パケットフィルタリング（ACL）とは？ぱけっとふぃるたりんぐ
パケットフィルタリング（ACL）とは、通信の中身も文脈も見ず、ヘッダに書かれた送信元・宛先アドレス、プロトコル、ポート番号、TCPのフラグだけを条件に通過と遮断を決める制御。ルータやL3スイッチでも実行できるほど負荷が軽い一方、規則は上から順に評価されて最初に一致したものが適用されるため、記述の順序がそのまま結果を決める。
最終更新：2026-10-06
この語が出る過去問を解く →背景
境界を通る通信を人が一つずつ判断することはできないため、機械的に判定できる材料としてヘッダの項目だけを使う、という割り切りから生まれた仕組みである。判断材料が少ないぶん高速に処理できる代わりに、通信の文脈も中身も見ない。だからこそ、必要な通信だけを列挙して最後に暗黙の拒否を置くという書き方が、設計の成果物として求められる。
具体例
AWSでサブネットに付けるネットワークACLはまさにこの方式で、状態を持たないため戻り通信ぶんの規則を別に書かないと通信が片道で止まる。同じAWSでもセキュリティグループは状態を持つので戻りの記述が要らない。両者の差が、この方式の限界をそのまま示している。
試験での引っ掛け
ステートフルインスペクションとの違いが問われる。1パケットずつ独立に判定するため戻り通信のために広いポート範囲を開けることになり、その穴を突かれうる。またアドレスとポートしか見ないので、許可したポートの上を流れる攻撃は防げない。規則の順序で結果が変わる点も事故の原因になる。
関連用語
出た過去問
出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問20（IPA）
社内ネットワークとインターネットの接続点に、ステートフルインスペクション機能をもっていない、静的なパケットフィルタリング型のファイアウォールを設置している。この…
正解：PC→SMTPサーバ: 送信元1024以上/宛先25、SMTPサーバ→PC: 送信元25/宛先1024以上
要点：SMTPは宛先25番、戻りは送信元25番を許可する
SMTPの待受けポートは25番なので、PCからSMTPサーバへ向かうパケットは宛先ポート25番、送信元ポートはPCが動的に割り当てる1024番以上となる。ステートフルインスペクションがない静的フィルタリングでは戻りの通信も明示的に許可する必要があり、SMTPサーバからPCへ向かうパケットは送信元25番、宛先1024番以上を許可する。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (4) ネットワークセキュリティに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。