【鉄壁】iptablesの使い方 3【ファイアウォール】

1 名前：login:Penguin [2006/01/07(土) 09:23:53 ID:lNsnmDoV] iptablesを使って素敵なファイアウォールとか、 快速ルータを作ったりするために、 情報を出し合うスレ 前スレ おい、iptablesの使い方を(ry その2 pc8.2ch.net/test/read.cgi/linux/1079277604/l50 59 名前：login:Penguin [2006/02/14(火) 17:40:39 ID:VGzO3A6v] iptabels用のシェルスクリプトが紛失している場合、現在saveしているフィルタリングの内容を シェルスクリプトに生成しなおすような事って出来ないんでしょうか？ やっぱり-Lで表示しているのを元に書き直すしかないんでしょうか？ 60 名前：login:Penguin mailto:sage [2006/02/14(火) 18:22:13 ID:hXccECX0] ものによるけどCentOSなら /etc/sysconfig/iptables.save が今セーブされているやつ 61 名前：login:Penguin mailto:sage [2006/02/15(水) 03:43:13 ID:I+2RE0fx] >>60 debianってそういうのある？ 62 名前：login:Penguin mailto:sage [2006/02/15(水) 06:08:07 ID:U3aF0Irf] >>61 dabianいじったことないけど、 どこかしらに保存されているはず。 63 名前：login:Penguin mailto:sage [2006/02/15(水) 07:48:22 ID:hLM2TSS7] >>62 /var/lib/iptables/active 64 名前：login:Penguin [2006/02/15(水) 19:54:50 ID:pFaenui0] Webサーバのレスポンスが異常に悪いので、 何が原因か調べていました。 そうしたらなんと、 iptables -P INPUT ACCEPT iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT iptables -F iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT iptables -P INPUT DROP こんな感じに、ポート80へのインバウンド接続の許可をやってませんでした。 iptables -A INPUT -p tcp --dport 80 -j ACCEPT これを追加したらはやくなったのですが・・・。 質問なのですが、何故、速度が非常に遅いだけでポート80へのアクセスを許可していないのにも関わらず、 Webサーバにつながったのでしょうか？ ご教示お願いします。 65 名前：login:Penguin mailto:sage [2006/02/15(水) 20:00:56 ID:BtY9uoRt] >>63 iptables の README.Debian (の 1. upgrade notes のとこ) 読んだほうがいいんじゃないか? 66 名前：login:Penguin mailto:sage [2006/02/15(水) 20:05:45 ID:PrFj9feQ] >>64 >iptables -A INPUT -i lo -j ACCEPT 127.0.0.1:80でコネクトしてない？ 67 名前： ◆/UXtw/S..2 [2006/02/15(水) 21:41:01 ID:lHSZilu7] >>64 iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT で、一定量の TCP 新規接続を許可してるから。 68 名前：64 mailto:sage [2006/02/15(水) 21:43:24 ID:pFaenui0] >>66 ご回答ありがとうございます。 iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT ポート80へのインバウンド接続の許可(iptables -A INPUT -p tcp --dport 80 -j ACCEPT）を行っていない状況でも、 この2行があれば非常に遅い（※1)ですが通信できましたが、この2行を削除したら完全に接続できなくなったようです。 ※1 画像まで表示させるには大量のリロードが必要だったりページ自体へアクセスできる確率が半分以下だったり、 一般のブラウザで30秒近く表示されないこともある。 もっと実験したいところですが、実働しているサーバなので、これ以上実験するとまずそうですので、 実験環境を作っていろいろ試してみようと思います。 69 名前：64 mailto:sage [2006/02/15(水) 21:47:39 ID:pFaenui0] >>67 ありがとうございます。 SYNフラッド対策としてその1行を加えるべきだという解説をしているサイトが結構あったので、 「Pingを1秒に1回許可する。」みたいに「SYNというPingみたいなもんを1秒に1回許可する。」ような設定だと勘違いしていました。 