02/12/18 21:05 oUPdxj1d
ってなことでRedHat7.3のipchain から iptablesに切り替えたいと思います
まずどーしましょ？＞＞みなさま
457:login:Penguin
02/12/18 21:20 xfe3SzcC
>>456
乗り換えたい理由を教えろ。
458:login:Penguin
02/12/19 10:24 TVluSG+E
たぶんipchainがいまいちだからだろ？
459:login:Penguin
02/12/19 22:27 7ZOYMtgI
まぁ、これならたいていは大丈夫だろう。
ってゆーテンプレートみたいなのはないの？
460:login:Penguin
02/12/19 23:42 b9zHgWC9
>>459
うちはここのを参考にさせてもらって(ちょっとだけいじった)けど、どうよ。
URLﾘﾝｸ(www.geocities.co.jp)
461:459
02/12/22 22:33 hvl9DCHS
>>460
遅くなったけどサンクス。
漏れもこれ参考(つーかほとんど一緒)させてもらいますた。
462:login:Penguin
02/12/23 00:23 NIbQFJ2u
-m state 使えばいいのに。
ちなみにワシの
modprobe ip_conntrack_ftp
iptables -F
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -s どっか -d わし --dport ssh -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp -d わし --dport 何か -m state --state NEW -j ACCEPT
iptables -A INPUT -p icmp -d わし --icmp-type echo-request -j ACCEPT
463:login:Penguin
02/12/24 18:37 sMsKLTYD
オレメモ
PPPoE同士でipsecするとき
iptables -t nat POSTROUTING -o ipsec -s このマシンのipsec0外部ip -d 相手側のprivateip_xx.xx.xx.xx/24 -j SNAT --to 自分のLANがわprivateip
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
で -o ppp0 を忘れない
であとはfilterを設定してみるす
464:login:Penguin
02/12/25 01:15 wMDDvDbB
>>460
それ使ってみたけど、マスカレードされなくて困ってます。
|Windows(192.168.0.2) |======|(192.168.0.1 eth1) Vine2.6 (eth0)|=====|ONU(ppp0)|===
っていう構成です。>>460にあったやつで、
EXTIF=ppp+
INTIF=eth1
として使ってます。Vine側からは普通にネットできるんですが、
内側のWinマシンから外部にPing打つと
Destination host unreachable.
となります。
Win<>Vineはお互いにping通ってます。
どなたかアドバイスお願いします。
465:login:Penguin
02/12/25 02:45 wCcaR+6g
460のやつはicmpのFORWARDを許可してないみたいだから、pingが通らないのは当たり前。
というかsshでVineにloginして、pingはVineから打てばそれでいいような気もするけど。
466:464
02/12/25 03:34 NLATh2Me
>>465
ping(ICMP)については納得なんですが、
それ以外も通らないんで困ってます。
Vine側の設定は
eth1 リンク方法:イーサーネット ハードウェアアドレス **.**.**.**.**.**.**
inetアドレス:192.168.0.1 ブロードキャスト:192.168.0.255 マスク:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:14 errors:0 dropped:0 overruns:0 frame:0
TX packets:10 errors:0 dropped:0 overruns:0 carrier:0
衝突(Collisions):0 TXキュー長:100
RX bytes:1464 (1.4 Kb) TX bytes:548 (548.0 b)
割り込み:11 ベースアドレス:0x9400
ppp0 リンク方法:Point-to-Pointプロトコル
inetアドレス:***.***.***.*** P-t-P:***.***.***.*** マスク:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1454 Metric:1
RX packets:4 errors:0 dropped:0 overruns:0 frame:0
TX packets:3 errors:0 dropped:0 overruns:0 carrier:0
衝突(Collisions):0 TXキュー長:3
RX bytes:40 (40.0 b) TX bytes:30 (30.0 b)
ってなってます。
467:login:Penguin
02/12/25 10:53 W2lR38ei
>>460 初期化のところにiptables -F -t natが入ってないので、なんかnat操作するときに更新できなくて困った
468:login:Penguin
02/12/25 11:01 W2lR38ei
>>466 ますフィルターをとりあえず全部初期化してはずしてできるか試してみたら？
# /sbin/service iptables stop
# iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
# echo 1 > /proc/sys/net/ipv4/ip_forward
だけだとつながりますか？(RedHat系のコマンドだが若干違うかも）
469:login:Penguin
02/12/25 11:02 W2lR38ei
>>453 大変参考になりました。ありがとうです^^
470:464
02/12/25 11:32 wMDDvDbB
>>468
アドバイスありがとうございます。
# iptables -t nat -L が次のようになっていて、
他のテーブルはすべて空の状態です。
target=MASQUERADE prot=all opt=--- source=anyware destination=anyware
NATテーブルのポリシーはACCEPTです。
この状態でWin側からやってみましたがダメでした。
となるとやはりiptablesの設定の問題ではないのでしょうか。。。
Win側は、DHCPオフで192.168.0.2/255.255.255.0を割り当て、
デフォルトゲートウェイは空欄、
DNSサーバはプライマリ/セカンダリともに空白指定にしてます。
471:login:Penguin
02/12/25 11:55 W2lR38ei
ん？デフォルトゲートウェイは、192.168.0.1 いれないとそりゃ外でないですよ
192.168.0.1にping はとおるけど
DNSは特に必要じゃないけどプロバイダのDNSいれたほうがいいかと
Linuxでnamed立ち上げてるなら192.168.0.1でよろしいかと
472:464
02/12/25 12:14 wMDDvDbB
>>471
素早いレスありがとうございました。
今までWin2000をサーバにしていたので、あそこは空欄でいいものだと思ってました。。。
変更したところ、上の最小マスカレード設定でちゃんと動きました。
そこで、>>460のスクリプトを実行したところ、ちゃんとルーティングされました。
適切かつ迅速なレスありがとうございました。
これから内部からPingが通るように設定してみたいと思います。
473:459
02/12/25 13:15 XgvuCFk4
たとえば、61.32.0.0～61.55.255.255をブロックしたい場合は
$IPTABLES -A INPUT -s 61.32.0.0/61.55.255.255 -j DROP
でいい？
474:login:Penguin
02/12/25 16:21 W2lR38ei
>>473
ぁーちげー
後ろはサブネットマスクだから計算面倒だな
61.32.0.0/255.232.0.0
だと思う。ってあってますか？
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)でしらべたんで大丈夫かと
なんかサブネット計算するソフトって無かったかなこの記述がダメだったら
255.232.0.0→FFE80000(16進)→11111111111010000000000000000000(2進）だから厳密にできないから
61.32.0.0/12 と 61.48.0.0/13 の両方で指定するしかないと思う
475:login:Penguin
02/12/25 16:28 W2lR38ei
URLﾘﾝｸ(www.linux.or.jp)
>-s, --source [!] address[/mask]
>送信元の指定。 address はホスト名・ネットワーク名・通常の IP アドレスのいずれかである。 mask はネットワークマスクか、ネットワークマスクの左側にある 1 の数を指定する数値である。
と書いてあるから /xx 形式じゃなくとも大丈夫ぽいな でもせっかくだから
ちなみに /24 は頭に1が24個並ぶつー意味で
11111111111111111111111100000000(2)
FFFFFF00(16) 255.255.255.0 でクラスC という意味だと
476:プロマー(´∀`) ◆PV/ot0p.GE
02/12/26 00:10 OrCo0/lP
質問です。
iptablesでルータにしてるのですが、
table full となって、それ以上の接続不能になってしまいます。
赤帽7.3を使っていて、インターネット上にサーバー公開しており、
物凄い数のアクセスが来てるのが原因なのはわかります。
ぐぐったのですが、iptablesの限界数の設定ファイルや
NATテーブルエージング時間の設定をどこでするのか
さっぱりです。
緊急なんです・・
よろしくお願い致します。
477:login:Penguin
02/12/26 00:20 XkyiKvwm
>>476
> 緊急なんです・・
ML に流すか、RedHat にサポートたのめう゛ぁ～
478:login:Penguin
02/12/26 00:40 Wk/oBUkH
>>476
エロサイトの運営も大変だねぇ。
アクセスが来たせいで table full て事は ip_conntrack か?
モジュールのパラメータに hashsize= ってのがある。増やしてみたら?
デフォルトでは
/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
らしい。
479:プロマー(´∀`) ◆PV/ot0p.GE
02/12/26 01:17 OrCo0/lP
>>478
ありが㌧ございます(*´д｀*)
さらにいろいろがんばってみます。
今日も寝れない・・・
480:login:Penguin
02/12/26 03:44 CMdKHkLG
>>417
激しく遅レスですが、
各ユーザ定義チェーンの最後で
iptables -A hogehoge -j RETURN
して、呼び出し元のチェーンに戻してやればいいのでは？
481:459
02/12/27 12:50 XXL90zS7
>>474-475
遅くなったけどサンクス。
$IPTABLES -A INPUT -s 61.32.0.0/13 -j DROP
$IPTABLES -A INPUT -s 61.40.0.0/14 -j DROP
つまりこーいう感じでいいの？
482:プロマー(´∀`) ◆PV/ot0p.GE
02/12/28 01:09 bKCkFk06
>>481
突っ込んでいいのかわからないけどそれだと
bash: IPTABLES: command not found
483:login:Penguin
02/12/28 01:14 TbZlqDCY
（ ﾟдﾟ）ｿﾘｬｿｳﾀﾞﾛ
484:login:Penguin
02/12/28 11:21 TJnVkPiu
>>482
俺はお前につっこんでいいのかがわからんわけだが…。
set IPTABLES /sbin/iptables
485:プロマー(´∀`) ◆PV/ot0p.GE
02/12/29 19:15 d7ub5hCx
>>484
そういう事は先に言わなきゃ意味ないだろう
突っ込みたがり屋さん・・
486:login:Penguin
02/12/29 19:56 7RJ8Bnji
先に言わんでも大体わかると思うが。。。
487:login:Penguin
03/01/08 07:36 RFSdginG
hozen
488:IP記録実験
03/01/08 21:18 /8k1w3wQ
IP記録実験
ｽﾚﾘﾝｸ(accuse板)
1 名前：ひろゆき ◆3SHRUNYAXA ＠どうやら管理人 ★ 投稿日：03/01/08 17:13 ID:???
そんなわけで、qbサーバでIPの記録実験をはじめましたー。
27 名前：心得をよく読みましょう 投稿日：03/01/08 17:20 ID:yL/kYdMc
SETTING.TXT管轄でないということは全鯖導入を視野に、か？
38 名前：ひろゆき ◆3SHRUNYAXA 投稿日：03/01/08 17:22 ID:rLfxQ17l
>>27
鋭いです。
73 名前：ひろゆき ◆3SHRUNYAXA 投稿日：03/01/08 17:27 ID:rLfxQ17l
＞ところで、IPが抜かれて何か今までと変わることってあるのでしょうか？
・今までより、サーバが重くなる。
・裁判所や警察からの照会があった場合にはIPを提出することがある。
489:login:Penguin
03/01/09 02:36 OE9qTNVA
「2chでは裏でIP記録されています。IPを抜かれたくなければ
セキュリティガードに…」
というコピペを流行らせる会 会長↓
490:login:Penguin
03/01/09 03:20 1ohfXlXy
俺はローカルIPだから大丈夫。
491:login:Penguin
03/01/09 04:09 ispmrJFO
test
492:login:Penguin
03/01/14 16:58 4mD8gZwO
.
493:login:Penguin
03/01/14 23:32 S3tRlq8t
ほしゅ
ethポート3つでDMZやってるﾔｼはおらんかね？
DSLﾓﾃﾞﾑ
─■──■─□ HUB/local_IP
.. │
.. 鯖B□
494:login:Penguin
03/01/14 23:44 XcRGP28W
>>493
ルータPCが乗っ取られたらおわりじゃん。
495:login:Penguin
03/01/15 01:19 ojatjaa4
>>494
ｲﾀﾀﾀ
痛いところをつかれますた
ルーター用にLinux/iptablesを使うのはﾀﾞﾒぽ？
496:login:Penguin
03/01/15 04:22 XSm4pQLF
>>495
iptablesを使って構築しているけど、DMZを設けるにはルータ2台設置して
local側のルータは応答パケット以外は全てはじくようにする。
DMZ機能を備えた市販ルータは使ったことないけど、まぁ、あれはルータ専用機
でそれが外部から乗っ取られる事はない。ということで、eth3ポートで簡易DMZなんて
いっても、まぁぃぃか...ってレベルじゃねぇの?
