△　図をクリックすると拡大されます 図4●Windowsファイアウオールの例外リストを編集している画面

アプリケーション単位の制御が可能
　外部からの通信を許可する場合は，そのプログラムやポートをWindowsファイアウオールの例外リストに登録し，チェックボックスをチェックすればよい（図4）。通信を受け取る相手についても，「全IPアドレス」「同一サブネット内」「特定のIPアドレスのみ」といった設定が可能だ。

　ICFはポート単位での制御だけだったが，Windowsファイアウオールでは，ポートだけでなくアプリケーションごとでも制御可能になった。

　Windowsファイアウオールは，アプリケーションが利用するポートを把握しており，アプリケーション単位で必要なポートをまとめて開閉できる。しかも稼働状態と連動しており，ポートはアプリケーションの稼働時のみ開かれる。アプリケーションを起動していなければポートは閉じておく。ポートを常時開くICFよりも，安全にポートを開けることが可能になった。

　まだ例外リストに登録されていないアプリケーションが外部へポートを開くことを要求すると，図5のような警告が表示される。この画面で［ブロックを解除する］をクリックすると，例外リストに「全IPアドレスからの通信許可」の状態でアプリケーションが登録される。つまり，ユーザーは外部からの通信を受信したいアプリケーションをいちいち登録しなくて済む。

図5●Windowsファイアウオールの警告画面 Windowsファイアウオールの例外リストにないアプリケーションが，外部からのパケットを受信する動作を開始した場合，Windowsファイアウオールが警告画面を表示する。ここで［ブロックを解除する］をクリックすると，このアプリケーションへの通信が許可される。

△　図をクリックすると拡大されます 図6●サービスをWindowsファイアウオールの例外リストに登録する画面

　ただしMSDE 2000のようなWindowsのサービスとして動作するサーバー・アプリケーションは，図5のようなウインドウを表示しない。手動でWindows ファイアウオールの例外リストに登録する必要がある（図6）。

Windowsとの親和性が高い
　Windowsファイアウオールは，Windowsとの親和性が非常に高いという特徴を持っている。

　まずWindowsファイアウオールは，マシンのブート時にも有効である。ICFや他のファイアウオール製品は，ネットワーク接続が有効化されてからファイアウオール機能が有効になるまでにタイムラグがあり，その間は外部に対して無防備な状態になる。しかしWindowsファイアウオールは，マシンの起動時に「起動時ポリシー」という特別なポリシーで素早く起動する。この間はDNSやDHCPといった基本的なネットワーク機能と，ドメイン・コントローラへの参加以外の通信は禁止される。

　Windowsの機能が特別扱いされていることもWindowsファイアウオールの特徴である。例えばWindowsメッセンジャーは，あらかじめ例外リストに登録されていなくても，初めて起動した時点で例外リストに「通信許可」で登録される。同様に「ファイルとプリンタの共有」も，ファイルやプリンタの共有設定を有効にしただけで通信許可が登録される。

　これらのWindowsの機能に関してはXP SP2のインストール時にも自動検出する。例えば，元々Windowsメッセンジャーを使っていたり，ファイルとプリンタ共有を有効にしているマシンに対してXP SP2を適用すると，そのマシンの例外リストは，最初からこれらのアプリケーション/サービスが許可された状態になる。

　これに対し，ユーザーが追加でインストールしたアプリケーションやサービスにはこのような連携機能はない。

　「ファイルとプリンタの共有」はXP SP2では特別なサービスとして扱われる。これが許可されると，「UDP 137」「UDP 138」「TCP 139」「TCP 445」のポートが同一サブネットに対して常に開かれる。そのため，これらのポートを利用する他のアプリケーションやサービスの通信も有効になる。例えば，「Micorosoft Baseline Security Analyzer」による外部からのスキャンへの応答なども可能になる。またTCP 445ポートが開くと，連動して「ping」に対しても応答するようになる。「ファイルとプリンタの共有」を有効にすると，他の様々な機能が有効になることは覚えておきたい。

【用語解説】

＊サブネット
小規模なネットワークをつなげて大規模なネットワークを作るとき，個々のネットワークがサブネットである。一般にルーターによってサブネットが交互に接続される。Back

＊MSDE 2000
Microsoft SQL Server 2000 Desktop Ebgineの略。SQL Server 2000のサブセットになっているデータベース・エンジン。クライアント・マシンでの利用やサーバーでの試験的な利用を目的に，マイクロソフトが無償で配布している。Back

＊ping
相手とTCP/IPで通信できるかどうかをチェックするコマンド。引数として，ホスト名やIPアドレスを指定すると相手に向かってパケットを発行する。パケットが無事到達するとリプライを返して接続できていることが確認できる。Back