  (ネットワークパケットフィルタリング)
  Netfilter は、Linux box を通り抜けるネットワークパケットを、
  フィルタリングしたり加工したりするためのフレームワークです。

  パケットフィルタリングの最も一般的な使用は、インターネット
  からローカルネットワークを保護するファイアウォールとして、
  Linux box を作動させることです。このカーネルでサポートでサ
  ポートされるファイアウォールのタイプは "packet filter (パ
  ケットフィルタ)" と呼ばれています。これはタイプ、ソース、
  宛先などに基づいた個々のネットワークパケットを拒否すること
  ができることを意味します。他の種類のファイアウォールの 1 
  つに、"proxy-based (プロキシベース)" ファイアウォールがあ
  ります。これはより安全ですが、立ち入っていて準備するのが厄
  介です。これは、はるかに注意深くネットワークトラフィックを
  検査、修正して、パケットフィルタには欠けているより高レベル
  なプロトコルに関する知識があります。さらにプロキシベースの
  ファイアウォールは、よくローカルのクライアント上で動くプロ
  グラムへの変更を要求します。プロキシベースのファイアウォー
  ルは、カーネルによるサポートを必要としませんが、ここで Y 
  と答えると、ただ単にパケットフィルタと一緒に動きます。

  グローバルに正当な IP アドレスがないマシンのローカルネット
  ワークのために、インターネットに接続するためのゲートウェイ
  に Linux box を使用するつもりなら、ここで Y と答えるべきで
  す。これは "masquerading (マスカレード機構)" と呼ばれます。
  もし、ローカルネットワーク上のコンピュータの 1 つが外部に
  何かを送りたい場合、Linux box がそのコンピュータのふり 
  ("masquerade (マスカレード)") をすることができます。つまり
  トラフィックがファイアウォールの Linux box から来ているよ
  うに見せかけるため、パケットに変更を加えて目的とする外部の
  宛先に転送します。そして、外部のホストが返答すれば、Linux 
  box は黙ってトラフィックを正しいローカルコンピュータに転送
  します。よって、双方向うまく動きます。この方法では、ローカ
  ルネット上のコンピュータからは外部へ届き返答を受け取ること
  ができても、外部の世界からは全く見えません。それでも、ポー
  ト転送と呼ばれるメカニズムを使用して、マスカレードされた
  ローカルネットワーク内部のサーバを全世界から見えるように動
  かすことが可能です。マスカレードは NAT (Network Address 
  Translation (ネットワークアドレス変換)) と呼ばれます。

  もう 1 つの Netfilter の用途は、透過プロキシで、ローカル
  ネットワーク上のマシンが外部のホストに接続しようとする場合、
  Linux box は処理されていることをユーザに気付かれることなく、
  トラフィックを Linux box のローカルサーバ (プロセス) に転
  送することができます (典型的なものはキャッシングプロキシ
  サーバ)。

  netfilter には、以前のマスカレード (ipmasqadm)、パケット
  フィルタ (ipchains)、透過プロキシ、それにポート転送に取っ
  て代わる様々なモジュールがあります。"iptables" のパッケー
  ジに含まれている Documentation/Changes を参照してください。

  ここで Y と答えるつもりなら、"Fast switching" には確実に N 
  と答えてください。なぜなら Fast switching は netfilter を
  バイパスするからです。

  ルータとして動かそうとするカーネルをコンパイルするなら、Y 
  と答えるべきです。通常のホストなら、N と答えます。よく分か
  らない場合は、N と答えてください。

  <高橋潤子>