497:山崎渉
03/01/15 11:19 wo7m90to
（＾＾）
498:login:Penguin
03/01/23 08:38 TCMx+15M
>>496
漏れなんか簡易も簡易、ブロードバンドルータについている「仮想」DMZ機能使ってるよ。
-----[Router]----HUB----LAN (192.168.100.0/24)
|
仮想DMZ (192.168.200.0/24)
アドレス上で別のネットワークに隔離するだけなんだけどね。
499:login:Penguin
03/01/23 10:11 0zXA7Q1Y
>>498
えっ～ッ!! BBルータの簡易(仮想)DMZって専用のethポートがあるのではなくて
ネットワークアドレスを切り分けるだけなの?
それじゃぁ、DMZにあるPCが乗っ取られて、LANと同じネットワークアドレスを
足されたらLAN丸見えになるやん。
500:login:Penguin
03/01/24 00:10 xTlTJEfZ
>>499
BB は知らない。
NEC の Aterm HB7000 だっけ、無線 LAN 使えるやつ。
でもほかの普及価格帯のブロードバンドルータも同じようなものだと思う。
マイクロ総合研究所のもコレガのも。
だから、DMZ にある PC は乗っ取られないようにしないとだめ。
ただしまぁ MAC アドレスフィルタリングをしておけば
NIC のドライバ（つーか、カーネルモジュール）をいじられない限りは安泰かと。
まぁそもそも「簡易」だし、仕方ないよね。
当然ながら DMZ にあるものは直接外部にさらしているのと同じくらい
セキュリティに注意を払いましょう、ってことで。
501:login:Penguin
03/01/24 21:31 MAcyOm2E
質問です。
PREROUTING の DNAT でパケットの送信先を書き換えた後、
FORWARD で同じパケットをフィルタリングしたいのですが、うまくいきません。
下のようなルールで試してみたのですが、FORWARD をうまく通過してくれないみたいです。
iptables -A PREROUTING -t nat -i 外部 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1
iptables -A FORWARD -i 外部 -d 192.168.0.1 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 192.168.0.1 -o 外部 -p tcp --dport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
この場合、どのようなルールを書くべきなのでしょうか？
ご存知の方よろしくお願いします。
あと、PREROUTING で REDIRECT した場合も FORWARD を通るみたいなのですが、なぜなんでしょう？
502:login:Penguin
03/01/24 22:35 +RZvTsSu
eth0:1みたいなバーチャルアダプタを作ってみてはいいんでないかと...。
URLﾘﾝｸ(www.atmarkit.co.jp)
503:login:Penguin
03/02/01 19:00 Qrv76FuE
素敵なスレデスネ
有線ブロードでPCルーター導入してらっしゃる方はおられますか？
504:login:Penguin
03/02/06 18:54 vF9ns+h/
>>503 rp-pppoe
505:login:Penguin
03/02/06 19:20 digv+HvF
______________
／:＼.＿＿＿_＼
|:￣＼(∩´∀｀) ＼ ＜先生！こんなのがありました！
|:在 |:￣￣ U￣:|
URLﾘﾝｸ(saitama.gasuki.com)
506:login:Penguin
03/02/07 21:29 +S0+AiM8
iptablesでログとってたら、こんなパケットが来るんですけど、これってどういうこと？
踏み台にされてるってことなんでしょうか？
怖くって夜も眠れません。おせーて下さい。
ちなみに
ホスト名=my_nat_box
ホストIP=aaa.bbb.ccc.ddd です。
Jan 18 04:37:31 my_nat_box kernel: Bad packet : IN=eth0 OUT= MAC=00:01:03:3a:83:67:00:01:30:30:a9:00:08:00
SRC=64.14.xx.xx DST=aaa.bbb.ccc.ddd LEN=56 TOS=0x00 PREC=0x00 TTL=47 ID=65443 PROTO=ICMP TYPE=3 CODE=1
[SRC=aaa.bbb.ccc.ddd DST=64.28.xx.xx LEN=60 TOS=0x00 PREC=0x00 TTL=50 ID=21593 PROTO=TCP INCOMPLETE [8 bytes] ]
507:login:Penguin
03/02/08 17:01 K1kYTek9
ircd立てたんだけど。
iptablesに追加する記述は
$IPCHAINS -A input -p tcp --sport $reph_port --dport 6668 -j ACCEPT
modprobe ip_nat_irc
で合ってまふか？
508:login:Penguin
03/02/08 18:44 bDMqiyth
>>506
ICMP TYPE=3 CODE=1
って出てる通りだと思うが...。
509:login:Penguin
03/02/08 19:12 9j36Pi8v
まぁ、>>506は「IP抜くぞｺﾞﾙｧ」てしか言った事ないからICMPが分かんないんだろうな。
てかType=3 Code=1てことは、
【みずから相手へ接続しに行ったにも関わらず、】 Host Unreachableだったってことだな。
偽装かも知れないけど。
510:507
03/02/08 20:12 K1kYTek9
うぉ。$IPCHAINSではなくて
$IPTABLES -A INPUT -p tcp --sport $reph_port --dport 6668 -j ACCEPT
ですた。
あってまふか？
511:login:Penguin
03/02/10 22:27 v/Zhu9h2
>>508,509
いや、それは調べたらすぐわかったんですが、聞きたかったのは、
２行目までは納得できるが、３行目の[SRC=aaa.bbb.ccc.ddd... 以下はどういう意味なのか、
つまり、どうしてmy_nat_boxから64.28.xx.xxへのパケットがここに記録されてるのか、
そして全体としてどういう挙動をした結果なのか、ってことだったんですが。
自分なりに解釈するに、
my_nat_boxから64.28.xx.xxに対してTCPで接続しようとしたけどできなくって、
64.14.xx.xxから、届かねーよ、って言われてしまったってことなんでしょうか？
厨な質問かもしれませんが、教えてください。
、、、というかよく考えたらicmpで踏み台にされてるなんてこと言う自体おかしいよな、、、
パケットと共に逝って来ます。
512:login:Penguin
03/02/11 21:40 /R0QrMGr
>>511
以下、勝手な想像のお話。
64.28.xx.xxにアクセスしたところ、そのサイトは落ちてた。
64.28.xx.xxはどっかのホスティングサービスからドメインサービスみたいなのを受けてたから
そのホスティングサービスのDNS（64.14.xx.xx）からとどかねーよとpingを打ってきた。
まあなんにしても有害じゃないから無問題。
513:login:Penguin
03/02/13 14:24 lAbKIMnb
>>512
ありがとーございます。
これで枕を高くして眠れます。
というか漏れは大学の研究室でIPたらねーからNAT作れや、
ってことで情報系でもない単なる理系の学生にもかかわらず
何にもわからんままネットワーク管理やらされてるんですが（しかもほぼ無償で）、
漏れみたいな奴ってけっこういたりするんのかな？
企業とかではそんな話聞いたりするけど、アカデミックなとこではどうなんだろ？
まあ、自分としては就職するときの足しにはなるかなーとか思って割り切ってやってますが、、、
514:320
03/02/13 16:27 WqKfN1ey
■■わりきり学園■■
コギャルから熟女まで
素敵な出会い
ゲイ、レズビアンなどコンテンツ豊富
URLﾘﾝｸ(kgy999.net)
515:login:Penguin
03/02/13 21:22 +FvEvpXl
(･A･)ｲｸﾅｲ!!
516:login:Penguin
03/02/14 14:36 McfPgr+V
>>392->>395などを参考に、Linuxルーターを構築して、
その上にsshdなどを走らせているんだけど、どうも外からサーバーにアクセス出来ない。
iptables -A INPUT -p tcp --dport ssh -j ACCEPT
ではダメなのでしょうか？
517:login:Penguin
03/02/14 15:05 JXoHIcrw
>>516
全通しなら接続できるか？
518:516
03/02/14 16:30 McfPgr+V
>>517
出来ます。
そして参考までに、LAN内から192.168.1.1とやってもアクセス可能です。
519:login:Penguin
03/02/14 21:21 lC/+3aZy
アンギーナだうんたうん
アンギーナだうんたうん
520:login:Penguin
03/02/15 01:26 YSq6JYB1
>516
sshの待ち受けポートは変更していますか？
/etc/sshd.config or /etc/ssh/sshd_config
# This is the sshd server system-wide configuration file. See sshd(8)
# for more information.
Port 22
↑
22以外にしたとか？
全通しで外部から繋がるんだよね？
iptables -A INPUT -p tcp --dport ssh -j ACCEPT
でsshのポートは開いてるから繋がるはずだけど。
iptablesの設定ここに載っけてみれば？
521:516
03/02/15 09:36 kRzrVtMY
>>520
感謝。iptablesの設定は間違っていなかったみたいで、モデムの調子が悪かったみたいです。
無事繋がるようになりました。お手数かけて申し訳ありません。
親切にレスして戴き、誠に有り難う御座います。
522:login:Penguin
03/02/26 10:36 CMwAzlZR
ﾆﾔﾆﾔ(･∀･)
523:arisa ◆QaHT6HayjI
03/02/27 20:59 F7sUmhVb
RedHatなんかで、/sbin/service iptables saveなんかして再起動すると
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
が無効になってしまうのだが、本来どこに書くべきもの？
/etc/modules.confにかいてみたんだが記述がおかしいのか、うまくいかず。
とりあえず /etc/rc.d/init.d/iptables の start() のとこに書いたんだけど...
なんかそれもスマートじゃないような気がするんですが。みなさんどうしてるんでしょう
524:login:Penguin
03/02/27 22:20 Q6JAmN1p
# /etc/rc.d/rc.local
に記述でいいんでない？
うちはそうしてるけど。
525:arisa ◆QaHT6HayjI
03/02/28 09:58 MDZOa6hQ
>>524 そんなんでいいんですか。ふむ。
どもです。
526:login:Penguin
03/02/28 11:19 +2rnv6Bw
スンマセン、レンタルサバ(専用)のiptablesの設定についてご存知の方
いたら教えて下さい。
今度レンタルサバ(専用)を借りようと思うんですがファイアーウォール
をどうすればいいのか悩んでいます。
今、フレッツADSLでインターネットに接続していて、サーバーを借りたらsshで
操作することになるんですが、iptablesはどういうふうに設定したらいいでしょうか？
私なりに少し調べてみると特定のIPアドレス以外ははじくように設定するようです。
しかし、私のほうは固定IPではありません。(もちろんレンタルサバは固定IPです。)
もしかして、レンタルサバの場合は設定しないものなのでしょうか？
それとも、こちらの方でたとえば、固定IPをもらえるようなサービスに
加入するべきなのでしょうか？どこかに設定例はないでしょうか？
ちなみに、動かしたいサーバーは、apacheとpop3とsshです。
527:arisa ◆QaHT6HayjI
03/02/28 12:57 MDZOa6hQ
80と110と22をあけときゃいいんじゃ。あとDNS
最初っからフレッツを固定IPにして、相手を特定させて制御すんやったら、自宅に最初っから立てたほうがいいような
なにやるか知らんけど。
今の自分の環境で、鯖たてて設定してみたら何が疑問なのかよくわかると思う
528:526
03/02/28 14:05 da8Ehn60
>>527さん、レスありがとう!!!
前に共用鯖借りてたことはあるんですが、専用は初めてです。
写真関係のサイトを開きたいんですが、ポートの22をそのままでいいのか？
と悩んでいます。
私は非固定IPなので、sshが(ユーザー名とパスワードを入れれば)
誰でもアクセスできる状態(ipアドレスでフィルタリングとかしないで)
で起動していないと私自身が操作できないと思います。
しかし、それでは、rootを乗っ取られないか不安です。
(もちろん、8桁とかのパスワードを破るのは困難だとは思いますが。)
サーバーについての本にはファイアーウォールについての解説は
必ずありますが、どれもローカルのネットワークを防御（IPアドレスで
フィルタリング）するための設定のようで、レンタル鯖はどうすれば
いいのかよくわからないです。
「必要なサービスだけ起動してファイアーウォールは設定しない」で
いいのか、他のみなさんはどうしてるのか、もし、おなじような方が
いらっしゃれば教えていただけないでしょうか。
それと、バーチャルホストとかは今のところ考えてないんですが、
（いずれはやりたいんですが、）dnsもやっぱり必要ですか？
529:login:Penguin
03/02/28 18:20 rWNpekd8
>>528
iptablesではなく、SSHのほうのセキュリティを強化するのでは?