www.google.co.jp/search?hl=ja&q=%22iptables+-A+INPUT+-p+tcp+--syn+-m+limit+--limit+1%2Fs+-j+ACCEPT%22&btnG=Google+%E6%A4%9C%E7%B4%A2&lr=lang_ja 70 名前：login:Penguin mailto:sage [2006/02/15(水) 22:12:38 ID:hLM2TSS7] >>65 woodyからdist-upgradeした場合ね。 71 名前：login:Penguin mailto:sage [2006/02/15(水) 22:16:20 ID:U3aF0Irf] >>69 iptablesでは 先に実行されたコマンドが優先されるから、 synフラッド対策のコマンドの前に iptables -A INPUT -i eth0 -p tcp -m state --state NEW --destination-port 22 -j ACCEPT (ただし、グローバルにつながっているデバイスがeth0) すれば解決。 72 名前：login:Penguin mailto:sage [2006/02/15(水) 22:17:20 ID:U3aF0Irf] すまん上の 22 じゃsshだｗ 80に書き換えてね 73 名前：login:Penguin mailto:sage [2006/02/15(水) 23:28:09 ID:BtY9uoRt] >>70 いや、だから Sarge 以降のインストーラを使った人は /var/lib/iptables/ というディレクトリ自体がないんじゃないの? # うちは Woody から dist-upgrade したのばっかりだから確認してないけど、 # dpkg -L iptables を見たかぎりでは、ない。 つまり >>63 の回答はいささか不適切なのでは? /var/lib/iptables/active があるのは、 /etc/init.d/iptables がある環境 (Sarge の iptables にはない) で、 sudo /etc/init.d/iptables save active (あるいは save_active) した場合でしょ。 >>61 への回答としては、「ない」というのがふさわしいかと。 自分で iptables-save 使わないかぎり、ないんだから。 README.Debian では /etc/iptables.up.rules (/etc/iptables.down.rules) を 使う例をあげたりもしてる (もちろんそのファイルは自分で作る)。 74 名前：login:Penguin mailto:sage [2006/02/16(木) 00:50:48 ID:K90nrbnE] >>73 woodyからって書いてあるじゃん 75 名前：login:Penguin mailto:sage [2006/02/16(木) 13:34:07 ID:Utn4ixIB] ではsarge以降の場合は？ 76 名前：67 ◆/UXtw/S..2 mailto:sage [2006/02/16(木) 23:55:22 ID:e8JdZL9s] >>69 いいことを教えてやろう。 分かっている人は、わざわざ分かっているこ とを www に作業の記録として残す必要がな い。 だから、www に作業の記録として残ってるよ うな情報の質なんて余り高くないと思って間 違いない。 というわけで、まずはちゃんと JF とか man ページとか読んでくれ。 77 名前：login:Penguin mailto:sage [2006/02/17(金) 00:13:25 ID:8LJubZnx] >>76 俺アホだからけっこう忘れちゃうから、 テキストに残してるよ。 この値はこんな意味を持っていて、こういうときにいじると〜だとか。 プログラムだったらサンプルコードの専用のディレクトリ作ってそこに用途別に保存したり。 みんな忘れないもんなの？ 78 名前：login:Penguin mailto:sage [2006/02/17(金) 00:27:07 ID:4hf1A87R] >>77 > みんな忘れないもんなの？ 普通はスクリプトにして残しとくじゃん？ で、こないだディスク死んだときにバックアップ探したんだけど、 どうしても見つからなくて、慌てて一から書き直したがｗｗｗｗｗｗ 79 名前：login:Penguin mailto:sage [2006/02/17(金) 00:49:42 ID:8LJubZnx] >>78 あ、俺もiptablesに関してはスクリプトで残してる。 サーバとかは設定ファイルごと保存したり。 80 名前：login:Penguin mailto:sage [2006/02/17(金) 01:46:03 ID:MxIekRNL] RTFM 81 名前：login:Penguin mailto:sage [2006/02/17(金) 02:04:44 ID:8LJubZnx] >>80 はいはいﾜﾛｽﾜﾛｽ ドキュメントの自分が必要な部分をまとめて文書化してるだけですよ 82 名前：login:Penguin mailto:sage [2006/02/17(金) 02:53:36 ID:4hf1A87R] 日本国内のMLや掲示板でRTFMとか書いてる低脳は放置で。 83 名前：login:Penguin mailto:sage [2006/02/17(金) 08:35:23 ID:MxIekRNL] なんて被害妄想なんだろうwww 84 名前：login:Penguin [2006/02/17(金) 15:55:54 ID:4hf1A87R] 相手にされなかったことがそんなに悔しかったのか？ 