ファイアウォールと ArcGIS Server

ファイアウォールの機能

各コンピュータには、他のコンピュータが情報を送信するために使用する数千ものポートがあります。ファイアウォールは、他のコンピュータが通信に使用できるコンピュータ上のポートの数を制限するセキュリティ メカニズムです。ファイアウォールを使用して通信を少数のポートに制限すると、それらのポートを厳重に監視して攻撃を阻止できるようになります。また、通信を既知のポートにのみ制限するようにファイアウォールを構成することもできます。

ファイアウォールは、ハードウェア、ソフトウェア、またはその両方を通じて実装することができます。ファイアウォールは、ワームやトロイの木馬といったオープン ポートを通じてシステムへの進入をもくろむ攻撃を阻止するのに威力を発揮します。電子メールに添付されたウイルスやネットワーク内部の脅威からシステムを保護するものではありません。したがって、ファイアウォールは重要ですが、セキュリティ全般をつかさどる唯一のコンポーネントではありません。アンチウイルス ソフトウェアと強固な認証/認可手法は、ファイアウォールと合わせて導入すべきセキュリティ手法の一例です。

ファイアウォールによる GIS サーバの保護

ArcGIS Server コンポーネント間でのファイアウォールの設置は推奨もサポートもされません。これには、Web ADF と GIS サーバ間のファイアウォールと、SOM（Server Object Manager）と SOC（Server Object Container）間のファイアウォールが含まれます。ArcGIS Server システムをファイアウォールで保護するために推奨される手法は、境界ネットワークにリバース プロキシ Web サーバを構成することです。これは、DMZ（DeMilitarized Zone）またはスクリーン サブネットと呼ばれる手法です。このシナリオでは、トラフィックを既知のポート（通常はポート 80）に制限するファイアウォール経由で、リバース プロキシ Web サーバが HTTP リクエストを受信します。そして、リクエストはエンド ユーザに公開されないポートを使用する別のファイアウォールを経由して、セキュリティで保護された内部ネットワーク上の ADF Web サーバに送信されます。ADF Web サーバは、他の ArcGIS Server コンポーネントとの間で無制限の DCOM（Distributed Component Object Model）通信を確立することができます。このようにして、GIS サーバ全体をセキュリティで保護された内部ネットワーク上で動作させ、コンポーネント間のファイアウォールを不要とします。

次に、このシナリオの各コンポーネントを詳しく見ていきます。

• 境界ネットワークは、インターネット ユーザがファイアウォール経由でアクセスできるコンピュータで構成されますが、セキュリティで保護された内部ネットワークの一部ではありません。境界ネットワークは、（ADF、SOM、SOC を含む）ArcGIS Server システムのすべてのコンポーネントにインターネット クライアントが直接アクセスできないようにします。
• リバース プロキシ Web サーバは、境界ネットワーク上でポート 80 などの共通ポートを通じてインターネット リクエストを受信します。他のポートからのアクセスはファイアウォールによって阻止されます。リバース プロキシ Web サーバは、クライアントには公開されないポートを使ってリクエストをリダイレクトする別のファイアウォール経由で、リクエストをセキュリティで保護された内部ネットワークに送信します。
• ADF をホストする Web サーバ、SOM、SOC、およびデータ サーバはすべて、セキュリティで保護された内部ネットワークの一部です。セキュリティで保護された内部ネットワークに渡されるリクエストは、リバース プロキシ Web サーバから送信され、ファイアウォールを通過したものでなければなりません。セキュリティで保護された内部ネットワークからのレスポンスは、送信されてきたときと同じようにクライアントに返されます。まず、レスポンスはファイアウォール経由でリバース プロキシ Web サーバに渡されます。さらに、リバース プロキシ Web サーバが別のファイアウォール経由でレスポンスをクライアントに送信します。

ArcGIS Server for Microsoft .NET Framework とリバース プロキシ Web サーバを構成する手順については、「Esri Knowledge Base 32634」をご参照ください。