URLﾘﾝｸ(unixuser.org)
URLﾘﾝｸ(www.momonga-linux.org)
530:526
03/02/28 19:55 7GW2XcVR
>>529さんレスありがとう!!!
先程見つけたのですが、AT-LINK(URLﾘﾝｸ(www.at-link.ad.jp))
さんのページによると、非固定IPにはあまりむいてないらしいですね。
自宅サバというわけにもいかないし、金欠な私としては固定IP取るのは
最後の手段として、ご指摘のsshの強化をまずは図ろうと思います。
前に共用サバでteraterm pro + ttssh を普通のパスワード認証で
つかってたんですが、やっぱりもう一段上のセキュリティが求められますよね。
とりあえず、RSA認証を使おうと思いPortfowaderをダウンロードしてみました。
家庭内LANで使い方を確認してみます。
531:arisa ◆QaHT6HayjI
03/02/28 21:25 MDZOa6hQ
>>528 とりあえず、自分がプロバイダが使っているIPアドレスをwhoisでしらべてアクセス解除すればいいかと。
同じプロバイダの人にのっとられたらおしまいだけど。それでも特定はしやすいはず。
プロバイダが違うIPを使い始めたら、大変だけど。
dyndns.orgとかのダイナミックDNSで自宅でとりあえず立ててみたほうがはやいんじゃ。
恥ずかしい話ですが、俺はsendmailとかpopとかのどっかのバグをついて一般ユーザ取得され、crontabのバグで/etc/passwd書き込まれroot権限を取得され、バックドアを埋め込まれたことがある。
がんばってください(^^
532:login:Penguin
03/03/02 01:36 HjoPuIlJ
port0 も含めて winny や winmx を使えなくするためにはどうすればいいのでしょうか？
iptables -t nat -A PREROUTING -p TCP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A POSTROUTING -p TCP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A POSTROUTING -p UDP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
ではつながってしまいます。
533:532
03/03/02 01:40 HjoPuIlJ
下げていたので、ネタだと思われないように上げさせて頂きます
534:login:Penguin
03/03/02 01:44 CAWmzrZC
>>532
port0を防ぐのはかなり難しいかと。
まぁパケットの中身を覗いてドロップするようにすればいいんだろうけど。
535:532
03/03/02 07:49 nnMsHX3N
DMZ を作ってやって P2Per のネットワークを DMZ に入れて
iptables -t nat -A POSTROUTING -o ${OUTSIDE_DEVICE} -j MASQUERADE
# Keep state. (for DMZ)
iptables -A FORWARD -m state --state NEW -i ${DMZ_DEVICE} -j ACCEPT
# We don't like the NetBIOS and Samba leaking. (from DMZ)
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --dport 135:139 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${DMZ_DEVICE} --dport 137:139 -j DROP
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --dport 445 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${DMZ_DEVICE} --dport 445 -j DROP
# Accepting packets between Inside and DMZ
# And also, DHCP, but we can basically accept anything from the inside. (for DMZ)
iptables -A INPUT -i ${DMZ_DEVICE} -j ACCEPT
iptables -A OUTPUT -o ${DMZ_DEVICE} -j ACCEPT
#
# no more P2P
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --sport 1024:5000 --dport 1024:65535 -j DROP
これである程度は防げるでしょうか？
536:X
03/03/02 08:43 CuJV9s6H
ドリームパートナー募集中！
今話題のYahoo! BB、BBフォンの販売にご協力下さい。
販売には特別な知識は必要ありません。
魅力的な報酬プランご確認の上、お気軽にご参加下さい。
URLﾘﾝｸ(join.dreampartner.jp)
537:532
03/03/02 17:32 J+le5ZXI
DMZ を使うと floppyfw を通して pppoe を使ってアクセスできないし
192.168.*.0/24 の tcp 1024:5000 -> 1024-65535 を塞ぐと内部の webserver が心配
他のクライアントの ICQ 等 port 5000 以上にアクセスするアプリケーションがうまく動かず・・・・
Portsentry か traffic control あたりが妥当なのでしょうかね・・・
538:login:Penguin
03/03/03 05:14 FVqSiigj
>532さん なんか読んでいたら激しくproxyなどおいて内部から制限しまくるような感じのほうが簡単に思えてきた
スマソ、漏れには理解できんかった（ｘ
539:login:Penguin
03/03/03 10:37 +bZRMqKa
internet <-> ルーター <-> Linux <-> LAN という構成になってます。
外部に公開したいのは「ssh www ftp」、外部からの「netbios」は破棄
というように書いてみたのですがいかがでしょうか？
icmpは公開、非公開どちらがいいでしょう？
■構成
internet <-> [192.168.0.1] <-> [eth0 192.168.0.10 / eth1 192.168.1.1] <-> LAN
-----------------------
#!/bin/sh
IF_BAD='eth0'
IF_LAN='eth1'
IP_BAD='192.168.0.10'
iptables -t nat -A POSTROUTING -o $IF_LAN -j MASQUERADE
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $IF_BAD -j ACCEPT
iptables -A INPUT -j DROP ! -i $IF_LAN -s 192.168.1.0/24
iptables -A INPUT -j DROP ! -i lo -s 127.0.0.1/255.0.0.0
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -P INPUT -p icmp -d $IP_BAD -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport ssh --dport ssh -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport ftp --dport ftp -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport www --dport www -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ns -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-dgm -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ssn -j DROP
540:login:Penguin
03/03/03 10:37 +bZRMqKa
age忘れました。ごめんなさい。
541:532
03/03/03 15:32 X/dSPuIW
くだ質スレなどで聞いてみます。失礼しました
542:539
03/03/03 21:44 +bZRMqKa
>>539
結局このような感じにしてみました。
----------------------
#!/bin/sh
IF_BAD='eth0'
IF_LAN='eth1'
IP_BAD='192.168.0.10'
IP_MAIN='192.168.1.66'
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o $IF_BAD -j MASQUERADE
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $IF_LAN -j ACCEPT
iptables -A INPUT -j DROP ! -i $IF_LAN -s 192.168.1.0/24
iptables -A INPUT -j DROP ! -i lo -s 127.0.0.1/255.0.0.0
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport ssh -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport ftp -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport www -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport https -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ns -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-dgm -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ssn -j DROP
543:login:Penguin
03/03/06 11:01 /yoUtsQA
1台のＰＣにNICを3枚挿すといった、セキュリティ上好ましくない環境でDMZとLANを適切にフィルタリングしたいです。
環境はPPPoE接続のフレッツＢで、固定ＩＰを8個割り当てるサービスに加入しています。eth2がWAN側、eth1がLAN側、eth0がDMZ側でeth1とeth2は共にスイッチングHUBに接続されています。
まずLAN側をフィルタリングしようとしているのですが、思ったとおりにいきません。
LAN側からはWebサイトの閲覧、IRCの利用（ファイル送信は利用しません）、FTP(PASVモード）の利用だけです。
# iptables -t nat -F
# iptables -F
# iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
# iptables -P FORWARD DROP
# iptables -P OUTPUT ACCEPT
# iptables -P INPUT ACCEPT
# iptables -A FORWARD -s 192.168.0.0/24 -i eth1 -j ACCEPT
# iptables -A FORWARD -p tcp --tcp-flags ACK ACK -j ACCEPT
# iptables -A FORWARD -p tcp --tcp-flags FIN FIN -j ACCEPT
# iptables -A OUTPUT -d 10.0.0.0/8 -o ppp0 -j DROP
# iptables -A OUTPUT -d 172.16.0.0/12 -o ppp0 -j DROP
# iptables -A OUTPUT -d 192.168.0.0/24 -o ppp0 -j DROP
# iptables -A FORWARD -d 10.0.0.0/8 -o ppp0 -j DROP
# iptables -A FORWARD -d 172.16.0.0/12 -o ppp0 -j DROP
# iptables -A FORWARD -d 192.168.0.0/24 -o ppp0 -j DROP
以上のように設定し、YahooやGooなどを閲覧しようとしたのですが、閲覧できませんでした。
iptables -P FORWARD ACCEPTにすれば正常に繋がります。
間違いなどがありましたら、教えて下さい。
544:login:Penguin
03/03/06 11:43 9RaAHbuu
>>542
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type echo-reply -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type source-quench -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type parameter-problem -j ACCEPT
545:login:Penguin
03/03/06 13:52 vlZJDKef
NO-IPを使って、Yahoo!BBで鯖を立てています。
ファイヤーウォール兼ＷＥＢサーバという役割なのですが、
いろいろ読んで以下のように設定したのですが、うまくいきません。
１）
iptables -N pass
iptables -A pass -d 192.168.1.1 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD 1 -j pass
２）
iptables -A INPUT -i eth1 -p tcp --dport 80 -j ACCEPT
３）
iptables -A INPUT --dport www -m state --state NEW -j ACCEPT
ＯＳはRedHatLinux8です。
eth1側にYahoo!BBの回線が直接来ています。
eth0側（LAN側）からはインターネットに接続できます。
ipchainは削除しました。
どのような原因が考えられますか？？
546:login:Penguin
03/03/06 14:48 YBHS0zHd
>>545
読め。
URLﾘﾝｸ(tlec.linux.or.jp)
547:login:Penguin
03/03/06 14:59 4EeogfXU
ウェブサーバを立ち上げているマシンで2chに書き込みたいのですが、
ポート80があいていると2chに書き込めません。
2chな鯖からのリクエストだけシカトするには
iptables -A INPUT -p TCP -s ????? -dport 80 -j DROP
の????? に何を書けばいいんでしょう。
まさか2chの鯖を一個ずつ調べて全部明示的に指定しないと逝けないとか?
548:login:Penguin
03/03/06 16:09 9vr75bJV
80番以外でwwwサーバー
549:login:Penguin
03/03/06 16:09 2A8mfYc6
それで？
550:login:Penguin
03/03/06 16:17 9vr75bJV
それだけ
551:login:Penguin
03/03/06 16:31 K+/Q6K/e
>>547
はじくならこのへんとか?
ｽﾚﾘﾝｸ(sec板:5-6番)n
ていうか、うちもそういう話を聞いてて対策しなきゃと思ってたんだけど、
80番開けてても書きこみできてる。
なにがちがうんだろう? 80番空いてるのはルータ兼用機だけど。
552:login:Penguin
03/03/06 17:11 YBHS0zHd
>>551
うちもそうだ。
1台からCATVとフレッツISDNで、両方の80番からWebに
アクセスできる。内部マシンはCATV側から出るように
してある。
553:login:Penguin
03/03/06 22:54 xqbeKUj/
o
554:login:Penguin
03/03/06 22:57 CIyATmJr
>>545
とりあえず何がどう上手くいかんのかかかんと
どうしようもないと思うぞ。
あと、よくわからんのなら全部張ってみ。
555:login:Penguin
03/03/07 08:14 jqqlLe40
>>548-552
カムサハムニダ。
>>548
ユーザに foo.bar:81 と入力させるのがウザイのでそれては桑名の焼き蛤とさせて頂きます。
>>551
鯖のリストがあるなら随時それを入れ替えればいいですね。
>>551>>552
会社(Flets ADSL の固定 IP サービス + アライドテレシスの CentreCOM AR220E) だと撥ねられるが
自宅(Yahoo! BB + Debian GNU Linux) だと80番開けてて Apache で listen していても
書き込めます。この話題に関するもっと適切なスレありますか?
556:login:Penguin
03/03/07 10:31 cJOiYAeR
WAN--Linux---HUB----Windowsとよくある構成の場合
FORWARD、OUTPUT、INPUTの内、INPUT以外のポリシーをACCEPTにしプライベートIPアドレスをDROPする設定をFORWARDとOUTPUTにいれればOK?