85 名前：login:Penguin mailto:sage [2006/02/17(金) 16:28:58 ID:MxIekRNL] 悔しいもなにも、RTFM は >76 についてレスしたつもりだったんだけど。 Fine の意味でね。 それから、スクリプトを取っておく作業は誰でもやってることだし、自分もそうする。 いつも、そんな喧嘩ごしなの? 86 名前：login:Penguin [2006/02/17(金) 17:18:17 ID:4hf1A87R] RTFMに“Fine”の意味はありません。 誹謗中傷の次は見苦しい言い訳と論点ズラしですか？ 87 名前：login:Penguin mailto:sage [2006/02/17(金) 17:28:26 ID:E5lP6Xlb] fの意味するところは諸説あるが、実際に使われるケースの殆んどはあの単語だ罠 88 名前：login:Penguin mailto:sage [2006/02/17(金) 18:22:13 ID:MxIekRNL] >86 ごめんな。 89 名前：login:Penguin [2006/02/17(金) 19:20:16 ID:4hf1A87R] >>87 fをfineの頭文字としたところで、文脈上肯定的な表現にはなり得ない。 それはマニュアル作った奴に対する話でしかないし、 fuckin'がかかってるのはmanualじゃないって説もある。 そもそもの話として、fuckin' greatなら最上級の褒め言葉であり、 あの言葉自体の意味は相当に曖昧。 fuckin'だろうとfineだろうと、読み手に対して「読め」と命令するだけなら、 初めからチラシの裏にでも書いとくか、勝手に見下して陰でﾆﾔﾆﾔしてろって話。 ただ威張りたいだけで、人にモノを教えるのがそんなにイヤなら黙ってろと。 90 名前：login:Penguin mailto:sage こういうのは罵声でいいと思う [2006/02/17(金) 21:16:16 ID:omFPvqI6] 初心者です。iptablesの使い方についていちから教えてください。 RTFMとかドキュメント嫁とだけ書き込む人は返答は不要です。 91 名前：login:Penguin mailto:sage [2006/02/17(金) 21:56:43 ID:PN2x1RuM] 返答の形式について文句を垂れるような奴は不要です。 92 名前：login:Penguin [2006/02/17(金) 22:54:22 ID:4hf1A87R] >>90 自分より下の奴がいないと不安でしょうがないのか？ 93 名前：login:Penguin [2006/02/18(土) 12:26:16 ID:pR4sac24] やっと土日開放されたんだから遊ばせてやれ。 94 名前：login:Penguin mailto:sage [2006/02/18(土) 19:48:24 ID:ouAy6Dzu] そういやFC5にGCC4.1は結局間に合うの? なんかもう諦めたような感じを受けているけど 95 名前：login:Penguin [2006/02/19(日) 00:56:56 ID:GpvC0cMf] 通りすがりだけど >>89 キモイ 早口で変なこといいながら襲ってくるオタクみたいだぞ とりあえず落ち着け！ 匿名の掲示板で場の空気を悪くしてまで優位に立つ(それで立てるかは別として) 96 名前：login:Penguin [2006/02/19(日) 00:57:47 ID:GpvC0cMf] 必要はないでしょ 楽しくやろうぜ 97 名前：login:Penguin mailto:sage [2006/02/19(日) 00:59:42 ID:GnlDjTWS] 吉野家コピペじゃないけどギスギスしてたほうが2chらしくていいと思う。 98 名前：login:Penguin mailto:sage [2006/02/19(日) 04:29:02 ID:atoXonGC] まぁ大抵予定調和だし、ディスプレイの向こう側で本気で怒ってる馬鹿は そう多くはないからなｗ 優位とか訳の分からない妄言吐いてる>>95みたいのが一番迷惑。 精神的に未熟かつ脆弱な人はヤフーの掲示板でも行ったほうがいいよ。 99 名前：login:Penguin mailto:sage [2006/02/19(日) 04:49:43 ID:6UbP30PD] ID変わった直後に「通りすがりだけど」warata 100 名前：login:Penguin mailto:sage [2006/02/20(月) 06:29:44 ID:bWJtKs/w] 第三者っーか第四者ぐらいからすれば、下らない。どーでも良い。 ちゃねらーとしては、ﾆﾔﾆﾔ。 101 名前：login:Penguin mailto:sage [2006/02/21(火) 02:10:24 ID:63EbBWIi] 無料で教えてくれはあり得ないよな。 102 名前：login:Penguin mailto:sage [2006/02/22(水) 13:29:00 ID:HHgp7SiR] 釣りだよ 釣り 釣られんなよ 103 名前：login:Penguin [2006/03/01(水) 23:27:11 ID:jAar/o7d] HOST= # トラフィックコントロールの初期化 tc qdisc del dev ppp0 root # ppp0にトラフィック制御用のルートクラスをセットする。 