そのものです。速く大量に流すには共通鍵暗号が要るが、共通鍵は相手に渡す方法がない（鍵配送問題）。だから最初のやり取りだけ公開鍵暗号で鍵を共有し、以後は共通鍵で流す。学習20の図表3は、SSL/TLSを「共通鍵暗号方式の利点と，公開鍵暗号方式の利点の双方を生かすような暗号方式」と説明しています。VPNが解いている問題は、第16・17講で解いた問題とまったく同じです。

注意：VPNは「匿名になる道具」ではありません。 VPNが守るのは経路上での盗聴と改ざんであって、接続先のサーバから見た自分の正体でも、自分の端末の中身でもありません。管の出口から先は、普通のインターネットです。

7. 「対策すれば安全」ではない

ここまでで終わると、この講は不誠実になります。

学習指導要領解説 情報編は、情報Ⅰ(1)ア(イ)で、法規と情報セキュリティの扱いについてこう書いています。

「技術的対策だけでは対応できない」。 これは国の一次資料の文言です。では、技術で対応できないものとは具体的に何なのか。ここで解説が並べて名指ししている法律を読むと、答えが出ます。

不正アクセス行為の禁止等に関する法律（平成11年法律第128号）第2条第4項は、「不正アクセス行為」を3つの類型で定義しています。第一号はこうです。

平たく言えば、他人のIDとパスワードを入力してログインする行為です。第二号・第三号は「制限を免れることができる情報又は指令を入力して」という書き方で、いわゆるセキュリティホールを突く行為を指します。そして第3条は一行、「何人も，不正アクセス行為をしてはならない」。

第一号の行為が、境界防御にとって何を意味するか考えてみてください。正規のIDとパスワードを使って正規のポートから入ってくる通信は、パケットのヘッダが完全に正常です。 送信元も宛先もポート番号も、ルール表と矛盾しない。ファイアウォールは1バイトの異常も検出できません。

法律がこの行為をわざわざ犯罪として定めているのは、技術では止まらないからです。 止められるなら、罰する必要がありません。

情報Ⅱ教員研修用教材 第1章も、実務の側から同じことを書いています。

原因の筆頭に挙がっているのは、壁の不在ではなく放置された脆弱性です。ファイアウォールの未設置は「他にも」の側にあります。

さらに、境界の外側と内側という発想そのものにも限界があります。持ち出したノートパソコン、内部の人間による持ち出し、業務委託先の端末。壁は、壁の内側にいる者には効きません。

同じ学習20は、冒頭でこうも書いています。情報セキュリティの3要素は「最大限確保すればいいものではなく，情報システムの運用コストや，導入コストを考慮した上で検討していかなければならない」。セキュリティは「やるかやらないか」ではなく「どこまでやるか」であり、「どこまで」を決めるのは技術ではなく人と組織です。

8. 手で確かめる ── ルール表を自分で設計する

ファイアウォールの理解は、ルール表を自分で書いてパケットを1件ずつ判定すると一発で身につきます。読むだけでは絶対に身につきません。紙とペンでやってください。

8-1. 要件

• 要件1：自社のWebサイトは世界中に公開する
• 要件2：社内の顧客データベースは、外部から一切触れない
• 要件3：社員は出張先から社内へ接続できる

8-2. アドレスの割り当てと構成

例示にはRFC 5737の文書用アドレス（198.51.100.0/24、203.0.113.0/24）とRFC 1918のプライベートアドレス（192.168.0.0/16）だけを使います。実在の機器のアドレスは書きません。

境界・DMZ・VPNトンネルの関係（例示アドレスはRFC 5737とRFC 1918のみ）

8-3. ルール表を書く

ルールは上から順に照合し、最初に一致したもので決めます。どれにも一致しなければ最後の行で拒否する。これが第2節で見た「それ以外は遮断」です。ここでは話を簡単にするため、ルールは新しく始まる通信の向きについてだけ書きます（実際の機器は、許可した通信の折り返しを自動で通す仕組みを持っています）。

ポート番号 500（isakmp）と 3306（mysql）も、IANAのレジストリで確認した番号です。

ルール4に注目してください。 DBサーバへ行ってよいのは、DMZのWebサーバ1台だけです。DMZ全体でも、内部LAN全体でもない。破られる前提の部屋から内部へ届く経路を、1本だけ、1つのポートだけに絞っている。 これがDMZを作る意味です。

8-4. パケットを1件ずつ判定する

(b) が要件2を満たしています。外部からDBサーバへの通信は、どのルールにも一致しないので6行目で捨てられる。「DBを拒否するルール」を書いたからではありません。何も書かなかったから落ちたのです。

(c) が効いているのも同じ理屈です。WebサーバでSSHが動いていても、22番を許可するルールが無いので外からは触れません。サービスを止めていなくても、通り道が無ければ届かない。

(g) は「データベースのポート番号を、DMZのWebサーバに向けて投げてみる」という常套手段ですが、これも落ちます。ルール1・2が許可しているのは443と80だけで、宛先IPが一致してもポートが違えば別のルールだからです。

そして (h) です。宛先も、ポートも、ルール1と完全に一致します。中身がXSSの攻撃コードであっても、ヘッダには何も書いていない。 ルール表はヘッダしか見ないので、通します。

この1行が、本講で最も持ち帰ってほしいものです。 ファイアウォールは(b)(c)(g)を止めますが、(h)は止められません。だから第74講で扱ったWebアプリケーション側の対策が別に要りますし、教材が言うアプリケーションゲートウェイ方式が別に要るのです。