FORWARDのポリシーをDROPにしてる人いる？
557:login:Penguin
03/03/07 10:48 Eab4izUG
>>556
ここを参考にしたので、DROP でつ。
URLﾘﾝｸ(www.geocities.co.jp)
558:login:Penguin
03/03/07 13:13 1uT/topg
>>556
>>546でもDROP
559:login:Penguin
03/03/09 15:12 XYtlPymB
ゲームなどをする時にポートフォワードが必要なものがありますがiptablesでは
iptables -t nat -A PREROUTING -p tcp --dport ポート番号 -i ppp0 -j DNAT --to 192.168.0.2
として、そのゲームをプレイするローカルのコンピュータのＩＰアドレスを指定しますが、192.168.0.2のＰＣと192.168.0.3のＰＣの2台で同時に同じゲームをプレイする事はできるのでしょうか？
560:login:Penguin
03/03/09 20:25 QuvhghEb
RedHat8.0でsamba鯖立てたんですが、それ以来linux機のport445
向けにやたらとアクセスがあります。
(samba鯖を立てるのと同時にlan内のwindows2000のファイル/プリンタ
の共有をonにしました)
dport または sportが137,139,445番のものは外に出て行かない
設定(outputチェーンとforwadチェーン)にしてあるんですが、
どうやってファイル・プリンタの共有を使っていることが外に
漏れているのでしょうか？
InterNet--Linux(ルータ、samba鯖)--Windows2k
という状態です。
#445番ポートへのアクセスはルータではじいているので
#問題は無いんですが気持ち悪くて。。
561:login:Penguin
03/03/09 21:17 kMk9l5b4
>>560
世の中には全世界に自分のPCを公開されている方もいらっしゃるのです。
562:login:Penguin
03/03/10 13:25 Hsw7n9Nw
>>561
あれ、じゃぁsamba機立てて以来っていうのは気のせいかなぁ
#と思ってlog確かめてみたら以前から結構ありました（鬱
#他のを一部log取らなくしたから、相対的に目立っただけみたい。
563:login:Penguin
03/03/11 10:20 Ehfs/+kN
ポリシーを
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD ACCEPT
にしてるルータ＆サーバ機で，up2dateできるようにするには，
どのポートをACCEPTすればいいの？
564:login:Penguin
03/03/11 10:22 Ehfs/+kN
やっぱりup2dateするときには
毎回iptablesを止めるしかないのかな？
565:login:Penguin
03/03/11 23:44 P57qZN4D
IPマスカレードするために
# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
とすると
iptables: Invalid argument
となるんですが、何か間違ってるでしょうか？
(iptables v1.2.7a)
566:login:Penguin
03/03/12 02:40 aCzumorg
# iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE
ではどうですか？
見当違いでしたらすみませんが。。。
567:login:Penguin
03/03/12 03:10 prfBeMqO
saveってどこに保存してるんだよ
568:login:Penguin
03/03/12 09:38 ND3bGnDV
FORWARD,INPUT,OUTPUTのポリシーをDROPにしてSYNフラグのたってるパケットはACCEPT、FORWARDチェインで80,53,110,25,443をACCEPTにしてるのですが、MSNメッセンジャーのポートをあけても接続できません。
iptables -A FORWARD -o ppp0 -p udp --dport 2001:2120 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 6801 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 6891:6900 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 6901 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 6901 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 3389 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 1503 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 1503 -j ACCEPT
と追加したのですが、接続することができません。
他に何かしなければならないことがあるのでしょうか？
569:565
03/03/12 14:20 TnW6KHA7
>>566
> # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE
かわらず、Invalid argument
570:login:Penguin
03/03/12 15:09 5yowNZZq
test
571:login:Penguin
03/03/12 15:31 BmzHoCqU
>>568
FORWARDってインタフェイス指定するの？
572:login:Penguin
03/03/12 18:26 FZ//L828
iptablesを勉強するのによい本ってありますか?(日本語で)
本屋で「絵でわかるLinuxセキュリティー」という本をパラパラと
みたらiptablesの解説があったけど、それ以外で解説してある本を
見たことありません。
573:login:Penguin
03/03/12 20:30 CW8h+DPK
>>567
/etc/sysconfig/iptables
574:login:Penguin
03/03/12 20:42 CW8h+DPK
メッセンジャーって動的NATじゃなくて静的NATでないと出来ないんでない？
俺自身は使ってないから、わからんのだけど。
575:名無しさん＠カラアゲうまうま
03/03/12 21:05 hPzcJVgX
ネットワークやセキュリティは日進月歩いや秒進分歩の世界なので、
本として出版してもあっという間に時代遅れになってしまいます。
雑誌で特集組むことがあると思うので、そういうのを参考にするか、
頑張ってネットで探すか、
最後の手段として＊ちゃ＊ねるで聞くといいでしょう。
576:1
03/03/12 21:27 I7tMxUJU
おまえらチンカスども、まだこんなことでごちゃごちゃやってるのかよ
進歩がねー包茎やろうどもだ
だから童貞君はいやだね
さっさとくたばれ、チンカスやろう
577:login:Penguin
03/03/12 21:40 cboyNL6n
>>572
ないです。
それとその本間違いが多いから買わないほうがよいですよ！
578:login:Penguin
03/03/12 22:23 2XyrGEWk
>>572
今売りのLinuxMagazineで特集してるが・・・
579:login:Penguin
03/03/13 00:47 8BcSDQO4
URLﾘﾝｸ(www.geocities.co.jp)
iptablesの初期化スクリプトを作成中。
改善案きぼん。
580:login:Penguin
03/03/13 03:35 CvrTDbSk
>>579
Webから設定できるようになるの？
581:579
03/03/13 06:43 8BcSDQO4
>>580
できるように・・・・・したいなぁ。
582:login:Penguin
03/03/13 11:22 NuUlbm/g
ADSLモデムでつないでるでつ
LinuxBoxをルーターにしつつWeb鯖にしたいでつ
おまいらのおすすめのiptablesおせーろや！おながいしますお代官様～ぁ
583:login:Penguin
03/03/13 11:23 NuUlbm/g
ついでにNIC2枚なのでローカルIP振ってマスカレードさせたいんです…｡･ﾟ･(ﾉД`)･ﾟ･｡
584:login:Penguin
03/03/13 11:44 HSLr/kVv
>>582-583
>>1-581
585:login:Penguin
03/03/13 13:02 NuUlbm/g
でけたでけた >>584 ってかこの>>1はどこいっちゃったんだろう…
586:山崎渉
03/03/13 16:26 sbQU2y5R
（＾＾）
587:login:Penguin
03/03/13 19:23 oP0VE8Dk
2箇所の離れたLAN同士をSSH使ってＶVPN構築しました。
PPP接続されたマシン同士はPing通りますが
その他マシンへ一切アクセスできません。なぜでしょう。
588:login:Penguin
03/03/13 19:58 RWF2N4O5
ほーら、はーるさきこーべにー
みーにみーにーみにきてーねっ
ひーだまーり、かげろっおう
ゆーらゆーら、はるのゆーめ
589:login:Penguin
03/03/14 22:33 5+fozj0J
>>587
（ﾟ∀ﾟ）ルーティング追加すりゃいいじゃん？
iptables関係ないべ？
590:login:Penguin
03/03/15 00:25 Bx6SnnUJ
eth0がLAN側で、
eth1がルーターに繋がっているLinixホストで、
LAN側のWindowsからインターネット上のフリーメールの
pop3に接続するのには、どんな設定したらいいでしょう？
現在、こんな風ですが、DNSはなんとか引けて、squidでなら
ホームページは読めるのですが、メールが受信できません。
591:590
03/03/15 00:26 Bx6SnnUJ
EXTIF="eth1"
ANY="0.0.0.0/0"
LOCALIF="eth0"
LOCALNE="192.168.1.0/24"
MYHOST="192.168.1.1"
# 初期化
/etc/init.d/iptables stop
##### すべてのルールを削除する #####
/etc/init.d/iptables stop
##### すべてのルールを削除する #####
/sbin/iptables -F INPUT
/sbin/iptables -F FORWARD
/sbin/iptables -F OUTPUT
##### すべてのアクセスを拒否する #####
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P PREROUTING DROP
/sbin/iptables -P POSTROUTING DROP
592:590
03/03/15 00:26 Bx6SnnUJ
# LAN側からの入力、ループバックへの入力を無条件に許可
/sbin/iptables -A INPUT -i $LOCALIF -s $LOCALNE -j ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT
# 内部から発生した接続に関連するパケットを許可
/sbin/iptables -A INPUT -i $EXTIF -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
593:login:Penguin
03/03/15 02:52 xci716Xt
FORWARDに穴開けないとMASQUERADEが動けない。
さらに echo 1 > /proc/sys/net/ipv4/ip_forward を確認。
/sbin/iptables -P PREROUTING DROP
/sbin/iptables -P POSTROUTING DROP
はtable違いで意味なし。っていうかエラー出ない？
どっかからサンプル拾って来て手直しするのが早いんでないかと。
がんばて。
594:login:Penguin
03/03/15 20:36 nzpsL4hj
ここを参考に作りました。
他の人の参考になるかもなので晒しときます。
#もし穴があったら指摘キボンヌ
#!/bin/sh
#################
#### 初期設定
#### アドレスのaliasを設定
IPT="/sbin/iptables"
MP="/sbin/modprobe"
LAN="192.168.3.0/24"
LOCAL="127.0.0.0/8"
#### テーブルの初期化。
$IPT -t filter -F
$IPT -t filter -X
$IPT -t nat -F
$IPT -t mangle -F
#### policy を全て DROP にする。
$IPT -P FORWARD DROP
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT
#### module を組み込む
$MP ip_nat_ftp
$MP ip_conntrack_ftp
595:login:Penguin
03/03/15 20:38 nzpsL4hj
##################
#### 目的別チェーンの作成
### chain to LOG ant then DROP
$IPT -N LOG_AND_DROP
$IPT -A LOG_AND_DROP -j LOG --log-level warning --log-prefix "iptables:" #-m limit
$IPT -A LOG_AND_DROP -j DROP
$IPT -A LOG_AND_DROP -j RETURN
#### chain for the packet from WAN
$IPT -N WANIN
#とりあえず問答無用でDROPな奴
$IPT -A WANIN -s 192.168.0.0/16 -j DROP
# 接続が確立しているパケットは許可する( but limit not well-known ports)
$IPT -A WANIN -p tcp --dport 1024: \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -p udp --dport 1024: \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -p icmp \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -j RETURN
596:594
03/03/15 20:38 nzpsL4hj
#### chain for the packet to WAN
$IPT -N WANOUT
# SMB プロトコルが外に洩れない様にする。
$IPT -A WANOUT -p tcp --dport 137:139 -j DROP
$IPT -A WANOUT -p tcp --sport 137:139 -j DROP
$IPT -A WANOUT -p udp --dport 137:139 -j DROP
$IPT -A WANOUT -p udp --sport 137:139 -j DROP
# Windows 2000 がローカルに存在すれば以下の設定
$IPT -A WANOUT -p tcp --dport 445 -j DROP
$IPT -A WANOUT -p tcp --sport 445 -j DROP
$IPT -A WANOUT -p udp --dport 445 -j DROP
$IPT -A WANOUT -p udp --sport 445 -j DROP
# ローカル IP が外に洩れない様にする。
$IPT -A WANOUT -d 10.0.0.0/8 -j LOG_AND_DROP
$IPT -A WANOUT -d 172.16.0.0/12 -j LOG_AND_DROP
$IPT -A WANOUT -d $LOCAL -j LOG_AND_DROP
$IPT -A WANOUT -d $LAN -j LOG_AND_DROP
$IPT -A WANOUT -j RETURN
597:594
03/03/15 20:40 nzpsL4hj
##################
#### link each chains
#### INPUT ####
# loopback
$IPT -A INPUT -i lo -j ACCEPT
# from LAN
$IPT -A INPUT -i eth1 -s $LAN -j ACCEPT
# from WAN
$IPT -A INPUT -i eth0 -j WANIN
