おい、iptablesの使い方を具体的に詳しく教えろ！

[表示 : 全て最新50 1-99 101- 201- 301- 401- 501- 601- 701- 801- 901- 1001- 2chのread.cgiへ]
Update time : 06/28 19:45 / Filesize : 335 KB / Number-of Response : 1002
[このスレッドの書き込みを削除する]
[＋板最近立ったスレ＆熱いスレ一覧 : ＋板最近立ったスレ／記者別一覧] [類似スレッド一覧]


↑キャッシュ検索、類似スレ動作を修正しました、ご迷惑をお掛けしました

1 名前：初心者 [01/09/18 21:50 ID:vcHWxUb2]: 家庭内ＬＡＮのルーターとして使いたい。
web, ftp, mailサーバーをうごかしつつ、ＩＰマスカレードして
ＬＡＮのＰＣをそとにつなげたい。
コネクションはＡＤＳＬ、ＩＰはグローバルひとつだけ。

具体的なiptablesのコマンドを教えろ。
それと、/etc/sysconfig/iptablesって何なの？これについてもね。

急いでいるのですばやい解答を求む
242 名前：login:Penguin [02/08/03 12:13 ID:iu8kE8Ud]: ip_conntrackとip_conntrack_ftpをmodprobeしてロードしてるのですが、
未だにpassiveでしかftpできないんです。
何か設定が必要でしょうか？
243 名前：login:Penguin [02/08/03 12:24 ID:YvQoPcS4]: >>242
man iptables して state モジュールを調べろ。
244 名前：login:Penguin mailto:sage [02/08/05 22:14 ID:dkr4kunF]: >>240
ip_conntrackモジュールをロードしましたが、、、駄目でした。。。
245 名前：login:Penguin mailto:sage [02/08/06 00:11 ID:BvFZ+SuN]: samba のブラウジングについては、
OUTPUT チェインをとって、INPUT チェインだけでフィルタリングすることで、

WWWブラウジングについては
${IPTABLES} -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
${IPTABLES} -A INPUT -i eth0 -j ACCEPT
これを追加することで、可能となりましたが・・・・

いいのか。。汗
246 名前：login:Penguin [02/08/06 06:55 ID:qS7JWqe7]: 111番を塞ぐには
/etc/sysconfig/iptablesに
-A INPUT -p tcp -m tcp --dport 111 -j REJECT --reject-with icmp-port-unreachable
記述して、iptables再起動で大丈夫ですか？
247 名前：login:Penguin [02/08/06 10:16 ID:ndQ8zSfZ]: 世の中には、webminってものがあるね。（webminで検索すらみつかんだろう）
つかってみようや。
248 名前：通りがかり [02/08/11 22:32 ID:xCTEEf2D]: >>247

Webmiｎは使ってるけど
ipchain,iptableのモジュールができてたとは知らなかった
つーか入れてみたけど
面白いほど簡単にプチプチ設定できる
つーかこれってある意味危険かもね
設定したらipchainの設定を改めて読むといいかもしれない･･･
249 名前：login:Penguin [02/08/23 09:10 ID:21gyhjsj]: LAN内の二台目のWebサーバを公開したいのですが
ポートフォワーディングで
ルータとサーバの二つで違うポートを設定する場合
どうすればいいのでしょうか？

httpdのポートを80のままで設定したいです。

クライアント->ルータ:10000->内部サーバ:80
クライアント<-ルータ:10000<-内部サーバ:80

この二つの設定が必要な気がするのですが

どう設定すればよいのでしょうか？
250 名前：login:Penguin [02/08/23 16:18 ID:7hdXdLwi]: >>249 iptables でやるの？できるよ．もっと具体的な構成描いて．
251 名前：login:Penguin mailto:sage [02/08/23 17:21 ID:sgDuPlNi]: >>249
iptables -t nat -A PREROUTING -i $IWAN -p tcp -m tcp --dport 10000
-d (ルータのIPアドレス） -j DNAT --to (内部サーバのIPアドレス):80
iptables -A FORWARD -d (内部サーバのIPアドレス) -p tcp -m tcp --dport 80 -j ACCEPT
252 名前：249 [02/08/23 20:16 ID:21gyhjsj]: >>250
どんな情報が必要なのですか?

>>251
やってみましたがうまくいきませんでした。
253 名前：login:Penguin [02/08/24 13:24 ID:SGQFuuZp]: Bフレッツ来たのでPPPoE使ってるんだけど(物理的にはeth1)、この場合、
光回線から来るパケットを制御するのは -i eth1 なの？ -i ppp0 ？

あと、両者の違いってあるのかなぁ…。
254 名前：login:Penguin mailto:sage [02/08/24 14:49 ID:6iokQhcn]: >>253
ppp0
255 名前：login:Penguin [02/08/24 21:02 ID:VjbNnmX6]: >>253
> あと、両者の違いってあるのかなぁ…。

実際に試してみたら、どうちがうか見えませんか？
ｱﾌｫが無理して使う必要ないと思いますが。
256 名前：login:Penguin [02/09/09 13:21 ID:wYAUROhN]: >>255
君は、喋らなくていいや。
257 名前：login:Penguin [02/09/09 14:30 ID:n91if09/]: >>253
ISDN の TA の場合、/dev/ttyS? の上で ppp0 が動く。
PPPoE の場合 eth0 の上で ppp0 が動く。そういう関係。
258 名前：login:Penguin mailto:sage [02/09/09 14:33 ID:n91if09/]: ていうか、大昔の質問じゃねぇか!!! 釣られたのか...
259 名前：login:Penguin [02/09/10 00:54 ID:xQ11VH4g]: iptablesの自動設定ツールはどうなんよ？
なんたらdogとかいうヤツ。
使ってみたヒトいる？
260 名前：login:Penguin mailto:sage [02/09/10 01:08 ID:wYS5Cwmk]: そんなん知らんぞ。shorewall なら知っとるが。
261 名前：login:Penguin mailto:sage [02/09/10 01:15 ID:wYS5Cwmk]: freshmeat で検索したら iptables のフロントエンドってすごくたくさんある。
Guarddog も出て来た。KDE 用なんだな。
262 名前：login:Penguin mailto:age [02/09/22 09:29 ID:mxN4BuDD]: 保守age
263 名前：login:Penguin [02/09/23 04:05 ID:O2ZtdpqO]: ipchainsでDMZっていう昨日はつかえるんですか？
264 名前：login:Penguin mailto:sage [02/09/23 04:18 ID:i1naLSXm]: >>263
それは ipchains や iptables の機能ではない。
しかし ipchains を使って DMZ を構成している人は居る。
余計に解らなくなったか? DMZ が何なのか理解してからまた来い。
265 名前：login:Penguin mailto:sage [02/09/23 17:41 ID:EoJ1VfmY]: 南北朝鮮の間にあるヤツ
266 名前：login:Penguin [02/09/24 00:04 ID:95UaHihC]: >>264
なんのゲームの設定でもよいのでDMZを構成しているipchainsの内容を
UPしてくれませんでしょうか？

