ネットワーク

アドレスとポート

ネットワーク設定を理解することは、セキュリティの基礎です。

ポートの「公開範囲」って？

• 全体公開: インターネット上の誰でもアクセスできる
• 制限付き: アクセスはできるが、回数制限などがある
• 内部のみ: 同じマシン内のプログラムしかアクセスできない

トラフィック経路

公開ルート（インターネットからのアクセス）

インターネット → Caddy（80/443） → Gateway（ループバック）

SSHトンネル（管理用）

# ローカルPCからVPSのGatewayに直接アクセスする方法
ssh -L 18789:127.0.0.1:18789 user@<YOUR_VPS_IP>
curl http://localhost:18789/status

SSHトンネルを使うと、Gatewayポートを開放せずにローカルPCから直接確認できます。

UFW ファイアウォール

UFW（Uncomplicated Firewall）は、Ubuntu標準のファイアウォールです。

ルール設定

# デフォルトですべての受信を拒否
sudo ufw default deny incoming

# 必要なポートだけ開ける
sudo ufw allow 80/tcp      # HTTP（Caddy用）
sudo ufw allow 443/tcp     # HTTPS（Caddy用）
sudo ufw limit 22/tcp      # SSH（レート制限付きで brute-force 対策）
sudo ufw deny 18789        # Gateway ポート（明示的拒否）

# 有効化
sudo ufw enable

limit とは？

limit は「短時間に何度も接続してきたIPを自動ブロックする」設定です。SSHへの総当たり攻撃（ブルートフォース攻撃）を防ぎます。

確認コマンド

# DNSが正しく向いているか
dig +short example.com

# Gateway が外部から見えないことを確認
sudo nmap -p 18789 <YOUR_VPS_IP>     # → filtered/closed のはず

# Gateway が内部からは見えることを確認
sudo nmap -p 18789 127.0.0.1         # → open のはず

# UFWのルール一覧
sudo ufw status numbered