# allow the tcp packets using the particular ports
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT #ssh
$IPT -A INPUT -p udp --sport 67 --dport 68 -j ACCEPT #dhcp
#### FORWARD ####
# from WAN to LAN
$IPT -A FORWARD -i eth0 -o eth1 -j WANIN
# from LAN to WAN
$IPT -A FORWARD -i eth1 -o eth0 -j WANOUT
# from LAN
$IPT -A FORWARD -i eth1 -j ACCEPT
#### OUTPUT ####
$IPT -A OUTPUT -o eth0 -j WANOUT
# ACCEPT されなかったパケットをLOG_AND_DROPチェーンへ
$IPT -A INPUT -j LOG_AND_DROP
$IPT -A FORWARD -j LOG_AND_DROP
####################
# IP Masquerade
$IPT -t nat -A POSTROUTING -o eth0 -s $LAN -j MASQUERADE
# enable the system ip-forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
598:594
03/03/15 20:42 nzpsL4hj
改行つめて貼ったら汚くなっちゃたよ(ノ_<。)
599:login:Penguin
03/03/16 02:55 eE7j3f7z
おおお、すごいね
600:login:Penguin
03/03/16 04:47 Y6J28mzl
>>595
spoofing パケットをステるんなら、クラス C だけでなく、
127.0.0.0/8
169.254.0.0/16
192.0.2.0/24
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
224.0.0.0/4
240.0.0.0/5
248.0.0.0/5
255.255.255.255/32
0.0.0.0/8
くらいまとめて指定してもいいかも。クラス A や B からの結構
くるからさ。でもそれ以外は見た事ないけど。
601:594
03/03/16 14:30 6euDQuYk
>>600
LoopBack:
127.0.0.0/8
RFC1918 private network:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
Class D multicast:
224.0.0.0/4
broadcast:
255.255.255.255/32
Link Local Networks
169.254.0.0/16
Historical Broadcast:
0.0.0.0/8
TEST-NET:
192.0.2.0/24
Class D Reserved:
240.0.0.0/5
Unallocated:
248.0.0.0/5
602:594
03/03/16 14:35 6euDQuYk
>>601
調べて、まとめてみた。
どれもネットワークを超えて利用されることはないはずのパケットですね。
っつーわけでspoofing対策に落としといてよさそうです。
>>600
ご指導ありがとうございまっす！！
603:login:Penguin
03/03/17 04:16 fopxZgKq
どうでもいいことだが、
240.0.0.0/5
248.0.0.0/5
は、まとめて 240.0.0.0/4 とできる。いずれにしろこんなパケットやって
きたことはないが(w
>>602
255.255.255.255/32 は、IP レベルのブロードキャストだからネットワーク
を越えても当然。でも、運用上 LAN 外には出さないし、入れさせもしない
のが普通というだけで。内部にサブネットがいくつかあるときに、これを落とす
と困る場合もある
604:login:Penguin
03/03/17 08:52 h5R/6c/p
>>603
255.255.255.255/32 を何に使うのか
具体例きぼん。
605:login:Penguin
03/03/17 11:59 XTt7yZAl
DHCP(BOOTP) DISCOVER
606:594
03/03/17 14:46 pEk7m8rB
ブロードキャストパケットってネットワークを越えんですか？
マスタリングTCP/IPの入門編とか見ると同一ネットワーク内のみってなってるんで
単純に越えないもんだと思ってました(鬱
でもspoofingを防ぐっていう意味だと
sportが240.0.0.0/5みたいなパケットは別に特権与えてる(信頼できるホストにしている）
わけでもないので、特に効果はないですかね？
sportが192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 127.0.0.0/8
の奴は落としておくのを推奨ってことでOKかな。
607:login:Penguin
03/03/18 03:09 p+lGsR21
お前が土浦ペドの西村か？返事しろ、
素人童貞で、幼女のポルノ写真集めが趣味のクソ野郎、
てめえのＰＣにどれだけの写真があるんだ、
何回それでマスかいた？飽きるとＹＢＢ叩きか
返事しろ、キチガイ
現在の土浦のペド西村のＩＤ
↓↓↓↓↓↓↓
ID:XrjhRpOa
T.Nishimura omurin@hamal.freemail.ne.jp
収容局は土浦荒川沖局
URLﾘﾝｸ(www5.wisnet.ne.jp)
児童ポルノ法改正案反対サイト のオーナーだよ。
幼児とセックスしたい畜生にも劣るペド野郎 はコイツです。
土浦のペド 西村いるか？返事しろ。
このＹＢＢなんとかの糞スレは、またおまえが作ったのか？
毎度、毎度の病的粘着質、おまえ、はやく市ねよ。
608:login:Penguin
03/03/19 09:49 ht64CtnN
↑誤爆か？
609:login:Penguin
03/03/19 23:28 PHGjwlCH
>>608
糞プロバイダー Yahoo!BBの解約に踏み切れ！
ｽﾚﾘﾝｸ(isp板)
への着弾が…こっちへ、
610:login:Penguin
03/04/04 00:20 GX3ZXYFI
ﾆﾔﾆﾔ(･∀･)
611:login:Penguin
03/04/08 10:25 gXTQqR0I
ﾆﾔﾆﾔ(･∀･)
612:login:Penguin
03/04/10 22:46 gj/nF9SC
iptables使いたくて本見ながらやってるんですけど、なぜかうまくいきません。
ちょっと見てください。
-A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 22 -i eth0 -j ACCEPT
-A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 80 -i eth0 -j DROP
デフォルトでINPUTをDROPにしてsshとwwwを通すために上の二行をiptablesを追加しようとしたら
一行目はうまくいくのに、二行目で args --dport はunknownだっていうエラーが出るんです。
これはいったいどういうことなんでしょうか？？ iptablesのヴァージョンは1.2.6aとなってます。
613:login:Penguin
03/04/10 22:49 gj/nF9SC
なんかまちがってますね、二行目もACCEPTでした。すいません
614:login:Penguin
03/04/11 04:42 e37xfRgZ
>>612
本当に本を見ながら設定しているのかと問い詰め（ry
615:山崎渉
03/04/17 12:01 KRn99/cy
（＾＾）
616:login:Penguin
03/04/17 17:11 QgET5h2K
ﾆﾔﾆﾔ(･∀･)
617:山崎渉
03/04/20 05:51 xFRXxEWb
∧＿∧
（ ＾＾ ）＜ ぬるぽ（＾＾）
618:login:Penguin
03/04/24 19:02 t7W9/H4z
できるだけシンプルにIPマスカレードができるよう設定してみました。
みなさんのようにプライベートアドレスやNetBIOSを防いだりとかして
ないのですが、これではちょっとシンプルすぎるでしょうか…？
#!/bin/sh
# Load kernel modules
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
# Enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
# Set valiables
IPTABLES=/sbin/iptables
EXTIF=ppp0
# Initialize all chains
$IPTABLES -Z
$IPTABLES -F
$IPTABLES -X
# Setup default policy
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
# Create new chain "block"
$IPTABLES -N block
$IPTABLES -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A block -m state --state NEW -i ! $EXTIF -j ACCEPT
$IPTABLES -A block -m state --state NEW,INVALID -i $EXTIF -j REJECT
$IPTABLES -A block -j DROP
# Rules for INPUT chain
$IPTABLES -A INPUT -j block
# Rules for FORWARD chain
$IPTABLES -A FORWARD -j block
# IP Masquerade
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
619:618
03/04/24 19:13 t7W9/H4z
補足です。下記のような構成でルータ/サーバにするつもりですが、サーバとしての
設定はとりあえず後回しになっていて、しばらくはNAT箱としてのみ使用するつもりです。
[ADSLモデム]---[ppp0=eth0 ルータ/サーバ eth1]---[スイッチ]---[LANクライアント2台]
620:覆面ライダー
03/04/25 20:12 uphM47p+
Linuxをルータにもサーバにもしない場合の
パケフィルの例ってどっかにありますか？
Linuxマシンをルータとして使う場合の例は
ネット上にいくらでも見つかるんですけどね。
621:覆面ライダー
03/04/25 20:18 uphM47p+
いちお市販のDSLルータで簡単なパケフィルは設定してんだけどね。
622:覆面ライダー
03/04/25 20:22 uphM47p+
ぜんぶ塞げってのはなしですよ。
とりあえずネットサーフィンとメールのやりとりくらいはやりたいですから。
できればメッセンジャーも使いたいですね。
623:login:Penguin
03/04/26 09:45 yy7AkdFn
>620
使ってないサービスは全て塞げ。
分かってるかもしれないけど、Port80 塞いだからって
WEB見れないって訳じゃない。
DSLルータ使ってるって事は、プライベートネットワークでしょ。
クライアントとして使ってるなら、あまり気にしなくても良いと思うよ。
624:覆面ライダー
03/04/28 13:40 evYU0gW+
>>623
アドバイスどうもありがとうございます。
625:login:Penguin
03/05/03 02:04 +7/Jgwc/
iptables -N log-drop
iptables -A log-drop -j LOG --log-prefix "Packet drop"
iptables -A log-drop -j DROP
# kick .kr
iptables -A FORWARD -s 61.32.0.0/13 -j log-drop
iptables -A FORWARD -s 61.40.0.0/14 -j log-drop
iptables -A FORWARD -s 61.72.0.0/13 -j log-drop
iptables -A FORWARD -s 61.80.0.0/14 -j log-drop
iptables -A FORWARD -s 61.84.0.0/15 -j log-drop
iptables -A FORWARD -s 61.96.0.0/12 -j log-drop
iptables -A FORWARD -s 61.248.0.0/13 -j log-drop
iptables -A FORWARD -s 202.6.95.0/24 -j log-drop
iptables -A FORWARD -s 202.14.103.0/24 -j log-drop
iptables -A FORWARD -s 202.14.165.0/24 -j log-drop
iptables -A FORWARD -s 202.20.82.0/23 -j log-drop
iptables -A FORWARD -s 202.20.84.0/23 -j log-drop
iptables -A FORWARD -s 202.20.86.0/24 -j log-drop
iptables -A FORWARD -s 202.20.99.0/24 -j log-drop
iptables -A FORWARD -s 202.20.119.0/24 -j log-drop
iptables -A FORWARD -s 202.20.128.0/17 -j log-drop
iptables -A FORWARD -s 202.21.0.0/21 -j log-drop
iptables -A FORWARD -s 202.30.0.0/15 -j log-drop
iptables -A FORWARD -s 202.189.128.0/18 -j log-drop
iptables -A FORWARD -s 203.224.0.0/11 -j log-drop
626:login:Penguin
03/05/03 02:07 +7/Jgwc/
iptables -A FORWARD -s 210.80.96.0/19 -j log-drop
iptables -A FORWARD -s 210.90.0.0/15 -j log-drop
iptables -A FORWARD -s 210.92.0.0/14 -j log-drop
iptables -A FORWARD -s 210.96.0.0/11 -j log-drop
iptables -A FORWARD -s 210.178.0.0/15 -j log-drop
iptables -A FORWARD -s 210.180.0.0/14 -j log-drop
iptables -A FORWARD -s 210.204.0.0/14 -j log-drop
iptables -A FORWARD -s 210.216.0.0/13 -j log-drop
iptables -A FORWARD -s 211.32.0.0/11 -j log-drop
iptables -A FORWARD -s 211.104.0.0/13 -j log-drop
iptables -A FORWARD -s 211.112.0.0/13 -j log-drop
iptables -A FORWARD -s 211.168.0.0/13 -j log-drop
iptables -A FORWARD -s 211.176.0.0/12 -j log-drop
iptables -A FORWARD -s 211.192.0.0/10 -j log-drop
iptables -A FORWARD -s 128.134.0.0/16 -j log-drop
iptables -A FORWARD -s 141.223.0.0/16 -j log-drop
iptables -A FORWARD -s 143.248.0.0/16 -j log-drop
iptables -A FORWARD -s 147.46.0.0/15 -j log-drop
iptables -A FORWARD -s 155.230.0.0/16 -j log-drop
ny で .kr と繋がらないようにするには、こんなとこなのかな。
rule が多いけど処理が重くならないかしらん。
香港とか中国も登録するとこの数倍になってしまうけれど。
627:login:Penguin
03/05/05 18:34 x6zB6GKj
ながー
628:login:Penguin
03/05/06 01:03 7qHA9qoc
こんな感じ↓でLinuxをルータにもサーバにもしないで
使ってるな～
もしかして、問題ありあり???……………………………ギャ～!!!