自分はAOK（エイジオブエンパイア2）のホストを立てて、友達数人でやろうと
してるのですが、いっこうに遊べないものです（汗
267 名前：login:Penguin [02/09/24 00:11 ID:95UaHihC]: >>265
DMZ=非武装地帯ってのはわかりますた！
268 名前：login:Penguin mailto:sage [02/09/24 00:17 ID:wPxb6723]: AOMにしようよ。
269 名前：login:Penguin mailto:sage [02/09/24 00:22 ID:daUwfJ1X]: エイジオブエンパイア 2 のサーバを建てたいのか?
それならまず Microsoft がどう言ってるのか調べないとな。
たいていは、このポートを開けろってちゃんと公開されてるよ。
自分が今どういう設定にしているかも晒せよ。
でないとコメントしようがない。
それから DMZ なんて言葉はとりあえず忘れろ。
ゲームに関係ない。いや、ゲームのジャンルによっては関係あるか(w
270 名前：login:Penguin mailto:sage [02/09/25 13:11 ID:TlezUfgf]: RORのほうがおもしろいYO！
271 名前：login:Penguin [02/09/26 01:16 ID:kOC+L6i4]: >>268
AOMって３Dのやつですよね！？自分のパソコンは３DバリバリOKなんですが、
友達がノートパソコン集団なので無理なんです（涙
>>269
とりあえずAOKに必要なポート番号調べてきました
TCP/UDP：2300-2400
TCP/UDP：47624
TCP/UDP：28800-28830
みたいです。
自分の環境はちょっといまからしらべてまとめてあとで書きこみますね。
>>270
RORってのはAOKの一つ前でしたっけ？？
272 名前：login:Penguin [02/09/26 01:21 ID:kOC+L6i4]: AOKのホストにしたいPCのIPアドレスが 192.168.0.33
という設定で、ゲートウェイを 192.168.0.2　にしてます。
それで、ルータにしてるLinuxマシンの内向きNICのIPアドレスが
192.168.0.2で、外向きNICが192.168.0.1です。
んで、ipchainsの内容が
273 名前：login:Penguin [02/09/26 01:26 ID:kOC+L6i4]: input ACCEPT
forward ACCEPT
-A input -i eth0 -s 192.168.0.0/24 -j ACCEPT
-A input -p tcp -y -J ACCEPT -l
-A input -p udp -j ACCEPT -l
-A forward -s 192.168.0.0/255.255.255.0 -j MASQ
と設定しています。　ほかに足りない情報があったら調べますので
言ってください。
274 名前：login:Penguin [02/09/26 01:35 ID:Y4pvorj5]: -yオプションって何？
275 名前：login:Penguin mailto:sage [02/09/26 01:49 ID:n3FPqE6z]: --syn の間違いかと
276 名前：login:Penguin mailto:sage [02/09/26 01:55 ID:er0QZLuy]: >>273
ipchains じゃねぇか。スレが違うぞ。
277 名前：　 mailto:sage [02/09/26 11:35 ID:PTjYLwgE]: 1は御桜軟骨
278 名前：卵 [02/09/27 18:03 ID:iss81Dm4]: はじめて書きます。いそいでます(泣)
例えば、iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
と入力し、iptables-saveで確認の後iptables saveで設定の保存を試みたのですが
うまくいきません。どなたか教えて下さい。宜しくお願いします。
279 名前：login:Penguin mailto:sage [02/09/27 18:41 ID:Hrezziur]: (´-`).｡ｏＯ(急ぐならなぜルータを買いに走らないのだろう…)
280 名前：login:Penguin mailto:sage [02/09/27 19:15 ID:WTb24tRW]: >>278
おう、急いでいるところを待たせて悪かったな。
その件は・・・おっと電話だ。ちょっと待ってくれ。
281 名前：login:Penguin mailto:sage [02/09/27 19:56 ID:5gF2qiSb]: >>273
ipchainsだぁ．．．
282 名前：273 [02/09/28 17:50 ID:X6w6epjE]: ipchainsじゃ無理っすか？（涙
283 名前：login:Penguin mailto:sage [02/09/28 17:55 ID:GwqxHfPv]: ipchainsはこちら。

あなたのipchainsを見せてください。
pc.2ch.net/test/read.cgi/linux/1017819588/
284 名前：よろしくどうぞ [02/09/28 23:21 ID:PtRM+Wo9]: 以下のように、LAN外部からのsmbアクセスとsshアクセスを拒否しているのに
scan.sygate.com/quickscan.html
ここで、スキャンさせると 22 と 139 が開いてしまいます。

なぜでしょうか？
#########################################################################################
# デフォルトのチェインの初期化
${IPTABLES} -F INPUT
${IPTABLES} -F FORWARD
${IPTABLES} -F OUTPUT

#########################################################################################
# 各チェインのポリシー
${IPTABLES} -P INPUT DROP
${IPTABLES} -P FORWARD DROP
${IPTABLES} -P OUTPUT ACCEPT

# LAN 外からの SAMBA 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT
${IPTABLES} -A INPUT -p udp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT

# LAN 外からの SSH 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 22 -d ${LOCAL_NET} --dport 22 -j REJECT
285 名前：login:Penguin [02/09/29 00:04 ID:y1eCLsd8]: >>284
ルールがそれだけなら開いてはいない、まだ晒してない部分があるだろ。
それにそのルールはまちがってる。
286 名前：284 mailto:sage [02/09/29 00:22 ID:KOduZhHX]: #########################################################################################
#
#!/bin/sh
# iptable configration script
#
#########################################################################################

LOCAL_NET='192.168.0.0/24'
THIS_HOST='192.168.0.2'
ANY='0.0.0.0/0'
IPTABLES='/sbin/iptables'
IPTABLES_CONFIG='/etc/sysconfig/iptables'

#########################################################################################
# デフォルトのチェインの初期化
${IPTABLES} -F INPUT
${IPTABLES} -F FORWARD
${IPTABLES} -F OUTPUT

#########################################################################################
# 各チェインのポリシー
${IPTABLES} -P INPUT DROP
${IPTABLES} -P FORWARD DROP
${IPTABLES} -P OUTPUT ACCEPT

##########################################################################################
# ループバックデバイス以外で 127.0.0.1 が指定されていたら拒否。（spoofing 防止）
${IPTABLES} -A INPUT -s 127.0.0.1 -i ! lo -j DROP
${IPTABLES} -A INPUT -d 127.0.0.1 -i ! lo -j DROP
287 名前：284 mailto:sage [02/09/29 00:22 ID:KOduZhHX]: # LAN 外からの SAMBA 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT
${IPTABLES} -A INPUT -p udp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT

# LAN 外からの SSH 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 22 -d ${LOCAL_NET} --dport 22 -j REJECT

# NTP サーバー
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${ANY} --sport 123 -j ACCEPT

# DNS サーバーからの名前解決要求を許可
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${THIS_HOST} --sport 53 -j ACCEPT

# 全ホストからの名前解決要求を許可
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${THIS_HOST} --dport 53 -j ACCEPT
288 名前：284 mailto:sage [02/09/29 00:23 ID:KOduZhHX]: ##########################################################################################

# LAN内外を問わず、echo reply を拒否
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP

# LAN内外を問わず、 echo request を拒否
${IPTABLES} -A INPUT -p icmp --icmp-type 8 -j DROP
${IPTABLES} -A INPUT -p icmp --icmp-type 8 -j DROP