tc qdisc add dev ppp0 root handle 10: cbq bandwidth 64Kbit avpkt 1000 cell 8 # 優先度5に設定されたクラス tc class add dev ppp0 parent 10:0 classid 10:1 cbq bandwidth 64Kbit rate 64Kbit \ allot 1514 cell 8 weight 6Kbit prio 5 maxburst 20 avpkt 1000 # 優先度8に設定されたクラス tc class add dev ppp0 parent 10:0 classid 10:2 cbq bandwidth 64Kbit rate 64Kbit \ allot 1514 cell 8 weight 6Kbit prio 8 maxburst 20 avpkt 1000 # $HOSTからのパケットの優先順位を下げる tc filter add dev ppp0 parent 10:0 protocol ip prio 1000 u32 match ip src $HOST flowid 10:2 tc filter add dev ppp0 parent 10:0 protocol ip prio 1000 u32 match ip dst $HOST flowid 10:2 あるホストとの間でやり取りされるパケットの優先度を下げたいのですが、 これではどうも上手くいきません。どの辺りが不味いでしょうか？ 104 名前：login:Penguin [2006/03/02(木) 01:04:33 ID:rYvDSupO] #!/Bin/sh HOST= # トラフィックコントロールの初期化 tc qdisc del dev ppp0 root # ppp0にトラフィック制御用のルートクラスをセットする。 tc qdisc add dev ppp0 root handle 10: cbq bandwidth 64Kbit avpkt 1000 cell 8 # 優先度1に設定されたクラス tc class add dev ppp0 parent 10:0 classid 10:1 cbq bandwidth 64Kbit rate 64Kbit \ allot 1514 cell 8 weight 6Kbit prio 1 maxburst 20 avpkt 1000 # 優先度8に設定されたクラス tc class add dev ppp0 parent 10:0 classid 10:2 cbq bandwidth 64Kbit rate 8Kbit \ allot 1514 cell 8 weight 1Kbit prio 8 maxburst 20 avpkt 1000 # $HOSTからのパケットを10:2へ tc filter add dev ppp0 parent 10:0 protocol ip prio 1000 u32 match ip src $HOST flowid 10:2 tc filter add dev ppp0 parent 10:0 protocol ip prio 1000 u32 match ip dst $HOST flowid 10:2 # $HOST以外のパケットを10:1へ tc filter add dev ppp0 parent 10:0 protocol ip prio 1000 u32 match ip src any flowid 10:1 tc filter add dev ppp0 parent 10:0 protocol ip prio 1000 u32 match ip src any flowid 10:1 少し直してこんな感じで。これでもまだ反応が遅いです。 105 名前：login:Penguin mailto:sage [2006/03/07(火) 19:54:27 ID:9B8/4CoY] -p tcp --syn と -p tcp -m state --state NEW の違いはどの辺なのでしょうか？ 106 名前： ◆/UXtw/S..2 [2006/03/08(水) 03:04:06 ID:Zbg8WQwt] >>105 JF かどこかの FAQ に書いてあったよーな。 -p tcp --syn は TCP のフラグを見るだけ。 -p tcp -m state --state NEW は、過去のコネクション追跡と 比較して、新しいパケットという意味。 正常系だけを考えると同じだけど、 「SYN (だけ)立ってるのに NEW じゃない」とか、 「SYN 立ってないのに NEW」 とかは、不正なパケットや エラーパケット(IP masq してて IP がかわちゃったとか?) として存在し得ます。 paranoia な人はそういう不正パケットチェックも してると思うけど、俺はあんま意味ねーと思うよ。 107 名前：login:Penguin mailto:sage [2006/03/09(木) 01:13:45 ID:eoET1/Z4] レスありがとうございます。 実はアタック対策(？)として /sbin/iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP /sbin/iptables -A INPUT -p tcp --syn -m state --state ESTABLISHED,RELATED -j DROP を実行しているのですが、 この場合は -p tcp --syn と -p tcp -m state --state NEW は同値ということですね。 