#eth0はインターネット
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
iptables -A INPUT -i eth0 -m state --state INVALID,NEW -j LOG
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -i eth0 -j LOG
iptables -A OUTPUT -o eth0 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
629:login:Penguin
03/05/06 17:28 5eBOzVs7
iptables -Z
iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 23 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 123 -j ACCEPT
iptables -A INPUT -p tcp --dport 1812:1813 -j ACCEPT
ってやると、クライアントからこのサーバー（メールサーバー）を経由して他のメールサーバーへメールを送信できないのですがどうしてでしょう。
mailqに溜まってしまいます。
iptables -P FORWARD ACCEPT
としてもダメです。
iptables -P INPUT ACCEPT
とすれば、当たり前ですがうまくいきます。
630:login:Penguin
03/05/06 22:17 sa3eOmJ2
返りパケット受け取れんだろ
631:!=629だけど
03/05/06 23:59 gf3c9ny0
ん? ACKも落としてないような。
IDENT はせいぜい反応遅くなる程度だし。
あー、もうメル鯖管理してないから忘れてしまった。
632:629
03/05/07 17:41 wvh/G8hH
返りパケット？
port25だけじゃダメなの？
633:!=629だけど
03/05/07 19:50 IaE1EX1W
あー、わかった。
こっちのメル鯖から他所に出すとき、over 1000(あたり、記憶曖昧)の
非特権ポートから相手の 25 に接続するわけよ。
>>629 では、さらに
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
とかすればいいんでない?
または非特権ポートへの接続を全部許可するという方法もあるけど…。
634:login:Penguin
03/05/07 20:48 Y3LR/VhU
629 は iptables や ipchains の解説文書を読んで知識の整理をした方がいいだろ。
何故おかしいのかすぐ判らんようだから。このスレは曖昧な知識のままでは役に
立たんしな(w
635:629
03/05/08 17:55 wpIU/tkn
MTA同士の通信でも25-25じゃなくover1000-25の通信になるということね。
ステートフルパケットインスペクションを使うわけね。ありがとう。
636:login:Penguin
03/05/10 06:10 ps9rcmzo
--dport
--sport
637:俺様って？
03/05/12 20:23 I3+5+FZb
いったい何様？？？
むしろウザイ死ね。
貴様のような人間はこの世界に必要ない。
逝ってよし！！
むしろ逝け！！
638:login:Penguin
03/05/12 20:39 2vTb3rak
ただいま還りました～
639:login:Penguin
03/05/12 21:50 mWgq7qBD
これ良さそうっす。
Red Hat Linux Firewalls
IPTablesを使ったファイアウォールとNATの実装に関する内容は
読みごたえ十分である。ここまで機能を網羅し、実例を挙げて
説明してある書物は初めてだろう。
URLﾘﾝｸ(www.sbpnet.jp)
640:_
03/05/12 21:50 sDYaf/2W
（●´ー｀●）/ ＜先生！こんなのがありました！
URLﾘﾝｸ(www.yoshiwara.susukino.com)
URLﾘﾝｸ(yoshiwara.susukino.com)
URLﾘﾝｸ(www.yoshiwara.susukino.com)
URLﾘﾝｸ(yoshiwara.susukino.com)
URLﾘﾝｸ(www.yoshiwara.susukino.com)
URLﾘﾝｸ(yoshiwara.susukino.com)
URLﾘﾝｸ(www.yoshiwara.susukino.com)
URLﾘﾝｸ(yoshiwara.susukino.com)
URLﾘﾝｸ(www.yoshiwara.susukino.com)
URLﾘﾝｸ(yoshiwara.susukino.com)
641:login:Penguin
03/05/18 05:43 bSBsOoui
iptablesなんかの自動設定ツールって使ってるやついるのかなあ
642:login:Penguin
03/05/18 07:51 lXSrMq3L
>>641
軟弱なLinuxユーザにならたくさんいるはずだ。
643:login:Penguin
03/05/18 15:09 3fVk0kaS
>>641
もれの会社の後輩は使うなといっても使う。
それでいていまだに思うとおりに設定できんと言っとる。
困ったもんだ。
644:login:Penguin
03/05/18 18:57 aZwyy8u1
>>643 ハクッたれハクッたれ、素人には挫折が一番（ｗ
645:login:Penguin
03/05/18 19:32 jH81YeVu
>>641
そんなものが存在するのですか？
646:login:Penguin
03/05/18 19:54 DitB7FwD
知らないなら知らないで別に困らないだろう。
647:login:Penguin
03/05/18 19:55 Y+BpJwSK
>>646
知ってたら便利じゃん
648:login:Penguin
03/05/19 00:15 5sCrBiuF
lokkitのことでしょ。
649:login:Penguin
03/05/19 00:19 DPaiI0na
Easy Firewall Generator for IPTables
URLﾘﾝｸ(easyfwgen.morizot.net)
こんなのもある
650:login:Penguin
03/05/19 11:29 agrIbUtz
webminでもあれこれできますな
651:login:Penguin
03/05/19 15:56 y7LYDyhh
pingに応答しないようにするスクリプトを教えていただけないでしょうか
652:login:Penguin
03/05/19 16:45 SRz0lKrH
#!/bin/sh
halt
653:login:Penguin
03/05/19 20:20 WwFWHDXI
>>651
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
だったっけ？
654:login:Penguin
03/05/21 18:39 nL9KCPvu
>>651
echo 1 > /proc/sys/net/ipv4/icmp_ignore_all
655:山崎渉
03/05/22 01:54 VfjbtMwi
━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━―
656:login:Penguin
03/05/22 14:54 uAd57jrG
ﾆﾔﾆﾔ(･∀･)
657:login:Penguin
03/05/24 08:31 CD1FcCru
INPUTをDROPにして指定ポートだけ通してるんですけど、
DROPとREJECTってどう違うんですか？
658:login:Penguin
03/05/24 12:45 lpqyp6ka
発信元にエラーを返すか返さないか
659:login:Penguin
03/05/25 17:48 0DsBJvnF
657ではないですけど、
INPUTは初めDROPにして個別のポートを許可していく、ってのはわかるんですけど、
OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
これって帰りパケットがポートを指定できないからですか？
WINならNORTONとかでアプリケーションごとに許可、不許可を制御できますけど
そういうことはできないんですか？
660:login:Penguin
03/05/25 23:21 tNcj3C/f
>>659
＞OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
＞これって帰りパケットがポートを指定できないからですか？
OUTPUTもINPUTと同じように設定できるよ。INPUTほどの需要はないだろうけど。
あと、-t nat で MASQUERADE とかをすれば、OUTPUT ってあまり意味がないことがけっこうある。
661:login:Penguin
03/05/25 23:24 +UFjIiBi
URLﾘﾝｸ(elife.fam.cx)
662:login:Penguin
03/05/25 23:37 RjF4OPfs
URLﾘﾝｸ(www.amazon.co.jp)
663:659
03/05/26 01:07 MWnWBy5f
>>660
なるほど、ありがとうございます。いじってみます。
664:login:Penguin
03/05/27 21:00 dUqN+tj1
iptablesを弄りはじめた者です。
参考に、技術評論社の「はじめてのファイアウォール」買いました。
192.168.1.0/255.255.255.0 192.168.0.0/255.255.255.0
win2k -------------- eth0 RedHat8 eth1 ----- ダイヤルアップ
.101 .1 .1 .254 ルーター
こんな構成で、Win2kのpingで、192.168.0.254してもタイムアウト
になってしまいます。
# /sbin/sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1
にはなっていて、
# /sbin/iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.0.1
もしてみました。
何か基本の設定でミスしてますでしょうか？
665:山崎渉
03/05/28 16:41 3t6i6zxR
∧＿∧
ﾋﾟｭ.ｰ ( ＾＾ ） ＜これからも僕を応援して下さいね（＾＾）。
＝〔~∪￣￣〕
＝ ◎―◎ 山崎渉
666:login:Penguin
03/05/28 19:15 TJoLXDe+
その質問には重大な欠陥があるため
誰も答えられません>>664
667:664
03/05/28 19:31 HTjMuq1u
>>666
重大な欠陥‥‥‥‥‥‥‥‥？？
あ、OSが書いてないですね。
OSは、RedHat8.0です。
あとはなんだろう？iptablesのバージョンとか必要ですか？
RedHat8をインストールしたままなので、iptables-1.2.6a-2
になってます。
とにもかくにも、192.168.1.0ネットワーク側から、192.168.0.0側にPingを
通したいです。
668:login:Penguin
03/05/28 21:11 wAyGaDP6
>>667
いやそもそもroutingの設定は？
routeの結果を貼りなよ。
669:動画直リン
03/05/28 21:13 mI34jXYU
URLﾘﾝｸ(homepage.mac.com)
670:664
03/05/28 22:19 sTqi3jRG
>>668
routeの結果ですが、次のようになっています。
# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
192.168.0.0 * 255.255.255.0 U 0 0 0 eth1
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 192.168.0.254 0.0.0.0 UG 0 0 0 eth1
671:login:Penguin
03/05/28 22:54 wAyGaDP6
>>670
routeの設定は問題ないようだが
そもそもredhat8からダイヤルアップルータにはpingは通っているの？
ダイヤルアップルータ自体のルーティングの設定は？
それとwin2kはDHCP？それとも固定で101を振ってるの？
固定だとは思うけど、もしDHCPならdhcpd.confの内容を確認。
win2k-ルータLAN間、win2k-ルータWAN間でもpingが通っているのかなどを
試してまずどこの問題かを切り分けなよ。
672:664
03/05/28 23:11 sTqi3jRG
>>671
それは大丈夫です。squidを入れてみたら、win2kからサイトは見れます。(3128に設定すれば)
RedHat8 → Win2k や、RedHat8 → ルーター間pingは正常です。
Win2k → RedHat8 もping通ります。
ただ、192.168.1.101は、dhcpが振った結果です。
dhcpで、>>664の図の様な事をするには、なにか記述が必要でした
でしょうか？
手持ちの参考書(ネットワークサーバー構築ガイド等)では見付けら
れませんでしたので、もしなにかありましたら教えてください。
673:bloom
03/05/28 23:13 mI34jXYU
URLﾘﾝｸ(homepage.mac.com)
674:login:Penguin
03/05/29 00:12 1DRPv6wX
>>672
dhcpd.confの設定に
option routers 192.168.1.1
は入ってますか。つまりwin2000のgwがどうなっていますか。
ipconfigで調べてください。
Win2k->Redhat8のWan側へのpingはどうですか。
# echo 1 > /proc/sys/net/ipv4/ip_forward
とかやってからpingを打ってみたらどうですか。
675:原田
03/05/29 07:39 5/9Q5GYM
iptablesで50代のPCをインターネットへマスカレードしてるんでつけど、
たまにインターネットに接続できなくなるPCが出ます。
ただし、他のPCからインターネットへは接続できてますし、
接続できなくなったPCでもすでにEstablishedなTCP接続は通信できてます。
つまり、新たなTCPセッションが張れないようなのです。
これって、マスカレードのテーブルとかがいっぱいになってしまっているのかな？
特にカーネルのログには何も出てないのだけど。詳しい方お願いします～
676:login:Penguin
03/05/29 10:31 1DRPv6wX
これはiptablesの問題ではなく
カーネル自体の同時コネクション（セッション）数の問題ではないかと思います。
ゲートウェイ向けの適切なページが見つからなかったが
この辺ですかね。サーバの事例ですけど
URLﾘﾝｸ(www8.ocn.ne.jp)
この辺を参考に同時コネクション（セッション）数を増やすようにカーネルの再構築を
してやればいいんじゃないかと思います。
677:login:Penguin
03/05/29 15:22 5/9Q5GYM
なるほど・・・
そういうことが原因とも考えられるんですね。
ありがとうございます。
678:_
03/05/29 15:29 yrkPpXVA
URLﾘﾝｸ(homepage.mac.com)
679:login:Penguin
03/05/29 19:32 Gz1n6K9b
192.168.0.*から外に出る窓系パケットを阻止するには？
680:664
03/05/29 19:52 WuQG5EFD
>>674
option routers 192.168.0.254
が設定してありました。
試しに、192.168.1.1にしたら、ping通りました。ありがとうございます。
>>664の図だと、ゲートウェイは192.168.0.254なのでそう設定したの
ですが、LAN側から見れば、192.168.1.1がゲートウェイって事になる
という理解で良いのでしょうか？
681:login:Penguin
03/05/29 21:35 7ylBZWMl
っていうか常識
反省しる
682:login:Penguin
03/05/29 21:36 7ylBZWMl
ＬＡＮじゃないとＬＡＮ側のマシンから192.168.1.1にもpingが飛ばんはず
683:664
03/05/29 21:56 WuQG5EFD
>>681
はぁ、すみません。
684:login:Penguin
03/05/29 22:14 qBOBeDWk
ありゃま。このスレまだあったんだ。
乙～
685:674
03/05/29 22:17 1DRPv6wX
>>680
というかGWというのはホスト側のルーティングテーブルで見つからない
IPがある時にどこを通じて探しに行くかを指定するためのものなので
次のステップでたどるIPを指定します。今回の場合はルータのLAN側の
IPになります。
ただ反省はしる
686:_
03/05/29 22:22 AXKLPNQk
URLﾘﾝｸ(homepage.mac.com)
687:login:Penguin
03/06/02 23:46 bhT8EpXU
(･∀･)renice!