8-5. 自分で1行足してみる

要件を1つ増やしてみてください。「社内のPCから、外部のWebサイトを閲覧できるようにする」。

ルールを1行足すことになります。送信元は 192.168.10.0/24、宛先は any、宛先ポートは TCP 80 と 443。このルールを足した瞬間に、社内PCがマルウェアに感染した場合、そのマルウェアは443番を使って外部へ自由に通信できることに気づけたでしょうか。

出ていく通信を許可することは、内部から外部へ情報を持ち出す道を開くことでもあります。境界防御が「外からの侵入」だけの話ではないと分かれば、この単元は理解できたと言ってよい。

9. 共通テストではこう出る（重要度A）

出題は3つの型に整理できます。問題文は転載しませんので、構造だけ示します。

型1：ファイアウォールの働きを選ぶ

正解はヘッダの情報（IPアドレス・ポート番号）とルールに基づいて通過の可否を判断するという趣旨の記述になります。誤答は「通信内容を検査してウイルスを発見する」「暗号化して盗聴を防ぐ」のように、別の対策の働きをファイアウォールの働きとして書いたものが定番です。

型2：どの通信が遮断されるか判定する

構成図とルール表が与えられ、具体的な通信が通るか止まるかを選ばせる型。8-4でやったことそのものです。急所は3つ。

• 宛先IPが合っていてもポートが違えば別のルール
• どのルールにも当たらないものは通らない（許可リスト方式）
• 向きが逆なら別のルール（内から外と外から内は別物）

型3：脅威と対策を対応させる

「盗聴」「なりすまし」「改ざん」「不正侵入」に、「暗号化」「デジタル署名」「認証」「ファイアウォール」を対応させる型。情報Ⅱ教員研修用教材の図表3が、共通鍵暗号・公開鍵暗号を「盗聴対策に効果的」、デジタル署名を「改ざん対策に効果的」と効果で書き分けているので、この対応で覚えるのが最短です。

引っかけの急所5つ

• 「ファイアウォールが中身を検査している」と思い込む（見ているのはヘッダ）
• 「入れたから安全」と思い込む（許可したポートは通る／正規の認証情報には無力）
• DMZを「安全な区画」だと思い込む（破られる前提で内部から切り離した区画）
• VPNを「匿名化の道具」だと思い込む（守るのは経路上の盗聴と改ざん）
• ポート番号とIPアドレスの役割を取り違える（どの機械か／その機械のどのサービスか）

10. 情報Ⅱではこうなる

10-1. パケットの役割が交代する

第69講で、私はこう書きました。パケットに貼るヘッダは必ず損をするオーバーヘッドである、と。3MBのファイルを1,480バイトずつに切れば、20バイトのヘッダが2,028個分、つまり40,560バイトの「送りたくないもの」が増え、効率は98.67%まで落ちます。情報Ⅰでのヘッダは、はっきりとコストでした。

ところが第69講の調査で、決定的な事実が見つかっています。情報Ⅱ教員研修用教材 第4章を全文検索すると、「パケット」という語は学習20「情報システムの情報セキュリティ」のファイアウォールの節にしか現れません（学習19・21〜25には0件）。そこでの原文がこれです。

情報Ⅰで「必ず損をする」と教わったヘッダが、情報Ⅱでは「セキュリティ設計の足場」になります。

これは比喩ではありません。パケット交換は「他人の荷物と混ぜて流す」仕組みだから、途中の機器は封筒を開けずに札だけ読んで転送先を決めています。その「札だけ読む」という性質が、そのまま「中身を開けずに通す／止めるを判断できる」に化けている。分割してヘッダを貼るという情報Ⅰの決断が、情報Ⅱの境界防御を可能にしているのです。

• 情報Ⅰのパケット＝運ぶ単位（効率の話）
• 情報Ⅱのパケット＝検査して通す／止める単位（設計の話）

第1節で示した語数の表を、この観点でもう一度見てください。パケットフィルタリング 0→0→4、ポート番号 0→0→7、DMZ 0→0→2。この3語はすべて情報Ⅱの第4章にしか存在しません。 情報Ⅰと情報Ⅱの分水嶺が、数字で見えています。

10-2. 「守られる側」から「設計する側」へ

情報Ⅰでの学習者は、守られる側にいます。情報Ⅰ教員研修用教材が書いていたのは「ファイアウォールを導入し」「パーソナルファイアウォールを各コンピュータに導入し」でした。主語が「導入する」で終わっています。

情報Ⅱの学習20の演習2は、こうです。

「どのような対策をすれば防げたのかを考えてみましょう」。 対策を選ぶことが学習者の作業になっています。同じ教材の第1章 学習2 の演習1が「どのような暗号方式を選ぶべきかを調べてまとめましょう」であることと、完全に同じ構図です。情報Ⅱでは方式の選択が学習者に渡されます。

そして第4章の並び順そのものが、設計の順序になっています。

• 学習19：情報システム全体の情報の流れ（2層／3層クライアントサーバ構成）＝どこに何を置くか
• 学習20：情報システムの情報セキュリティ＝どこで切って、どこで検査するか
• 学習22：モジュールへの分割とインタフェース定義＝境界の切り方を一般化する
• 学習24：分割したシステムの結合とテスト＝切った境界が本当に効いているか検証する

Webサーバは学習19では「3層構成の1層」であり、学習20では「DMZに置く対象」であり、学習24ではセキュリティテストの対象になります。同じ1台のサーバが、置き場所・通し方・検査という3つの視点から扱われる。 これが「設計する側に回る」ということです。

接続先は第117講（情報システムの設計）です。情報Ⅰの第77講で「ファイアウォールは何を見ているか」を理解した人だけが、情報Ⅱで「どこに壁を立て、どこに穴を開けるか」を設計できます。 今日は「ファイアウォールを入れれば安全」ではなく、「ヘッダしか見ていない」という一点を持って帰ってください。