108 名前：login:Penguin mailto:sage [2006/03/09(木) 07:13:39 ID:eoET1/Z4] www.faqs.org/docs/iptables/newnotsyn.html 見つけましたー 109 名前：≠108 mailto:sage [2006/03/09(木) 19:32:03 ID:fGEVBiuA] ttp://www.asahi-net.or.jp/~aa4t-nngk/iptables/index.html こっちもあるよ 110 名前：login:Penguin mailto:sage [2006/03/11(土) 20:06:57 ID:a5ieCDEi] 箱物の火壁を使ってて、それをLinuxで置き換えたいと思ってるんですが どうやればいいか、そもそもできるのかどうか、よく分かりません。 というのは、今使ってる火壁のDMZのネットワークだと、インターネットに 繋がってるネットワークと一緒なんです。火壁は1つしかIPを消費しない。 つまり、たとえて言うと、現在の火壁の設定は、デフォルトゲートウェイが a.b.c.1で、eth0がa.b.c.2でeth1(DMZ)もa.b.c.2で、eth2(内側)が192.168.1.1 って感じなのです。（a.b.c.xはグローバルIPアドレス） eth0とeth1が同じIPアドレスなんて、こんな設定はLinuxでは無理ですよね？ グローバルIPアドレスが、（1はゲートウェイだから）a.b.c.2〜a.b.c.6の5つ しかないからすごく貴重で、現在の火壁はそういう意味では偉い。 現在の火壁では火壁にひとつだけ使えばいいのに、Linuxで置き換えたら ふたつ必要ってなると、ちょっと無理そうだなあって思ってますが、なんか いい方法あるのかなあ、と。 DMZのeth1には172.16.1.1とか別ネットワークを割り当ててしまうというのが 一般的なやり方なんでしょうか？これはこれでかなり面倒そうですが… 111 名前：login:Penguin mailto:sage [2006/03/11(土) 20:53:50 ID:H2r6YOEG] >>110 よくわかってないのに何故置き換えようなんて馬鹿な事を考える？ いまのまま使え。 甘えた事言ってる奴にアドバイスはしないからな。 112 名前：login:Penguin mailto:sage [2006/03/12(日) 01:07:47 ID:GaiFjSlp] 　　　[a.b.c.1] internet 　　　　　| eth0[a.b.c.2] gateway┬eth1[a.b.c.2] DMZ─… 　　　　　　　　　　　　　 │ 　　　　　　　　　　　　　 ├eth2[192.168.1.1]　LAN 　　　　　　　　　　　　　 ├… >>110 なの？(；ﾟ∀ﾟ) 113 名前：login:Penguin mailto:sage [2006/03/12(日) 14:36:03 ID:fLTGXJ4j] >112 そう。今使ってる箱物のやつはたとえて言うなら そういう風に見える状態です。だから4つの グローバルIPアドレス（a.b.c.3〜6）を外向けに 使えてていて、かつ、そのアドレスでサーバを 立ち上げることができています。 サーバを192.168.0.3で立ち上げておいて 火壁で a.b.c.3 -> 192.168.0.3 みたいなことを しなくてもいいのでいろいろと簡単なのです。 ひとつのアドレスを諦めるか、NATで我慢するかしか ないんですかね。 114 名前：login:Penguin mailto:sage [2006/03/12(日) 17:14:33 ID:5LIumG2r] プロバとの接続がunnumberedなら普通に動くでしょ。 115 名前：login:Penguin [2006/03/19(日) 09:24:14 ID:5na5qPQk] iptablesでwinnyを止めることできるかな? 内側からは自由に通信許可して、明示的に20、21、6699はだめとかしている。 なんか方法あるかな? 116 名前：login:Penguin mailto:sage [2006/03/19(日) 09:38:58 ID:Scwfrzf0] 自分のマシンしかない環境なら任意に決めたポートを塞ぐだけで済むかも 知れんが（その前にWinnyなんて使うなって気がするが）、他人のPCが 持ち込まれる環境なら笊すぎだし、ftpは関係ないだろ 117 名前：login:Penguin mailto:sage [2006/03/19(日) 09:41:43 ID:euH7uiKd] >>115 なぜに FTP? ポート番号変更されたらどうする? L3 じゃ止められないと思うが。 118 名前：login:Penguin mailto:sage [2006/03/19(日) 11:31:42 ID:ewCnJJtr] １つもポートを渡さなければwinnyできないよ 119 名前：115 [2006/03/20(月) 12:44:56 ID:i5TAhf8f] ftpはただの例としてあげただけ。深い意味はない。 要するに、ポートを指定できないということで、iptablesだけじゃだめってことか。 