# LAN 内での SSH 接続を許可
${IPTABLES} -A INPUT -p tcp -s ${LOCAL_NET} --sport 22 -d ${THIS_HOST} --dport 22 -j ACCEPT

# LAN 内での HTTP 接続を許可
${IPTABLES} -A INPUT -p tcp -s ${LOCAL_NET} --sport 80 -d ${THIS_HOST} --dport 80 -j ACCEPT

# LAN 内での SAMBA 接続を許可(source,destiantion ともに LAN 全体にしないと駄目)
${IPTABLES} -A INPUT -p tcp -s ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j ACCEPT
289 名前：284 mailto:sage [02/09/29 00:23 ID:KOduZhHX]: ##########################################################################################

# canna のポートを閉める(ローカルホストのみ開ける)
${IPTABLES} -A INPUT -p tcp -s ${THIS_HOST} --sport 5680 -d ${THIS_HOST} --dport 5680 -j ACCEPT

# X11 のポートを閉める(ローカルホストのみ開ける)
${IPTABLES} -A INPUT -p tcp -s ${THIS_HOST} --sport 6000 -d ${THIS_HOST} --dport 6000 -j ACCEPT

# 外部からの ping を拒否
${IPTABLES} -A INPUT -p icmp -s ! ${LOCAL_NET} -d ${THIS_HOST} -j REJECT

##########################################################################################
# LAN 側および loopback からの入力のデフォルトフリー設定
${IPTABLES} -A INPUT -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT
${IPTABLES} -A INPUT ${IPTABLES} -A INPUT -p tcp -s ${ANY} -d ${THIS_HOST} -j REJECT
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${THIS_HOST} -j REJECT
290 名前：284 mailto:sage [02/09/29 00:24 ID:KOduZhHX]: 以上です。。。
291 名前：284 mailto:sage [02/09/29 00:42 ID:KOduZhHX]: ↓これでいけました。どうもです。

# LAN 外からの SAMBA 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --dport 137:139 -j DROP

# LAN 外からの SSH 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --dport 22 -j DROP
292 名前：login:Penguin [02/09/29 00:47 ID:y1eCLsd8]: あー、レスしなきゃ良かったよ(w あっちこっち間違いだらけだなぁ。

>>289 の最後のほう
${IPTABLES} -A INPUT ${IPTABLES} -A INPUT -p tcp -s ${ANY} -d ${THIS_HOST} -j REJECT
がまず謎だねぇ。このへんに何か居そうなんだけど。

それから、UDP が開きっぱなしの状態だ。ソースポートを 123 か 53
にするだけでどのポートにもアクセス出来る。これはまずい。

Samba や SSH の接続を拒否する時にソースポートを指定する必要はない。
SSH に接続するのに 22 番ポートを使う奴は居ないから拒否した事にならない。
(22 -> 22 のアクセスは結構ログに残るけど、それは明らかに怪しいアクセス)
逆に canna や X11 は開いてない。これもソースポートの指定が不要。

厨房ほど ping を拒否したがるが、通常 ping を拒否する必要はない。
その指定では ICMP を全て拒否している。それは大変いけない事。
ICMP ECHO REQUEST は一般に無害で、逆に ICMP ECHO REPLY のほうが危険。
意味が解らないなら勉強しなおせ。ちなみに俺は両方とも通過させている。
293 名前：284 mailto:sage [02/09/29 00:50 ID:KOduZhHX]: >>292
ありがとうございます。精進します。
294 名前：284 mailto:sage [02/09/29 00:57 ID:KOduZhHX]: >>289 の最後のほう
${IPTABLES} -A INPUT ${IPTABLES} -A INPUT -p tcp -s ${ANY} -d ${THIS_HOST} -j REJECT

これは単なるコピペミスです。
295 名前： [02/09/29 14:57 ID:JmykEK0/]: >>284
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP
INPUT が二つになってるけどひとつ OUTPUT だしょ？
296 名前：login:Penguin [02/09/30 01:20 ID:t5CLIlq+]: FletsADSLが2セッション張れるようになるらしいので、
図のようにppp0とppp1で別々のISPに接続して、
defaultはppp0を使い、
LANからのmasqueradeのみppp1で接続したいのですが、
これってiptableだけでは駄目なのでしょうか？
パケットがppp1に流れていってない感じなので、
iproute2とかいうものが必要なのかなあ。

+----------+
ISP1---|ppp0 |
| |
ISP2---|ppp1--eth1|---LAN
+----------+
linux-2.4
297 名前：login:Penguin [02/09/30 01:35 ID:PRE+q7c8]: >>296
そういう接続形態にすると、発信元 IP アドレスを見て、
ふたつのデフォルトルートを使いわけなければならない。
そうしないとプロバイダの ingress/egress フィルタにひっかかる。
一般に宛先 IP アドレス以外の情報を加味してルーティングしたい
場合、iproute2 が必要になる。

別の解としては UML や VMWare 等の仮想マシンを使って、
二台のマシンがそれぞれのプロバイダにつながっている状態にすれば、
この情况を回避出来る。
298 名前：296 mailto:sage [02/09/30 08:33 ID:T8f//J7v]: >>297
なるほど。iptablesではパケットの行き先を決定できるわけではないですね、
よく考えてみると。仕方がないのでkernel recompileしてiproute2使ってみました。
これで上手くいったみたいです。ありがとうございました。
299 名前：login:Penguin [02/10/06 21:47 ID:0RDqM9Sn]: >>297
routed ではだめなの？
300 名前：login:Penguin mailto:sage [02/10/06 21:56 ID:kqhyD1Co]: >>299
だめ。ていうか関係ない。走らせても無意味。
プロバイダでの ingress/egress フィルタ対策の事を話してるのさ。
こういうデュアルホームのマシン上で
厨房が routed 走らすなんてそもそも論外だけど。
301 名前：ぷららマンセー [02/10/09 20:59 ID:R4la+IFX]: おい、お前ら！　Linuxマシンをルータに使ってるんですが、
NATで「特定のIPアドレス」のみはじく方法教えてくだちい

#現在の設定
/usr/sbin/iptables -A PREROUTING -t nat -p tcp -i ppp0 --dport 7743 -j DNAT --to-destination 192.168.0.5:7743

現在こうなっているんだけど、plala.or.jpのアドレスだけはじくように
したい、しかし7743以外は通したい・・・というわがままな要望なんですが

参考スレ

ぷらら検閲開始？、電気通信事業法に抵触の可能性
pc3.2ch.net/test/read.cgi/isp/1033382486/
302 名前：login:Penguin [02/10/09 22:21 ID:/ICav2VA]: >>301
iptables にはドメイン名を使って拒否する機能は無い。
(単一のホストを拒否する機能ならある)

まず plala.or.jp が使っている IP アドレスの一覧を入手する必要がある。
それは whois 等を使うか、plala 自身に問い合わせるかしないといけない。
しかも随時新しいアドレスが追加される可能性があるので面倒。

