Macのファイアウォール｜何を止めていて、どこで状態を見るか

mac ファイアウォールという言葉で検索する人の多くは、いま自分のMacでそれがオンなのかオフなのかを知りたい。そしてもう一歩進むと、オンにすると何が止まるのか、止めてはいけないものまで止まらないのかが気になる。この記事では、状態を見る場所、オプションの各項目が何を指しているのか、そしてオンにしたあとに起きやすい詰まりを順に整理する。

止めているのは「入ってくる接続」だけ

最初にはっきりさせたいのが、この機能の担当範囲である。macOSのファイアウォールは、インターネットやネットワークにつながったMacを、ほかのコンピュータからの不要な接続から保護する仕組みである。向きが決まっていて、外からMacへ入ってこようとする接続を見る。

macOSのファイアウォールは、外部からMacへ侵入しようとする不正な「受信接続（Inbound）」を監視し、必要に応じてブロックする防御機能です。 出典: equnetshop.com

逆に言えば、Macから外へ出ていく通信は担当ではない。アプリが勝手にどこかへデータを送るのを止めたい場合、この機能では実現できない。そこを止めたい場合は、出ていく側を見る別の製品を入れることになる。ここを混同したまま「オンにしたのに通信が止まらない」と悩む例が多い。

もうひとつ、オンにしても通る道が用意されている。ファイル共有などの共有サービスを有効にしている場合、macOSはそのサービスが通信できるように特定のポートを開く。また、ほかのシステム上のアプリやサービスが、ファイアウォール経由のアクセス権を要求して付与される場合があり、信頼できる証明書を持っているために許可される場合もある。つまり、オンにしたからすべて閉じる、という単純な状態にはならない。

状態を見る場所と、オンにする手順

見る場所は決まっている。アップルメニューからシステム設定を選び、サイドバーでネットワークをクリックして、ファイアウォールをクリックする。項目は下のほうにあるので、スクロールが必要な場合がある。

この画面でスイッチがオンになっていれば有効である。オフなら、そこで切り替えるだけで有効になる。追加の設定をしたい場合はオプションをクリックする。なお、オプションのボタンは、ファイアウォールがオフのあいだは押せない。先にオンにしてからでないと中身を見られない。

そもそも既定でどうなっているかを気にする人が多いが、確かめる手段は画面を開くことしかない。外部の解説でも、あるかどうかではなく自分のMacでいまどうなっているかを見ることが要点として挙げられている。

実際、macOSには最初からファイアウォール機能が組み込まれている。Appleも、これはネットワークアクセスやDoS攻撃からMacを保護するための仕組みだと案内している。つまり、機能そのものはちゃんとある。問題は、その存在を知っているかどうかではなく、自分のMacで今どうなっているかを確認しているかである。 出典: note.com

会社から支給されたMacでは、この設定が管理者によって配られていて自分で変えられない場合がある。スイッチが灰色になっていて動かないなら、手元の操作の問題ではない。

オプションの5項目が、それぞれ何を決めているか

オプションの中には、意味を知らないと選べない項目が並んでいる。Appleの案内をもとに整理すると、次のようになる。

項目	決めていること
外部からの接続をすべてブロック	重要でないサービスおよびアプリへの受信接続を止める。基本インターネットサービス以外の共有サービスへの接続が塞がる
追加と削除	受信接続を許可するアプリやサービスを、一覧に足す、または外す
内蔵ソフトウェアが外部からの接続を受け入れるのを自動的に許可	有効な認証局によって署名された内蔵アプリやサービスを、許可のリストへ自動で入れる
ダウンロードされた署名付きソフトウェアが外部からの接続を受け入れるのを自動的に許可	有効な認証局によって署名された、ダウンロードしたアプリやサービスを、許可のリストへ自動で入れる
ステルスモードを有効にする	Macの存在を明らかにするプローブリクエストに応答しないようにする

上の2つの自動許可は、便利さと引き換えに許可の範囲を広げる項目である。切ると、署名されたアプリでも毎回自分で判断することになる。判断の回数が増えるので、切るかどうかは扱っている情報の重さで決めたい。

外部からの接続をすべてブロックを選ぶと、ネットワーク上のほかのコンピュータが提供しているサービスを見つけるためのアプリの組は残る一方、それ以外の共有サービスへの接続は止まる。社内のファイル共有やプリンタの共有を使っているなら、ここを入れると業務が止まる側に倒れる。

ステルスモードは何を静かにするのか

ステルスモードは名前から中身が読みにくい項目である。オンにすると、Macの存在を確かめるために送られてくる問いかけに答えなくなる。

セキュリティが心配な場合は、ステルスモードを使うと、ハッカーやマルウェアがお使いのMacを検出するのをより困難にすることができます。ステルスモードがオンになっている場合、お使いのMacは、「ping」リクエストにも、非公開のTCPやUDPネットワークからの接続の試行にも応答しません。 出典: support.apple.com