688:login:Penguin
03/06/02 23:49 Kvuxg1vP
hosts.allow/denyで十分
689:login:Penguin
03/06/11 00:58 YUlq9U2M
age
690:sage
03/06/11 21:51 HxuBPB3T
winnyでもやろうと思って
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to 192
.168.1.3
って書いたんだけどノードに接続されない。なんでだろ？
691:login:Penguin
03/06/11 22:48 J8VaLWEp
>>690
INPUT や FORWARD はどうなってる?
692:sage
03/06/11 23:21 HxuBPB3T
こんなかんじ >691
# Flush chains
/sbin/iptables -F
#
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT DROP
/sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -d 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A INPUT -m state --state ESTABLISH,RELATED -j ACCEPT
# Flush Nat Rules
/sbin/iptables -t nat -F
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
/sbin/iptables -A FORWARD -m state --state ESTABLISH,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p icmp -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p udp --dport 53 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 110 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 25 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 20:21 -j ACCEPT
## for winny
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
/sbin/iptables -t nat -A PREROUTING -p udp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
試行錯誤中です・・・
693:login:Penguin
03/06/11 23:21 NSKvgHnY
>>690
eth0ってのが謎だ。
ルータ使ってるなら、NATはルータのところでやらないと意味ない。
694:sage
03/06/11 23:24 HxuBPB3T
>692
ちなみに
eth0が内向き、eth1が外向きなDSL環境です。
695:login:Penguin
03/06/12 00:52 Q2F7oLMu
7721 -i eth0 -j
7721 -i eth0 -j
ここらのデバイスが怪しそうだね
696:sage
03/06/12 00:56 0rWbDqKn
あやしいというと？
697:login:Penguin
03/06/12 01:27 KEQ6Z9u5
>>696
sageを書くところ間違えてるぞよ。
698:login:Penguin
03/06/12 07:37 7Hrv7mJB
>>692
FORWARD でも 7721 を許可しないとダメじゃない?
/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j ACCEPT
んー、こんな感じのルールを追加かなぁ。未確認だけど。
699:login:Penguin
03/06/12 07:41 7Hrv7mJB
>>694
って、君のルールでは INPUT も OUTPUT も eth0 になってるけど、大丈夫?
700:login:Penguin
03/06/12 15:42 wXoAXDh8
700（σ´Д｀）σｹﾞｯﾂ!
701:login:Penguin
03/06/12 19:57 0rWbDqKn
>699 698
INPUT OUTPUTともeth0にしないと外に出て行けない模様・・・。
/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j
ACCEPT
も足してみたがだめぽ。
何が足りないのでしょう。
BBSポートは開けなくても関係ないのですよね？
702:login:Penguin
03/06/12 21:50 IUhvIjAF
俺は下の設定だけでOKだよ。
# Winny用設定
$IPTABLES -t nat -A PREROUTING -p tcp --dport 7743 -i eth1 -j DNAT --to 192.168.1.8
eth1 は外向きね
703:login:Penguin
03/06/13 08:01 CHhh0mQD
##for winny
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 7721 -j ACCEPT
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth1 -j DNAT --to 192.168.1.3
702を参考にこれだけにしてみた。
winny v.1.14
ノードは「切断」のまま。
704:login:Penguin
03/06/13 20:46 CHhh0mQD
702さん。
winny以外のiptableの中身を見せてもらえませんか？
705:login:Penguin
03/06/14 23:50 x4RlFOIG
## for winny
/sbin/iptables -A PREROUTING -t nat -p tcp -i eth1 --dport 7743 -j DNAT --to 192.168.1.3
/sbin/iptables -A FORWARD -p tcp -d 192.168.1.3 --dport 7743 -i eth0 -j ACCEPT
上記のように変更(portをデフォルトに変更)。
後、下記を追加。
# 外部に転送される接続開始パケットを許可
/sbin/iptables -A FORWARD -m state --state NEW -i eth0 -j ACCEPT
とすると、とりあえず検索リンクノードがつながった。転送ノードも。
が、ポート警告が多発。何が原因だろー・・・。
706:login:Penguin
03/06/15 12:28 azlVQyvB
結局、これが必要でした。
/sbin/iptables -A FORWARD -m state --state NEW -i eth1 -j ACCEPT
707:login:Penguin
03/06/22 19:40 fmmjVQJB
(･∀･)renice!
708:login:Penguin
03/06/22 21:57 UWWv2/TA
(･∀･)nurse!!
709:login:Penguin
03/06/24 15:18 g0iS44ms
次の方どうぞ～
710:login:Penguin
03/06/24 19:34 hmazE3h+
では次です。
こてこてのWIN＆NORTONユーザーです。
RedHat8.0です。iptablesで↑みたいにアプリケーション(デーモン？)ごとに
in&outを設定できないのでしょうかあと、目的地アドレスなど...、ワイルドカードは設定できますか？
できるのであればその書式を教えてください。
711:_
03/06/24 19:46 Ff9f5Auo
URLﾘﾝｸ(homepage.mac.com)
712:login:Penguin
03/06/24 23:13 a09y3Re5
>>710
具体的に何をやりたいのかを書いてくれないと、アドバイスできないよ。
> アプリケーション(デーモン？)ごとにin&outを設定できないのでしょうか
それはポートの指定という事?
> 目的地アドレスなど...
--to-destination とか?
> ワイルドカードは設定できますか？
何についてワイルドカードを指定したいの?
とりあえず、man 8 iptables とか JF の関連文書をさらっと流し読みする
事をおすすめするよ。
713:login:Penguin
03/06/25 00:10 KwvN6Qqp
>>712
ありがとうございます。URLﾘﾝｸ(www.linux.or.jp)
のドキュメントを探ってみました。ずいぶん詳しく書いてあるんですね。
今まで検索で探した個人サイトと薄い雑誌片手にいじってたので
灯台下暗しな感じです。とりあえずここ読んでいろいろやってみます。
714:login:Penguin
03/07/01 12:20 WonPOf/8
(･∀･)renice!
715:login:Penguin
03/07/01 19:34 42y6vZ+A
ほいほい次の方どうぞ～
716:login:Penguin
03/07/01 23:04 fS8NPmw8
窓OSが外に出すパケットって何がありますかねぇ
くだらんパケットを外に出したくないのだが…
>>600,601だけでいいのかな？
717:login:Penguin
03/07/02 04:54 zXlsx5Mm
>>716
> 窓OSが外に出すパケットって何がありますかねぇ
いろいろ。
ちなみに、>>600,601 は外に出るパケットじゃないぞ?
NetBIOS / SMB がらみをステたいんなら、
iptables -j DROP -A WAN_OUT -p tcp --sport 137:139
iptables -j DROP -A WAN_OUT -p udp --sport 137:139
iptables -j DROP -A WAN_OUT -p tcp --sport 445
iptables -j DROP -A WAN_OUT -p udp --sport 445
な感じかな。単純に。
718:login:Penguin
03/07/02 06:34 FyzJOg48
gaintickerも遮断しないと...。
719:login:Penguin
03/07/02 20:43 inxQOqpT
sport？ dportでなくて？
720:717
03/07/02 20:49 H0iI59Zt
うへ。-A WAN_OUT って何だよ! 自分の設定そのまま書いてしまったよ。
iptables -N WAN_OUT
iptables -j WAN_OUT -A OUTPUT -o ppp0
iptables -j WAN_OUT -A FORWARD -o ppp0
みたいにして適当に置換してくださいな。
>>718
gainticker って何ですか? ぐぐってもわからんかった。
721:717
03/07/02 20:57 H0iI59Zt
>>719
これらは s も d も同じポートなんでどっちでも OK だと
思いましたが…… なんか自信なくなってきた。
722:717
03/07/02 22:20 H0iI59Zt
>>719
いろいろ検索してみたら、やっぱり dport の方が正しいみたい。
それと、OUTPUT ではなくて -t NAT -A PREROUTING で弾いてる
例も見つかった。
723:login:Penguin
03/07/03 01:01 ht5694mz
この窓系パケットの吐き出しを確認されると
「こいつ電源入れたな、ﾌﾌﾌﾌ」とか覗き見されているような気がする悪寒
724:login:Penguin
03/07/03 14:19 dXk/b8vm
>>718
すまそ。gaintrickerじゃなくてgain_trickler_*****.exeでした。gain_tricklerでググればいくつかでてきますね。
漏れはdivx スパイでググッたけど。
divxコーデックのpro-free版入れると広告ソフトがバンドルされるってやつで、
具体的にはgain_trickler_*****.exeがポート80からポップアップ広告とか発生させるソフトを
勝手にインストールしにいったり。訴訟問題になってるとかどうとか。
gain_trickler_*****.exeが起動してないとdivxでエンコードできない。
アンインストールとかも、フォルダごと削除とかもダメ。
けど、起動してればオフラインでもエンコードできます。
つまり、ファイアウォールで遮断しちゃえばいいわけです。
>>710 みたいにWIN上で遮断してればいいけど、LINUXルータ使うってことになると、
クライアントの80番を遮断しなくちゃならなくて使い物にならないかな。
WIN上のアプリ、ポートを特定して遮断するiptablesの設定は漏れもわかりません。
以上はdivxコーデックのpro-free版の話で、
見るだけでいいって人はfree版だからgain_tricklerは出てこないと思います。
725:login:Penguin
03/07/04 01:32 WvGXfYby
$iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 445 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 445 -j DROP
そとに出さないようにするにはこれでいいのかえ？
726:login:Penguin
03/07/04 12:09 I/1UFkk5
(･∀･)renice!
727:login:Penguin
03/07/06 23:47 lEtq+gmE
(･∀･)renice!
728:login:Penguin
03/07/08 15:14 nDf4bQ70
(･∀･)renice!
729:login:Penguin
03/07/10 11:46 F+4jQmU5
ちょい質問
NIC2枚刺しのマシンで1つをppp0でグローバルIP、もう１つを192.168.0.1でルーター代わりにして
192.168.0.2という別マシンにApacheを入れてポート80を外に出したりすることは
可能でしょうか?
730:login:Penguin
03/07/10 12:22 k/quGmdE
>>729 可能。
731:login:Penguin
03/07/10 12:57 wmM20Chd
>>729
ポートフォワードするって事? 可能です。
DNAT PREROUTING --dport --to あたりをキーワードにして検索
すれば、もこもこと出てくるかと。
732:login:Penguin
03/07/10 13:33 F+4jQmU5
おお、出来るのね！
3枚刺しでDMZ作ると吉ですかね？まぁ2枚でもいいや出来るとわかればさっそく
IPTABLEをマスターせねば
733:login:Penguin
03/07/11 23:55 gM+iqZg7
>>729
実際運用中。（自宅鯖なので自己満足以外の何物でもない）
734:login:Penguin
03/07/11 23:58 gM+iqZg7
ちなみに、
eth0が内部 192.168.0.*
ppp0(eth1)を外へ
eth2がDMZ 192.168.1.*
の３枚挿し
735:login:Penguin
03/07/12 12:01 KIX2ylEa
4枚刺すとDMZ2とか出来るの(w
736:login:Penguin
03/07/14 02:43 YDflspfA
age
737:山崎 渉
03/07/15 11:17 2JhhXBQM
__∧＿∧_
|（ ＾＾ ）| ＜寝るぽ（＾＾）
|＼⌒⌒⌒＼
＼ |⌒⌒⌒~| 山崎渉
~￣￣￣￣
738:login:Penguin
03/07/15 12:04 KhvjxSuE
(･∀･)renice!