IP アドレスの一覧が入手出来たら、
forward チェインにおいて発信元 IP アドレスが plala で、TCP で
宛先ポートアドレスが 7743 のものを拒否するルールを書けばいい。
303 名前：login:Penguin [02/10/13 09:39 ID:DiMILE+J]: Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*mangle
:PREROUTING ACCEPT [262442:109990189]
# Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*mangle
:PREROUTING ACCEPT [262442:109990189]
:OUTPUT ACCEPT [135225:8616464]
COMMIT
# Completed on Thu Sep 26 21:51:21 2002
# Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*nat
:PREROUTING ACCEPT [6393:307512]
:POSTROUTING ACCEPT [61571:3694917]
:OUTPUT ACCEPT [61569:3694821]
-A POSTROUTING -s 192.168.10.0/255.255.255.0 -o eth1 -j MASQUERADE
COMMIT
# Completed on Thu Sep 26 21:51:21 2002
# Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*filter
:INPUT ACCEPT [134982:7257840]
:FORWARD ACCEPT [127355:102728219]
:OUTPUT ACCEPT [135224:8616628]
-A INPUT -p tcp -m tcp --dport 5680 -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -m tcp --dport 199 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o eth1 -p tcp -m tcp --dport 137:139 -j DROP
-A OUTPUT -o eth1 -p udp -m udp --dport 137:139 -j DROP
COMMIT
# Completed on Thu Sep 26 21:51:21 200

うちのiptables、これで大丈夫ですか？
304 名前：&rle; mailto:age [02/10/20 22:55 ID:iNvBWceH]: 保守age
305 名前：login:Penguin [02/10/20 22:58 ID:7OS5ZMai]: gooo.jp
無料掲示板
無料レンタル掲示板
306 名前：login:Penguin mailto:sage [02/10/21 00:18 ID:IrigbI/B]: >>303
全開ですねｗ
307 名前：login:Penguin mailto:sage [02/10/21 02:09 ID:EZ2ktZfa]: ポリシーはDROPでeth0がInternet、eth1がLANの環境で
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
と、その他諸々の設定をしています。
Yahoo!メッセンジャーを思う存分使いたいのですが
ファイル転送や声を聞いたりするにはどう設定すればいいでしょうか？
308 名前：login:Penguin mailto:sage [02/10/21 19:20 ID:SFseX0l/]: 自分にPortscanかけて、変なの開いてなけりゃとりあえずOKってことで。
309 名前：login:Penguin [02/10/24 16:24 ID:dz+eJia/]: /proc/net/ip_conntrack の情報ってどのくらいで消えるの？
310 名前：login:Penguin mailto:sage [02/10/24 18:48 ID:B3TTxskl]: ポートスキャンしてくれるサイトもあるよ
ttp://scan.sygate.com/
311 名前：login:Penguin [02/10/27 06:35 ID:H05H5cdm]: iptableだけど、うまく特定のポート塞げないんだけど？
FreeBSDのipfwは分かり易かったのになぁ・・・・。
NICが二つあってeth0の80番ポートだけを塞ぐにはどうしたら
いいんでしょかっ？？
312 名前：login:Penguin mailto:sage [02/10/27 11:21 ID:P4g23C7O]: >>311
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
だけですが何か？
313 名前：login:Penguin [02/11/01 19:53 ID:aLRuoZ8E]: iptablesを使ってNATboxを作ってるんですけど、このマシンでup2dateを正常に動かすにはどうしたらいいでしょうか？
ポリシーはデフォルトDROP、OSはredhat8です。
314 名前：login:Penguin mailto:sage [02/11/01 20:05 ID:9a+OYH6y]: >>313
普通にマシンの中からHTTPが通るようにすればいいのではないかと。
315 名前：login:Penguin [02/11/01 20:09 ID:aLRuoZ8E]: >>314
w3m www.redhat.com/
とかちゃんと行けてるんでそこら辺は大丈夫だと。
service iptables stop
をやってからだと通るんでiptablesの設定が悪いのはわかってるんですけど。
316 名前：313 [02/11/01 20:15 ID:aLRuoZ8E]: [root@choge /root]# netstat -t
tcp 0 1 hoge:4291 xmlrpc.rhn.redhat:https SYN_SENT
で止まってるので、返事が受け取れてないのかな～
317 名前：login:Penguin mailto:sage [02/11/01 20:18 ID:9a+OYH6y]: >>316
w3m https://rhn.redhat.com/
も見れる？
318 名前：313 [02/11/01 20:37 ID:aLRuoZ8E]: >>317
あああ～
$IPT -A OUTPUT -p tcp --dport 443 -s $GW_OUT_IPADDR_1 -o $GW_OUT_INT -j ACCEPT
とすべき所を
$IPT -A OUTPUT -p tcp --dport 443 -d $GW_OUT_IPADDR_1 -o $GW_OUT_INT -j ACCEPT
にしてました～お恥ずかしい...
ありがとうございました。
319 名前：login:Penguin mailto:sage [02/11/01 21:18 ID:9a+OYH6y]: >>318
おめで㌧（笑。DROPするときにログ取るようにすればよかんべ。
320 名前：login:Penguin [02/11/03 04:53 ID:G3JoEIER]: 特定IPからのアクセスを全て排除したいんですが、どうやればいいですか？
321 名前：login:Penguin mailto:sage [02/11/03 05:13 ID:Vb8sy9bN]: 単に INPUT に -s そこを DROP するのを add すれば?
なにか難しいこと考えてる??
322 名前：login:Penguin mailto:sage [02/11/03 10:31 ID:G3JoEIER]: それだけでよかったんですね、、、ありがとうございました。
いろんなもの読んでたからごっちゃになってた
323 名前：-=- mailto:sage [02/11/03 13:01 ID:BxoxQO3I]: >>321
なんか頭がくらくらする日本語だなぁ。
324 名前：login:Penguin [02/11/04 01:28 ID:PU/4tXi9]: WinMXが使えるようにするには
どう設定すればいいべ？
325 名前：login:Penguin mailto:sage [02/11/04 02:13 ID:ADBnbWDA]: >>324
しかたねーな。
こんかいだけだぞ↓

---ここから---
#/bin/sh
IPTABLES="/sbin/iptables"

$IPTABLES -t filter -F

$IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT
---ここまで---
326 名前：login:Penguin mailto:sage [02/11/04 02:23 ID:d1MzMELP]: わは。正しい。
327 名前：login:Penguin mailto:sage [02/11/04 04:13 ID:m1UvyWOx]: 1行めは
#!/bin/sh
な。ここを直せば完璧。
328 名前：324 [02/11/04 06:15 ID:PU/4tXi9]: あー確かに正しいな。
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT
このあとどのポート開ければいい？
329 名前：login:Penguin mailto:sage [02/11/04 09:01 ID:sAR73GwM]: 目的は達成しただろ
330 名前：325 mailto:sage [02/11/04 12:04 ID:olVic91l]: >>327
ワハハ、オチでtypoしてもーた。
331 名前：login:Penguin mailto:sage [02/11/04 12:25 ID:1IQaPnUa]: >>328
iptables winmx で検索すりゃ、いくらでも出てくるだろうに…
win厨はすっこんでろよ。
332 名前：login:Penguin [02/11/08 01:05 ID:2dyMgnfp]: ブリッジを使った透過型ファイアウォールを構築する場合、
例えば、eth1 から eth2 にブリッジングされるパケットは
FORWARD チェーンに引っかかるという認識でよろしいか？