承認したアプリからの要求には引き続き応答するので、ふだん使っているものが動かなくなることは少ない。一方で、社内のネットワークの調査や、機器の一覧を作る仕組みが導通の確認にpingを使っている場合、そのMacが居ないものとして扱われる。原因不明の「管理台帳に出てこない」の正体がこれである場合がある。

設定する場所はファイアウォールのオプションの中で、ファイアウォールがオフだと入れない。先にオンにしてから、ステルスモードを有効にするをオンにしてOKを押す。

オンにしたあとに詰まる場所

有効にしてから起きやすい詰まりは、だいたい3つに分かれる。

1つ目は、アプリが受信を待てなくなることである。ファイアウォール経由でのアプリのアクセスをブロックすると、そのアプリや、それに依存している別のソフトウェアの動きを損なう場合がある。画面共有、音楽の配信、開発用のローカルサーバ、ゲームの対戦のような、外から入ってくる接続を前提にしたものが影響を受ける。

2つ目は、一覧に出ていないアプリである。Appleは、リストに表示されない一部のアプリにアクセスが許可されている可能性があると明記している。システムのアプリ、サービス、プロセス、そしてほかのアプリによって自動的に開かれたデジタル署名されたアプリが含まれる場合がある。こうしたものを塞ぎたいなら、自分で一覧へ追加する必要がある。

3つ目は、警告の出方である。リストに追加しておらず、許可もしていないアプリが接続しようとすると、ネットワークまたはインターネット経由で接続することを許可するか拒否するかを尋ねる警告が出る。この警告は何か操作をするまで出たままで、そのあいだアプリへの接続は拒否されている。作業中に出た警告を放置していて、原因を探し回ることになるのはこの動きが理由である。

もうひとつ、思わぬところに影響が出る例として、バックアップがある。Time Machineの案内には、ネットワークの接続が解除されてバックアップを完了できない場合、他社製のファイアウォールソフトウェアがネットワークバックアップデバイスへの接続に干渉している可能性がある、という説明がある。標準の機能とは別に、セキュリティ製品が自前の通信の制御を持ち込んでいることがあるので、入れているものを数え直したい。

切らずに済ませるための考え方

困ったときにファイアウォールを丸ごと切るのは、いちばん手早い一方でいちばん範囲が広い。順序を決めておくと、切らずに済む場面が増える。

最初に、止まっているのが本当に受信の接続なのかを確かめる。外へ出ていく通信の問題なら、この機能を切っても直らない。次に、該当のアプリを一覧へ追加して許可する。アプリやサービスの追加は、オプションの中の追加のボタンから選ぶ形になっており、追加したあとに上下の矢印で許可かブロックかを選べる。個別に開けられるなら、全体を切る必要はない。

そして、共有の設定を見る。共有の設定で特定の共有サービスを有効にすると、その共有サービスはファイアウォール経由で接続できる。逆に、使っていない共有サービスを共有の設定で無効にすれば、そちらの受信は止まる。ファイアウォールの側で穴を数えるより、使わない共有を止めるほうが結果が読みやすい。

状態を示すアイコンが見えているか

ここまでの話には共通点がある。守りの設定は、一度決めたら画面に出てこない。オンだと思っていたものがオフに戻っていても、気づく合図が無い。

気づける状態を保つ手段のひとつが、状態を示すアイコンを見える場所に置いておくことである。ところがメニューバーは、左にアプリのメニュー、右に状態を示す項目が並ぶ構造になっている。左のメニューは前面のアプリによって長さが変わるので、項目の多いアプリに切り替えた瞬間に右側が押し出される。押し出された項目は折り畳まれるのではなく、単に描かれなくなる。ノッチのあるMacBookでは中央が使えないぶん、これが早く起きる。

ネットワークやセキュリティに関わるアイコンは、押す回数は少ないのに見えていてほしい種類に入る。できることには、使っていないアイコンを仕切りの左へ送って時計のまわりを空ける仕組みと、隠したものを本物の見た目のまま呼び出す仕組みが説明されている。バッジや数字をそのまま出せる作りなので、状態を示すアイコンを畳んでも読み取れる。

さらに、条件を決めて自動で出す考え方も用意されている。隠しているアイコンの表示が変わったときだけ一時的に出す、決めた時間帯だけ出す、特定のアプリを使っているときだけ出す、といった指定である。守りの情報は、ふだん黙っていて異常のときだけ目に入る扱いが合う。

同じ用途の道具は無料のものから買い切りのものまで幅がある。価格と払い方を並べた表はほかの道具との違いにあり、調査日が添えられている。支払いが一度きりか継続かで数年後の総額が変わるので、料金で買い切りの範囲を確かめておきたい。画面収録とアクセシビリティの許可が要る理由はよくある質問に説明があり、対応するmacOSの下限と試用の条件はダウンロードに書かれている。

手順を整理しておく。まずシステム設定のネットワークからファイアウォールを開き、いまの状態を見る。オンにしたうえで、オプションの5項目のうち自動許可をどう扱うかを決める。動かなくなったアプリが出たら、全体を切るのではなく一覧へ追加して個別に許可する。使っていない共有サービスは共有の設定で止める。そのうえで、状態を示すアイコンが見える並びに戻しておく。