739:login:Penguin
03/07/17 19:58 rpTi+qmn
特定のIPアドレスを弾く方法がわからん…
特にカンコック
740:login:Penguin
03/07/18 19:50 oqc32GAg
>>739
IP アドレス指定して DROP すりゃいいだけじゃないの?
741:login:Penguin
03/07/20 22:47 mKHQx37j
カンコックウザー
742:login:Penguin
03/07/21 06:13 Ys+NsPMS
ルータの作り方がわかりません
まず環境を書きます
PCは2台あります
ノートにRedhat9（NISが2枚） eth0=192.168.0.2 eth1=null(pppoe用）
デスクにWindows2000（NISが2枚） eth0=192.168.0.1 eth1=null(pppoe用）
ハブが1個(port5)あります
接続はpppoe（フレッツADSL8M）です
redhatでiptablesでルーターにしたいんですがどうもNATがうまくいきません
Windows2000での設定もよくかりません
ご教授お願いします
743:login:Penguin
03/07/21 10:14 Ri0+aoIL
>>742 >>1から読むべしコピペとEthデバイスの書き換え程度で動くよ
744:login:Penguin
03/07/21 15:34 GdFmfJHS
>>740
もれは739じゃないんだけど
$IPTABLES -A ppp-in -s xxx.xxx.xxx.0/24 -j DROP
$IPTABLES -A ppp-out -d xxx.xxx.xxx.0/24 -j DROP
ではなんか弾いてくれないの。（私から鯖にアクセスできてしまうの）
何故
745:login:Penguin
03/07/22 00:14 SbexNa9y
>>744
その条件の前に、xxx.xxx.xxx.0/24 を許可してしまうような設定が
されていたりしない?
そういう、条件を指定して DROP するような設定は、ルール (ppp-in
とか ppp-out) の最初の方に書いておくべきなんだけど、その辺どう?
746:login:Penguin
03/07/22 00:16 Vt8vdmWh
俺はこんな風に記述してる。ちゃんと拒否されるよ。
対象アドレスは/etc/sysconfig/refuse-networkファイルに列挙。
eth_wan="eth0"
addr_wan="192.168.0.253"
/sbin/iptables -t filter -N LOGDROP
/sbin/iptables -t filter -A LOGDROP -j LOG
/sbin/iptables -t filter -A LOGDROP -j DROP
/sbin/iptables -t filter -N IN_WAN
/sbin/iptables -t filter -A INPUT -i $eth_wan -d $addr_wan -j IN_WAN
for NETWORK in `cat /etc/sysconfig/refuse-network|grep -e ^[0-9]`
do
/sbin/iptables -t filter -A IN_WAN -s $NETWORK -j LOGDROP
done
747:login:Penguin
03/07/22 20:05 7nLOTT+A
うちの大学のSMTPサーバは内部（***.ac.jp）からしか利用できず、
自宅から使う場合はttsshのポートフォワーディングを使って利用していました。
（WindowsマシンとADSLモデム（グローバルIP）を直結）
最近Linuxルータを構築してNAT/IPマスカレードで運用していますが、
ポートフォワーディングができなくなりました。
大学へのssh接続はできるのですが、
Some Socket(s) required for port forwarding could not be initialized.
Some port forwarding services may be available.
という警告が出るようになってメールの送信ができません。
iptablesでどういう設定をすれば、今まで通り使えるようになるでしょうか？
748:747
03/07/22 20:07 7nLOTT+A
現在の設定は以下の通りです。
TTSSH -> Port Forwarding
「Local 10025 to remote "***.***.ac.jp" port 25(smtp)」
メーラー -> SMTPサーバ
localhost:10025
iptables （シェルスクリプト）
#!/bin/sh
IPTABLES="/sbin/iptables"
LAN="192.168.0.0/24"
# flush rules
$IPTABLES -t filter -F
$IPTABLES -t nat -F
# default policies
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
# unconditional trust in internal network
$IPTABLES -A INPUT -i eth0 -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -d $LAN -j ACCEPT
# SSH
$IPTABLES -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT
# HTTP
$IPTABLES -A INPUT -i eth1 -p tcp --dport 80 -j ACCEPT
# Established/Related Connections
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# NAT/IP Masquerede for internal network
$IPTABLES -t nat -A POSTROUTING -s $LAN -o eth1 -j MASQUERADE
749:747
03/07/22 20:10 7nLOTT+A
補足
eth0が内部ネットワーク（192.168.0.0/24）で、eth1が外部（グローバルIP）です。
750:login:Penguin
03/07/22 21:58 j7zVQ0Yu
>747
Linuxルータって大学側にあるの?
大学側にあるなら,iptablesの設定ではなくて,SSHではないの?
linuxルータで
ssh -L 10025:SMTPサーバ:25
とかやった?
751:747
03/07/22 23:28 7nLOTT+A
>>750
いえ、Linuxルータは自宅です。
ADSLモデムとWindowsマシンが直繋ぎだったのを、間にLinuxルータをはさむようにしたんです。
そうしてからttsshのポートフォワーディングが使えなくなりました。
> linuxルータで
> ssh -L 10025:SMTPサーバ:25
> とかやった?
これはルータ上で ssh 大学内サーバ -L 10025:大学SMTPサーバ:25 とやるってことでしょうか？
これをやってメーラーのSMTPサーバをルータにしてみましたが、ダメでした。
752:login:Penguin
03/07/23 05:14 50HUWmV9
>747
10025がダメなら他のポートで試してもダメなのか？
10026とかもダメか？
すでに使用中のローカルのポートをフォワーディングに使おうとすると同じエラーがでたからさ。
もしかしたら、10025がすでに他のプロセスが使用中なのかと思って...
753:login:Penguin
03/07/23 19:32 6T7pK/+j
>>745
うまくいきますた。サンクスこです。
754:750
03/07/23 21:09 8e/Usxxm
>747
てっきり､下の図だと思ってました。
自宅PC==ルータ(自宅)====Linuxルータ(大学)－－－SMTPサーバー
＝:トンネル －:非暗号化
自宅PC==Linuxルータ(自宅)====ルータ(大学)==SMTPサーバー
なのね。
変更したのは
ADSLルータ→Linuxルータ
IPマスカレードの使用
だけですか?
自宅PCの設定は変えてないですか?
SSHの通信ができるならIptablesの設定ではないと思うけど…
とりあえず
>$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
をOUTPUT､FORWARDにも追加してもみたらどうでしょう?
-
755:login:Penguin
03/07/24 17:02 nfR1vcCX
もの凄く初心者な質問ですみませんが。
Vine2.6、カーネルは2.4.19-0vl11使ってます。
iptablesをmodprobeコマンドで起動させたいのですが、「iptable_natなんてモジュールは
無いぞゴルァ」という返答しか返ってきません。同時にipchainが起動してはいないです
(というか最初から起動してない)iptablesのインストし忘れかと思いましたが、
ちゃんとインストールされてました。きっと単純なことなんだろうけど、何が足りないのかわからないです...
756:login:Penguin
03/07/24 21:42 bV8JGfSo
URLﾘﾝｸ(www.google.co.jp)
ググったのかよ(ﾟДﾟ#)ｺﾞﾙｧ!!
757:login:Penguin
03/07/24 22:32 nWVS3aEW
>>756
ｱﾘｶﾞﾄ!(´▽｀)
758:login:Penguin
03/07/25 03:28 1QO9tkOs
>>757
もし、秋葉原に近い環境であるとかバックナンバーの置いてある本屋があるのならば
LinuxMagazine 2003/4の特集でも読みなされ
759:login:Penguin
03/07/26 02:08 1tEKiyI5
>>757
ちなみに、Vine 2.6 で、あの雑誌の通りにやると、Kerneｌ-mode pppoeのところではまるから。
760:login:Penguin
03/07/27 11:39 Aq2rr+SO
(･∀･)renice!
761:761
03/07/30 02:32 +2+JaTjq
家にPC３台ありますが100Mハブが高くて買いたくないので
余った蟹のカード３枚集め、1つのoutputに対しDMZとかも置かずに
２つのnインターフェースをひとつのネットワークにブリッジ化したPCルータを作りたいです。
その際のｉｐｔａｂｌｅｓ設定の方法を多かれ少なかれ解説してあるページってどこかにありますか？
762:761
03/07/30 02:34 +2+JaTjq
２つのnインターフェース → ２つのｉn側インターフェース
763:761
03/07/30 02:57 +2+JaTjq
探したらこういうのが見つかった
URLﾘﾝｸ(www.google.co.jp)
他にないかのう
764:login:Penguin
03/07/30 02:57 PMhX2tRL
>>761
> 100Mハブが高くて買いたくないので
ギガビットならともかく、100BASE-TXなら\3,000でおつりがくると思うが。
765:login:Penguin
03/07/30 04:20 vmcnZCsY
>761
そもそも１００Mハブやブロードバンドルータですら4000円の世界なのだが。
URLﾘﾝｸ(review.ascii24.com)
勉強のためにやるなら止めないが。
ただ単に1台のPCをルータとして使って下に2台ブリッジでぶら下げるのであれば
LAN側の2枚のNICにブリッジの設定をきちんとしてやった上でWAN側とのマスカレードの
設定だけしてやればいいのでは。当然対象のインターフェースがeth1とかから
br0などの論理インターフェースに変わるのでbr0のIPやrouteingなどの設定を
きちんとした上で後は普通のルータと同じように設定をすればいいと思うが。
ブリッジ内部でパケットフィルタリングでもしない限りiptablesの設定うんぬんの問題は
発生しないと思う
ただ実際にやった事無いしソースも読んだわけでもないんでやってみないとわからんけど。
766:p
03/07/30 05:40 tSrJtpRf
本日公開！本物素人援交みゆきちゃん。
寝転んでも形が崩れないおっぱいは若さゆえ！
無料動画をＧＥＴしよう。
URLﾘﾝｸ(www.cappuchinko.com)
767:761
03/07/30 06:40 a+WUUNj1
その２，３千円の出費が嫌なのよ 車検も近いしなー
それにpcルータはやはり帯域に余裕があっていい
寄せ集めパーツで作ったfloppyfw（カーネル2.4）で２枚のNICで計測してもかなりロスが少なかった。
>>765
なるほど概念的な捉え方はわかりました。
それを実装して動かせるスキルのほうは別ですが。
768:761
03/07/30 06:47 a+WUUNj1
あ、
>>その２，３千円の出費が嫌なのよ
こういう話するとｐｃルータのランニングコストの話が出てきそうで嫌だな。結構かかるからね
769:589
03/07/30 11:21 u4lX9OwM
takdk
770:login:Penguin
03/07/30 13:45 F4/M7mew
761はコンドーム買うお金ケチって外だしして
妊娠させるタイプだな。
771:login:Penguin
03/07/30 18:02 PMhX2tRL
余ったパーツ売って、その金でハブ買えばいいじゃん。
772:本よりも
03/07/30 23:26 DIOU5lcL
URLﾘﾝｸ(www.h5.dion.ne.jp)
773:765
03/07/31 13:31 KK+7sZnf
>765
追加説明
LAN側を192.168.0.0/24としてiptablesの設定はブリッジ間の通信とNATの設定をして
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
ブリッジの論理インターフェースをbr0、ブリッジさせるNICをeth1、eth2としてブリッジの設定
brctl addbr br0
brctl stp br0 off
brctl addif br0 eth1
brctl addif br0 eth2
後はネットワークの設定を以下のように行い
ifconfig eth1 0 0.0.0.0
ifconfig eth2 0 0.0.0.0
ifconfig br0 192.168.0.1 netmask 255.255.255.0 up
echo '1' > /proc/sys/net/ipv4/ip_forward
最後にWAN側のデフォルトゲートウェイなどの設定をしてやればいいはず。
もちろんクライアント側のマシンのデフォゲはこの設定で言うと192.168.0.1になります。
これでお金を浮かしてコンドームを買ってください。
774:761
03/07/31 18:17 z40pgxWS
>>773
さすが！
わざわざ自らの時間を削って考えてもらってありがとうございます。