なんか、上下の流通量の多いポートを発見してとめるというスクリプトを作って 組み合わせるということかなぁ。 120 名前：login:Penguin mailto:sage [2006/03/20(月) 12:59:19 ID:bQJQEw/7] >>119 dest port を制限すればいいだろ？ 80番でwinny動かしてるやつなんか大していないだろ。 必要な 25 53 80 110 とか以外制限すればいいだけだろ。 121 名前：login:Penguin mailto:sage [2006/03/21(火) 15:28:49 ID:PJmbcWTA] カーネル2.6.16でULOGがobsoleteになってるんだけど これからはかわりに何を使えばいいんだろ？ 122 名前：login:Penguin mailto:sage [2006/03/23(木) 14:19:39 ID:eBmZg9Jf] >>121 audit 123 名前：login:Penguin mailto:sage [2006/03/23(木) 20:53:38 ID:3EKkiV1S] CentOS 4でうまく動いてたiptablesのルールを Fedora 5に持ってきたら、以下のところでINPUTが止められて、 外部からsshとかが繋がらないんですが、どなたか原因が分かる人はいませんか？ 最後の一行をコメントアウトすると繋がるようになります。 -N FLOOD -A FLOOD -m limit --limit 20/second --limit-burst 50 -j RETURN -A FLOOD -j DROP -A INPUT -p tcp --syn -j FLOOD 124 名前：login:Penguin mailto:sage [2006/03/32(土) 11:23:21 ID:OyQ12irH] すまん。>>121-122の会話内容が俺にはよくわからん。 ぐぐってもこのスレしかひっかかってこないし。 2.6.16も使いたいんで誰か意味を説明してくれ。頼む。 125 名前：login:Penguin mailto:sage [2006/03/32(土) 14:59:20 ID:g8YJ2JBf] わからないなら気にするな 126 名前：login:Penguin mailto:sage [2006/04/05(水) 21:41:09 ID:4+4r2znu] >124 俺は2.6.16.1だけど、普通に使えてるよ。 まぁ、>121-122ほど込みいった使い方して無いからなんだろうけどね。 俺はFW目的なので、Forward は使って無い。 127 名前：login:Penguin [2006/04/05(水) 22:42:49 ID:MTtWDvot] 俺はFW目的なので、Forward は使って無い。 俺はFW目的なので、Forward は使って無い。 俺はFW目的なので、Forward は使って無い。 俺はFW目的なので、Forward は使って無い。 俺はFW目的なので、Forward は使って無い。 128 名前：login:Penguin mailto:sage [2006/04/05(水) 23:14:54 ID:oL77QEW+] (･∀･)香ばしいのが現われました(･∀･) 129 名前：login:Penguin mailto:sage [2006/04/06(木) 00:29:54 ID:oB5DZ43q] 122だが>>127-128の愚かさに吐き気を催した。 130 名前：login:Penguin [2006/04/06(木) 00:41:05 ID:reSxTF4A] 122だが>>122、>>129の愚かさに吐き気を催した。 131 名前：login:Penguin mailto:sage [2006/04/06(木) 00:44:36 ID:oB5DZ43q] >>130 ほぉお前が122なのか？じゃ俺が>>122で書いたことの間違いを訂正してくれよ。 俺は良く調べずにMLで読んだ記憶からあんな事を書いてしまったが、 実際は勘違いもいいところだよな。 132 名前：login:Penguin mailto:sage [2006/04/06(木) 00:57:42 ID:oB5DZ43q] >>124 俺が間違えたせいかな？混乱させてすまん。 2.6.16でもULOGは使える。ただobsolete(旧式)ってコメントが付いただけ。 ULOGの代わりに推奨されてるのはNFNETLINK。 カーネルコンフィグのULOGのhelpを読むと書いてあるよ。 auditは、はっきり言って、関係ないね orz 133 名前：login:Penguin mailto:sage [2006/04/06(木) 01:14:17 ID:u52TkEzX] >>132 > >>124 > 俺が間違えたせいかな？混乱させてすまん。 > 2.6.16でもULOGは使える。ただobsolete(旧式)ってコメントが付いただけ。 > ULOGの代わりに推奨されてるのはNFNETLINK。 勝手なことを言ってすまないが、これがわかったときに ここに書いてほしかった・・・ それでこそ情報の共有ができるかなと思うので・・・ 134 名前：login:Penguin [2006/04/06(木) 07:14:55 ID:reSxTF4A] >>131 ULOGの替わりがauditとかホザいてる馬鹿が何を偉そうにｗ 135 名前：login:Penguin mailto:sage [2006/04/06(木) 22:06:32 ID:FBUiV07T] 2.6.16でiptablesがどうも動作しないなーと思ったら、カーネルの.configが変わっていたらしい。 