＃ブリッジングはレイヤー２だからどうなんだべと思ったわけさ。
333 名前：login:Penguin [02/11/08 12:12 ID:UFxBpD5o]: eth0=内部LAN　　eth1=インターネット　にした場合
送信元アドレスがプライベートアドレスのパケットをeth1から入ってくるのを
拒否するには

$IPTABLES -A INPUT -i eth1 -d 192.168.0.0/16 -j DROP

などで拒否しているが、FORWARDチェーンにも同じように転送の拒否を記述
しなくてもいいのですか？
FORAWDチェーンの前にINPUTチェーンで弾かれるのでいらないですよね？
334 名前：login:Penguin [02/11/08 13:54 ID:Mmy4aspR]: >>328 それでいいはずだけど。「いい」の意味によるけど。やってみろ。
335 名前：login:Penguin [02/11/08 14:43 ID:DQfNQY3o]: >>332
違うと思うがブリッジを試したのは遠い過去の話なので確信はない。
ソース読むか実際にやってみれ。
>>333
違う。
ipchains の場合は forward の前に input で弾くが、
iptables の場合は forward しか通らない。
336 名前：login:Penguin [02/11/08 14:45 ID:DQfNQY3o]: >>332
ていうか、ブリッジを使った透過型ファイアウォールは
Linux と iptables では出来ないのでは?
最近のバージョンでは出来るつーのなら情報キボン。
俺は proxy-arp で擬似的に透過型ファイアウォール的動作をさせてる。
337 名前：login:Penguin mailto:sage [02/11/08 15:39 ID:DQfNQY3o]: >>336
なんか最近は出来るみたいだな。
bridge.sourceforge.net/ に情報があった。
338 名前：login:Penguin mailto:sage [02/11/08 16:00 ID:DQfNQY3o]: ebtables ってのを使うとブルータにも出来るみたいね。
339 名前：332 mailto:sage [02/11/08 18:29 ID:2dyMgnfp]: 各人、情報ありがとう。
ちょっと調べてみた結果、どうやらカーネルにパッチを当てると可能になるようだ。
336がリンクしてくれたサイトの、
Firewalling for Free というのが詳しげ。

これからちょっと頑張ってみます。
340 名前：332 mailto:sage [02/11/08 21:58 ID:2dyMgnfp]: 言うまでもないかもしれないが、
そのままのカーネルでは実際にやってみたら、
ブリッジングしてるパケットは iptables では引っかからなかった。
341 名前：login:Penguin [02/11/10 11:04 ID:FCe696gT]: bridge.sourceforge.net から bridge-nf-0.0.7-against-2.4.19.diff
をダウンロード。

ringから、カーネルのソース
linux-2.4.19.tar.gz をダウンロード。

# cd /usr/src
# tar xzvf ~/linux-2.4.19.tar.gz

# cd linux-2.4.19
# patch -p1 < ~/brige-nf-0.0.7-against-2.4.19.diff
342 名前：332 mailto:sage [02/11/10 11:05 ID:FCe696gT]: # make menuconfig
まず、vineのデフォルトの設定を読み込む。
一番下から２番目の、"Load ～" で、元からあるバージョンの
デフォルト設定を読み込む。
/usr/src/linux-2.4.18/arch/i386/defconfig

次に必要なモジュールを組み込む。
Network Option --->
    "Network Packet filtering (replaces ipchains)"(CONFIG_NETFILTER) を yes
    "Network packet filtering debugging" は off にしないと大量のログがでる。
    "802.1d Ethernet Bridging" を yes。
    すぐその下の
    "netfilter (firewalling) support" を yes。
    この項目は上の２つを組み込むことにしないと現れない。

    次に、Netfilter Configuration ---> に入って、
    必要なオプションを組み込む。
    全部 y or m にしておいていいと思う。
343 名前：332 mailto:sage [02/11/10 11:06 ID:FCe696gT]: コンパイルなど。
# make dep
# make bzImage
# cp arch/i386/boot/bzImage /boot/bzImage.bridge

# vi /etc/lilo.conf   で /boot/bzImage.bridge  を追加。
# lilo   で確認して。

リブート。
bridgeカーネルを選択。

ブートしたら、次にモジュールのインストール。
# cd /usr/src/linux-2.4.19
# make modules
# make modules_install
344 名前：332 mailto:sage [02/11/10 11:08 ID:FCe696gT]: >>341-343
これで、iptablesで透過型ファイアウォールができました。
ブリッジングされるパケットはFORWARDのみに引っかかります。
345 名前：login:Penguin mailto:sage [02/11/10 11:16 ID:FCe696gT]: ごめん、わすれてた。
これをやったら黒画面で日本語が化けるようになりました。
どうしたらなおる？
346 名前：login:Penguin [02/11/11 18:07 ID:nGR4bMZA]: iptables の入門書みたいの出てないの？
とりあえず、cbook24 で iptables で検索したけどダメだったよ。

現在、RedHat 7.3 で実験ちゅ～

ipルータは、外からのtcp、udpすべてカットする設定で、現在は鯖を公開
してない。中からのパケットは全通し。

ルータに繋がってるeth0と、PC1台だけのeth1で、とりあえずFTPだけとお
るようにしてみようとしてるんだけど、なぜか到達できないと言われる。

もしかして、iptables起動してないのかな～
googleでiptablesで検索＞あちこち彷徨った限りでは、動いてそな気がす
るんだが‥‥
347 名前：login:Penguin [02/11/11 18:23 ID:pjorG7KZ]: >>346
出てる。amazon で Linux とファイアウォールのキーワードで検索。
348 名前：login:Penguin [02/11/11 20:45 ID:OP0t1/jV]: 以下のiptablesの設定をしているのですがFTPが通りません。
Kernelの再構築で[IP:Netfilter Configuration] - [FTP Protocol Support]
は有効にしています。どなたかわかる方お教えください。

------------------------------------------------------------
（一部省略しています）

$IPTABLES -P FORWARD DROP

# INPUT
$IPTABLES -A INPUT -s $LAN -i eth1 -j DROP # from internet
$IPTABLES -A INPUT -s $LAN -i ppp0 -j DROP # from internet
$IPTABLES -A INPUT -s ! $LAN -i eth0 -j DROP # from lan

# FORWARD
$IPTABLES -A FORWARD -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -d $LAN -p tcp --sport 20 -j ACCEPT # FTP-DATA
$IPTABLES -A FORWARD -d $LAN -p tcp --sport 21 -j ACCEPT # FTP