Netfilter Xtables support、あるいはNETFILTER_XTABLESていうのをYかMにする必要があるんだそうだ。 make oldconfigでは自動でYにはならないので、古い.configから移行するとハマる。 いやー、全然わからなかったよ。 以上チラシの側面だが、同じようにハマっている人のために記す。 136 名前：login:Penguin mailto:sage [2006/04/06(木) 22:22:13 ID:UgyJEr7p] >>135 チラシの側面に書くのは至難の業では？ 米に字が書ける奴はいてもチラシの側面に字が書ける奴は >>135 が初めてだ。 137 名前：login:Penguin mailto:sage [2006/04/06(木) 22:24:04 ID:qRPJk91E] >>136 チラシの側面に"書いた"とは書いてないのでは？ あくまでもチラシの側面。 138 名前：login:Penguin mailto:sage [2006/04/06(木) 23:33:18 ID:dzOqsVf1] ロールシャッハ・テストのとき紙の側面を見つめるようなら統合失調症だとかいう話？ 139 名前：login:Penguin [2006/04/14(金) 14:30:03 ID:LCw0qrIp] 大陸・かの国フィルター使ってみた 重くなりますた…ｾﾛﾘﾝ400MHｚではきついですね ってかほかにもﾃﾞｰﾓｿ動いているからってのもあるけど 140 名前：login:Penguin mailto:sage [2006/05/13(土) 18:36:18 ID:JVZmSP7e] iptablesとIPマスカレードについて質問です。 LinuxにNICを二枚差し、をルータとして使用しています。 一枚目はプロバイダ、つまり外部インターネットにつながっています。 二枚目は家庭内部のLANにつながっています。 複数の内部LANから外部インターネットを利用する為に、 iptables/IPマスカレードを使おうと思っています。 実現にあたっての設定ですが、現在以下のようになっています。 -A POSTROUTING -s 192.168.15.0/24 -o ppp0 -j SNAT --to [グローバルIP] セキュリティ的な問題や、その他注意するべき点等がありましたら、御教授願えませんでしょうか。 関連して、質問があります。仮に設定を以下のようにしたとします。 -A POSTROUTING -o ppp0 -j SNAT --to [グローバルIP] この場合、外部から入り、外部に出て行く（？）パケットも[グローバルIP]になってしまうのでしょうか？ 具体的には、悪意のある人が、外部PCのデフォルトゲートウェイを[グローバルIP]に設定した場合や、 その他ルータやパケットを操作し、[グローバルIP]を経由するような状態になった場合に、 送信元アドレスが[グローバルIP]、すなわち踏み台のように使われてしまうような状態にならないのでしょうか？ 141 名前：140 [2006/05/13(土) 18:40:25 ID:JVZmSP7e] 説明下手で分かりにくくて申し訳ありません。(´･ω･`) 142 名前：login:Penguin mailto:sage [2006/05/13(土) 18:49:53 ID:jeSm6rQd] いまいち何がやりたいのかわからないけど、 SNATには何が書いてあるの？ 143 名前：login:Penguin mailto:sage [2006/05/13(土) 18:59:10 ID:ala/Ib1L] (･ω･`) 144 名前：login:Penguin mailto:sage [2006/05/13(土) 19:07:56 ID:jeSm6rQd] すまんSNATか -j MASQUERADE じゃいけんの？ 145 名前：140 mailto:sage [2006/05/13(土) 20:03:28 ID:JVZmSP7e] 説明不足ですいません 。 >>140の設定で目的の、内部PCから外部インターネットへの通信 は問題なく行われています。 IPアドレスの書き換えや通信経路の操作になるので、 どこかにセキュリティ的な問題があるのではないのか心配になった為に質問させていただきました。（無問題という事でよいかも？） ただ、>>140の二番目に記述した例について気になりまして・・・ 環境は以下のようになっています。 「ネットワーク図」 　--[インターネット]--[Linux(iptables)(192.168.15.10/24)]--[内部PC( 192.168.15.50/24 )] 「iptablesの内容」 　-A POSTROUTING -o ppp0 -j SNAT --to [グローバルIP] 普段は内部PCの「デフォルトゲートウェイ」設定として、192.168.15.10を指定しています。 内部PCからインターネットを使用し、IPが記録される掲示板等に書き込んだ場合、 前述のSNAT設定が有効になり、 [グローバルIP]を使用して通信しているとみなされます。 