# MASQUERADE
$IPTABLES -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
349 名前：login:Penguin mailto:sage [02/11/11 20:54 ID:h6qHpKhg]: >>348
省略しすぎなのか、それだけじゃ FTP は全然動かないよ。
FTP が 20 番と 21 番ポートをどう使うかも理解出来てないようだな。
それに iptables で FTP を通そうと思ったら
connection tracking の機能を使わなきゃ駄目。
350 名前：login:Penguin [02/11/11 22:07 ID:waULcaae]: >>346
あまりいい本はないみたい。
2冊ほど買ったけれど間違いだらけで参考にならない。
一冊は捨てました。捨てた本は初めてのファイヤウオールという本です。
もう一冊は今会社にあるのでタイトル覚えていない。
Linuxセキュリティ何とかだったと思う。
これも間違いだらけ。
よい本が出版されないかなといつも思っています。
351 名前：350 [02/11/11 22:24 ID:waULcaae]: >>346
上に書いた本のタイトル名分かりました。
「絵で分かるLinuxセキュリティ」という本です。
これも間違いが多いので嫌気が差してます。
アーア誰かiptablesの解説書出してくれないかな。
必ず買います。
352 名前：login:Penguin mailto:sage [02/11/11 22:24 ID:GhtkW3P0]: >>345
バニラカーネルでなくVineのカーネルソースからつくるよろし。
Vineのにはuniconパッチがあたってまふ。
353 名前：login:Penguin [02/11/12 00:28 ID:qQ2X9emg]: >>350-351
駄目そうなタイトルの本ばかり買っているように思えるが...
パケットフィルタをする奴が読むべき本は実は一冊だけだ。
タイトルは「詳解TCP/IP」。あーそこそこ、コケないで(w
TCP/IP を知らずしてパケットフィルタを設定するなど笑止!
TCP/IP を理解すれば man iptables と若干の設定例で充分。
354 名前：350 [02/11/12 00:48 ID:hQ0qs5QW]: >>353
そうですね、TCP/IPの勉強をしてみます。
でもやっぱり、iptablesの解説本は欲しい。
355 名前：糞野郎 mailto:sage [02/11/12 02:29 ID:cWfwaRR3]: ＬｉｎｕｘＷｏｒｌｄの8月号にｉｐｔａｂｌｅｓの記事があって
結構詳しく書いてありました。
すみません糞レスです。
356 名前：login:Penguin [02/11/12 13:53 ID:xGLG2Wvj]: >>353

www.pearsoned.co.jp/washo/inet/wa_int92-j.html

か？

￥6,000もするじゃないか！
もっと安い本はないのか！？

ビンボーＳＥに愛の手を！！！
357 名前：login:Penguin mailto:sage [02/11/12 16:33 ID:sEp0SfYt]: >>356
「資料」ということにして、経費で落とす。
358 名前：login:Penguin mailto:sage [02/11/12 19:30 ID:5AkTvPtc]: eth1が外部、etf0がLAN内部で外部からweb、mail、ssh、DNSを許可
ルータとしてLAN内部にマスカレードなんですが、これで大丈夫でしょうか？
改良したらいいとこなどあれば指摘おねがします。

#!/bin/sh

# global variance
#
LOCALNET='192.168.10.0/24'

# clear rules
/sbin/iptables -F INPUT
/sbin/iptables -F FORWARD
/sbin/iptables -F OUTPUT

# set default policy
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT

## for loopback (ローカルホスト自身の設定)
# 自分自身は許可(ACCEPT)
/sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

# for localnet (ローカルネット)
# eth0(内部)からのアクセスはすべて許可(ACCEPT)
/sbin/iptables -A INPUT -i eth0 -s $LOCALNET -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -d $LOCALNET -j ACCEPT
359 名前：続き mailto:sage [02/11/12 19:31 ID:5AkTvPtc]: # reply
# 接続が確立したパケットの応答は許可(ACCEPT)
/sbin/iptables -A INPUT -m state --state ESTABLISH,RELATED -j ACCEPT

# dns の問い合わせは許可(ACCEPT)
/sbin/iptables -A INPUT -p udp --sport 53 -j ACCEPT
/sbin/iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

#apache
# wwwサーバへの問い合わせ許可
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p udp --dport 80 -j ACCEPT

#メールサーバ
/sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT

#SSH
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#win file share
/sbin/iptables -A OUTPUT -o eth1 -p tcp --dport 135:139 -j DROP
/sbin/iptables -A OUTPUT -o eth1 -p udp --dport 135:139 -j DROP
/sbin/iptables -A OUTPUT -o eth1 -p tcp --dport 445 -j DROP
/sbin/iptables -A OUTPUT -o eth1 -p udp --dport 445 -j DROP

#masquerade
# IP マスカレードの定義
/sbin/iptables -t nat -A POSTROUTING -o eth1 -s 192.168.10.0/24 -j MASQUERADE
360 名前：350 mailto:sage [02/11/12 22:59 ID:RduSsZon]: >>355
ありがとう。その雑誌持ってます。
他の雑誌にも時々iptablesの記事があるので
それらを参考に、フィルタリングしています。
皮肉にもLinuxWorldの8月号には
「絵で分かる・・・」
の紹介記事が載ってます。
もっといい書籍を紹介して欲しいですね。
361 名前：iptablesはじめて [02/11/13 15:26 ID:SOdm50Ic]: インターネット上の適当なFTP鯖
　　↑
　ルータ
　　↑
　 eth0
Linux BOX
　 eth1
　　↑
　 HUB
　　↑
　　＋----------------＋
　　｜　　　　　　　　｜
Windows の　　Windows の
クライアント1　　　クライアント2

　ってな構成で、クライアント1・2からそれぞれ適当な鯖にFTP接続したい。
362 名前：iptablesはじめて [02/11/13 15:26 ID:SOdm50Ic]: 　それで、いろいろサイトをみて、実験用に

#!/bin/sh
##モジュールをロードする
/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp

##初期化
/sbin/iptables -t filter -F FORWARD
/sbin/iptables -t filter -F INPUT
/sbin/iptables -t nat -F POSTROUTING

##ポリシー
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT

##ローカルからは通せ
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -i eth1 -j ACCEPT

##FW発は通せ
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

##IPマスカレード
/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

/sbin/iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
363 名前：iptablesはじめて [02/11/13 15:26 ID:SOdm50Ic]: ってなファイルを組んで、実行してみた。

iptables -L をみると組み込まれるようなのだが、クライアントからFTPでき
ないし、pingすらとおらねぇ。

しかも、突然めー務サーバが引けなくなって焦った。

漏れはどこをミスしてますか？
364 名前：login:Penguin mailto:sage [02/11/14 13:37 ID:hJK7WNBJ]: >>363
これ足してもだめかな

/sbin/iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
365 名前：iptablesはじめて [02/11/15 17:48 ID:7+Xxugzu]: >>364

だめでつた。

##FW発は通せ
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

に変更して起動したとたん、sambaが全滅。
Windowsクライアントのnslookupが、LinuxのDNSを捕まえられない様子で、
内部クライアント同士もわからなくなってしまっていました。
＃Linux鯖にdhcpさせてるんだから、そりゃそうか。

仕方が無いので再起動しました。

起動した途端、クライアントからDNSが見つからなくなるって事は、iptables
そのものは動いてるって事なのかな？

その結果、LAN内部からのパケットを全部DROP してしまっている‥‥

でも、iptablesについて記述のあるサイトのほとんどが、「まず全部破棄する
ポリシーにしてから、通すルールを決めていく」とあるから、最初にDROP
を仕込んでるのは間違いじゃないと思うし‥‥