気になっている問題は、外部の全く別のPCのデフォルトゲートウェイの設定を[グローバルIP]に設定した場合に 通信が私のPCを経由し、かつSNAT設定が有効になってしまい、外部PCの通信にも関わらず、 私の[グローバルIP]が通信先に残り、成り済ましや踏み台のようになってしまう可能性が無いのであろうかと心配になってしまったのです。 まったく別の外部PCでは無くても、例えば同一プロバイダの同一ルータの傘下にある、 別のPC等からのデータが流れ着き、上記SNATを経由してしまうような事はありえないと考えてよいのでしょうか？ 146 名前：login:Penguin mailto:sage [2006/05/13(土) 21:01:31 ID:eHos4yjo] >>140 (Xは自然数または0) 「pppX」って、ダイアルアップモデムなどのNICを示すんじゃないの？ 今時、pppなんて使わないんじゃ･･･。 そして、「ethX」が、LANなどのネットワークインターフェイスを示すんだと思ったんだけど。 違ったらごめん。 147 名前：login:Penguin mailto:sage [2006/05/14(日) 05:22:42 ID:uw7fsQNO] >>140 >御教授 御教示 148 名前：login:Penguin mailto:sage [2006/05/14(日) 09:19:40 ID:2aZ27yzx] >>147 人の間違いを正そうとして自分が間違っているのに気づかない典型的なアホ 149 名前：login:Penguin [2006/05/14(日) 09:49:04 ID:uyWCzbT4] >>147 ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ 150 名前：login:Penguin mailto:sage [2006/05/14(日) 09:52:47 ID:a11XKTbB] >>147 間違いを正そうとするなら、iptablesについても正そうとしてくれたらいいのに……。 151 名前：login:Penguin mailto:sage [2006/05/14(日) 10:24:02 ID:uyWCzbT4] >>146 > 今時、pppなんて使わないんじゃ･･･。 インターフェイスにppp*使うかどうかは、セッション方法に依存する。 喪前が「ダイアルアップモデム」と呼んでる得体の知れない機器とは関係ない。 >>150 正すって何を？ 本人がいいと思うならそれでいいじゃん。 152 名前：login:Penguin mailto:sage [2006/05/14(日) 16:08:46 ID:s62oiPou] 直接的な嫌味です。 153 名前：login:Penguin [2006/05/16(火) 02:23:55 ID:SvswPURi] 外出ネタだけど、 「教授」：音声・書籍の文字等の文字情報による情報伝達法。 　　　　　情報媒体は音波を載せる空気・電波、印刷する文字を載せる紙等。 「伝授」：文字情報によらざる情報伝達法。 　　　　　お釈迦様（釈尊）による「拈華微笑」や禅の「以心伝心」がこれに当たる。 　　　　　情報媒体は「気」などの電磁波以外の情報媒体。 　　　　　特徴は一瞬にして伝えようとする一切の情報が相手へ正確に伝わること。 154 名前：login:Penguin mailto:sage [2006/05/16(火) 07:42:51 ID:RKFWJtnS] ご教授おながいします、なんて言い方は一昔前の文献にはさっぱり出てこない そもそも教授と教示じゃ教える範囲も全然違う。>>148-149頭大丈夫か？ このネタ、いろんな板で目にするけど、その度に火病るやつがでてる気がする 155 名前：login:Penguin mailto:sage [2006/05/16(火) 08:11:45 ID:j43VJ4tI] 「おながいします」じゃあ昔の文献には出てこないよねｗ 156 名前：login:Penguin mailto:sage [2006/05/16(火) 08:56:32 ID:RKFWJtnS] そこはお約束だから＞＜ 157 名前：login:Penguin [2006/05/17(水) 21:37:53 ID:eDYbuIcR] netfilter の設定に関しては、イマイチよくわからないので、 ウチでは、firestarter で基本設定をして、 kiptablesgenerator での設定を加味した netsipder-firewall を併用している。 この仕組みのいいところは、iptables の設定ファイルが上書きされずにファイアウォールがかかるところ。 158 名前：login:Penguin mailto:sage [2006/05/19(金) 13:19:13 ID:s+bFzJ0p] -A PREROUTING -p tcp -d 192.168.0.1 --dport 80 -j DNAT --to hogehoge.aa0.netvolante.jp:8080 エラーになるんだけどFQDN使えない？ 使いたい場合どうする？ 159 名前：login:Penguin mailto:sage [2006/05/19(金) 21:21:17 ID:4LZjeB02] >>158 IPアドレスに変換してから書けばいいじゃないか。

---

---

[ 続きを読む ] / [ 携帯版 ]

read.cgi ver5.27 [feat.BBS2 +1.6] / e.0.2 (02/09/03) / eucaly.net products.
担当:undef