本屋にLinux Worl のバックナンバー(8月号)は注文してあるけど、2週間くらい
かかりそうだし‥‥

なんか判る方が居たら、教えてくださ～い。
366 名前：login:Penguin [02/11/15 18:00 ID:KrHxUKTN]: ファイアウォール越しにアクセスすると HTTP 403 エラーがでる
サイトがあるんですがどうすればいいんでしょう？
ファイアウォール機からそのサイトにアクセスするとちゃんと見れるので
設定が悪そうなんですが...
結構 FAQ っぽいんですが検索しても見つかりませんでした。
367 名前：login:Penguin mailto:sage [02/11/16 00:42 ID:HsVr6NVP]: >>365
LAN側のソースアドレスが抜けてるからかな？

ここ参考になるよ
ttp://naoya.dyndns.org/tips/tips18.html

>>366
わかりませぬ
368 名前：login:Penguin mailto:sage [02/11/16 06:19 ID:s3bIXOmD]: sportとdportの違いがいまいち・・・
どっかわかりやすいサイトあればきぼん。
369 名前：login:Penguin [02/11/16 07:18 ID:e2RXVuI8]: >>366

-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

を追加して味噌
370 名前：login:Penguin mailto:sage [02/11/16 15:04 ID:lfX1KTEu]: >>368
ソースポート(送信元ポート)とディストネーションポート(宛先ポート)の違い…？
(よくわかっていませんが…)
371 名前：login:Penguin mailto:sage [02/11/16 17:09 ID:dJo3xOZR]: >>370
もっと自信をもて。そのとおりだ。
372 名前：login:Penguin [02/11/16 22:52 ID:Uvq8ir3l]: >346
linux World8月号よりはUNIX MAGAZINE10月号のほうが詳しく
書かれていましたよ。
ttp://ascii25.com/25/mag/unixmag/2002/09/18/638654-000.html

iptablesの構文がわかればipchinsの本でも代用が効くと思います。
FWの概念は変わらないと思います。

ttp://www.pearsoned.co.jp/washo/operate/wa_ope13-j.html
上の本ipchainsの本ですが役に立ちました。

また、オライリーより12月に下のサイトの本が翻訳されます。
iptablesは詳しく載ってなさそう。
ttp://www.oreilly.com/catalog/fire2/toc.html
373 名前：login:Penguin [02/11/16 23:14 ID:JTUI2d+e]: 本じゃないけど、定番の
ttp://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO.html
は短くてわかりやすかったよ。大体判っててとにかく指定の仕方が知りたい
とかいう人にはいいと思う。
374 名前：login:Penguin [02/11/17 20:14 ID:kURotrjf]: 話題のアレで特定ＩＰのみ弾きたいのです。

ＩＰの範囲指定の仕方で、
218.47.0.0-218.47.255.255 の場合は
218.47.0.0/12 とすればよいのでしょうけれど
210.153.0.0-210.153.79.255　や
219.96.96.0-219.96.125.127　などはどう表記すればよいのでしょうか。
210.153.0.0/255.255.176.0 では駄目なのですよね？
375 名前：login:Penguin [02/11/17 20:44 ID:fpuO0VEN]: >>374 「話題のアレ」ってなーに？
376 名前：login:Penguin mailto:sage [02/11/18 01:41 ID:Wv4qDYb+]: >>374
80 を HEX や BIN にしたら何になる？96 は？126 は？128 は？
377 名前：374 [02/11/18 04:33 ID:/WnEyB7s]: >>335
勘弁してください。

>>376
80のhexは50でbinは10100000ですね。
これがどうつながるかわかりません。
ネットマスク24は255.255.255.0で11111111 11111111 11111111 00000000となったり
23は11111111 11111111 11111110 00000000 となるのはわかるのですが
それで表現できないということは、やっぱりひとつずつ指定していくかないのでしょうか。
378 名前：login:Penguin [02/11/18 05:06 ID:UUKFyJtH]: 80はbinaryで 01010000となって1がふたつ立ってるから、
210.153.0.0/18
210.153.64.0/20
ってふたつ指定すればよいってことなんじゃない？
面倒だけど、これ以上はどうしようもなさそう。
で「話題のアレ」ってなに？俺も知りたい。
ここからのIPは弾いた方がいいの？
379 名前：login:Penguin mailto:sage [02/11/18 05:11 ID:Wv4qDYb+]: >>377
わはは。ごめん。ちょっと混乱させてみたかった。
具体的には、ぷららを弾きたいわけね。whois してみると、どういう申請の
仕方してるかわかるから、参考になるよ。
早い話、>>378 の方法でないとだめなんだ。

ちなみに、話題のアレって何？
380 名前：login:Penguin mailto:sage [02/11/18 05:29 ID:UUKFyJtH]: >>379
ああ、ぷららか。やっと分かった。
381 名前：login:Penguin [02/11/18 13:39 ID:/8fBeZl6]: ドキュメントによって

/etc/init.d/iptables stop
# この状態でルールを追加します。

とあるものとないものがあるが、stopしてしまったらどうやって起動する
んだろう？

やっぱ、マシンを再起動しないとダメ？
382 名前：login:Penguin mailto:sage [02/11/18 13:41 ID:k259CCr6]: >>381
start じゃねーの?
よく知らんけど。
383 名前：login:Penguin [02/11/18 14:17 ID:Fsz1lfyI]: >>381
再起動は必要ないはず。stop する必要はないけど、既存のルールを
クリアしないといけない。俺は
% iptables -F; iptables -t nat -F; iptables -t mangle -F
とやったけど。で、適当にルールを決めて、決まったらsave する、
という感じで設定した。
384 名前：login:Penguin mailto:sage [02/11/18 15:12 ID:yHq95x2c]: >>381
> やっぱ、マシンを再起動しないとダメ？
んなわきゃない。Windows じゃないんだから(わら
再起動の必要があるのは、カーネルを再構築した時くらいなもんだ。
他はせいぜい、libc に大きな変更があったときは再起動した方が安全
かもしれないって程度。

普通、init.d 以下にあるスクリプトは、start/stop/restart などを持っている。
それに、iptables にルールを追加する場合、別に stop する必要はない。
385 名前：login:Penguin [02/11/18 16:46 ID:/8fBeZl6]: >>384

う～ん、じゃぁなんでstopしてルール追加なんて書いてあるんだろう？？
>>367の教えてくれた、
ttp://naoya.dyndns.org/tips/tips18.html
でもstopしてルール追加になってるんだよね。

#!/bin/sh
# iptables のパス
IPTABLES="/sbin/iptables"
# 外向けインターフェース名
GLOBALDEV="eth0"
# 内向けインターフェース名
OURDEV="eth1"
# LANのアドレス
OURNET="192.168.1.0/24"
# 初期化
/etc/init.d/iptables stop
# ポリシー
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P PREROUTING ACCEPT
$IPTABLES -P POSTROUTING ACCEPT
# LAN側からの入力、ループバックへの入力を無条件に許可
$IPTABLES -A INPUT -i $OURDEV -s $OURNET -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
# 内部から発生した接続に関連するパケットを許可
$IPTABLES -A INPUT -i $GLOBALDEV -m state --state ESTABLISHED,RELATED -j ACCEPT
386 名前：login:Penguin [02/11/18 16:46 ID:/8fBeZl6]: を試してみたけど、eth1側のHUBにつながったWindows機からは、インター
ネット側にpingもFTPも通らないね。

ただ、>>363のようにネームサーバ(だろうな、あれは)を引けなくなったり
することは無かった。

あと気になったのは、上のを通すと、2行、エラーが出るんだよね。

$IPTABLES -P PREROUTING ACCEPT
$IPTABLES -P POSTROUTING ACCEPT

で出ているようで、これをコメントアウトすると、出なくなる。

RedHat 7.3 で、rpmしてみたら、1.2.5-3だったけど、もしかしてなんかまずい
のかな？
387 名前：login:Penguin [02/11/18 16:54 ID:Fsz1lfyI]: >>385
だから、stop する必要はないが、stop することによって既存のルールを
flush しているんでしょ。適切な対処法だと思うけど。stop して何か
不具合でもあったの?
388 名前：login:Penguin [02/11/18 17:34 ID:/8fBeZl6]: >>387

>>386のとおり、インターネットに出て行けないのが不具合です。
でも、それはstopとは関係ないって事ですよね？

PREROUTING と POSTROUTING の chainが不正って言われるの
も、stopとは関係ない？
389 名前：login:Penguin mailto:sage [02/11/18 18:21 ID:yHq95x2c]: >>386
FORWARD を DROP してるYO！
390 名前：login:Penguin mailto:sage [02/11/18 18:44 ID:C7jy6HrM]: FORWARDもだけどIPマスカレードはどうなってんのよ
391 名前：login:Penguin mailto:sage [02/11/18 20:00 ID:yHq95x2c]: >>388
まー、あれだ。JF の関連文書を一度よく読んで理解する事をお勧めする。
392 名前：login:Penguin [02/11/18 21:52 ID:fWvIXW7B]: おいらもいろんなサイト参考にしながら書いてみたよーー。
#以下
# Interface to Internet
EXTIF=ppp0
# Interface to Local Aria Network
LANIF=eth0
#IP Adress alias
ANY=0.0.0.0/0
LOCAL=127.0.0.0/8
LAN=192.168.0.0/24
#Set Path
export PATH=/usr/bin:/bin:/sbin:/usr/sbin:
##Delete Old Parameter ##
iptables -F
iptables -F -t nat
iptables -X
## モジュールのロード　##
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
# INPUT FORWARD チェインのポリシー設定
iptables -P INPUT DROP --modprobe=/sbin/modprobe
iptables -P FORWARD DROP
## NAT (IPマスカレードの設定)##
iptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE --modprobe=/sbin/modprobe
# LOG して DROP するチェインを作成
iptables -N log_drop
iptables -A log_drop -j LOG --log-level warning -m limit --modprobe=/sbin/modprobe
iptables -A log_drop -j DROP
393 名前：login:Penguin mailto:sage [02/11/18 21:53 ID:fWvIXW7B]: ## 内部からのもの以外の新しいコネクションをブロックするチェインの作成
iptables -N ppp-in
# ssh を ACCEPT
iptables -A ppp-in -p tcp --dport ssh -j ACCEPT
# www を ACCEPT
iptables -A ppp-in -p tcp --dport www -j ACCEPT
# dns を ACCEPT
iptables -A ppp-in -p tcp --dport 53 -j ACCEPT
iptables -A ppp-in -p udp --dport 53 -j ACCEPT
# ftp を ACCEPT
iptables -A ppp-in -p tcp --dport ftp -j ACCEPT
# 内部から発生した接続に関連するパケットを ACCEPT
iptables -A ppp-in -m state --state ESTABLISHED,RELATED -j ACCEPT --modprobe=/sbin/modprbe
# 上記以外を LOG して DROP
iptables -A ppp-in -j log_drop
#NAT for Winny
iptables -t nat -A PREROUTING -i $EXTIF -p tcp --dport 7743 -j DNAT --to 192.168.0.2
iptables -t nat -A PREROUTING -i $EXTIF -p udp --dport 7743 -j DNAT --to 192.168.0.2
#$EXIIFから来たデータはppp-inチェインへ
iptables -A INPUT -i $EXTIF -j ppp-in
iptables -A FORWARD -i $EXTIF -j ppp-in
## ユーザ定義チェイン ppp-out を新たに作成する ##
iptables -N ppp-out
394 名前：login:Penguin mailto:sage [02/11/18 21:53 ID:fWvIXW7B]: ## SMB プロトコルが外に洩れない様にする。##
iptables -A ppp-out -p udp --dport 137:139 -j DROP
iptables -A ppp-out -p tcp --dport 137:139 -j DROP
## Windows 2000 がローカルに存在すれば以下の設定 ##
iptables -A ppp-out -p udp --dport 445 -j DROP
iptables -A ppp-out -p tcp --dport 445 -j DROP
## ローカル IP が外に洩れない様にする。##
iptables -A ppp-out -d 10.0.0.0/8 -j log_drop
iptables -A ppp-out -d 172.16.0.0/12 -j log_drop
iptables -A ppp-out -d 192.168.0.0/16 -j log_drop
#$EXITIFからでていくデータはppp-outチェインへ
iptables -A FORWARD -i $EXTIF -j ppp-out
## LAN 側および loopback からの入力のデフォルト設定 ##
iptables -A INPUT -i $LANIF -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
## LAN 側からの転送のデフォルト設定
iptables -A FORWARD -i $LANIF -j ACCEPT
# Do masquerading
echo 1 > /proc/sys/net/ipv4/ip_forward
#以上
穴があったら教えてくれ。うちの環境では一応動いてる。でもiptableの説明書って難しいよ。わけわからんかったさ。
395 名前：login:Penguin [02/11/18 23:54 ID:SwYZyqVl]: >392
俺も最近iptables覚えたてで詳しくないけど

># dns を ACCEPT
>iptables -A ppp-in -p tcp --dport 53 -j ACCEPT
>iptables -A ppp-in -p udp --dport 53 -j ACCEPT
DNSサーバ立ててなかったら消した方がいいです。

内部からのDNS問い合わせは
># 内部から発生した接続に関連するパケットを ACCEPT
>iptables -A ppp-in -m state --state ESTABLISHED,RELATED -j ACCEPT --modprobe=/sbin/modprbe
で許可されます。
396 名前：通りがかり [02/11/19 01:00 ID:ou7lJEtc]: RedHat8を試しに入れてNIC2枚でルーターにしようとおもったが・・・・・・・・
pppoeは接続できるがルーティングしてくれない

もう少し粘ってみる～～～
皆さんすごいですね
397 名前：ド初心者 [02/11/19 01:24 ID:ADEIXGSF]: 下のようなネットワークで、
　　　　　　---------
-----------|LINUX BOX|-----------
　　　 eth0 --------- eth1
192.168.0.0/24　　　　192.168.1.0/24
eth0->eth1、eth0<-eth1の双方向で全てのパケットを流したいけど、
iptable でうまく渡らないです。TCP、UDP、ICMP全てをアドレス、ポート
変換ナシでやりとりしたいのです。
要するにブリッジ的な事になるんですが、このLinux Box にサーバー機
能を持たせる（FTP、HTTP）ので NIC に IP アドレスを持たせねばなり
ません。IP Masquearade だと片方からしかアクセスできないので、他の
方法で通過させたいのですが、iptables での設定、何か良い手段あり
ますか？
とりあえず、
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A FORWARD -s 192.168.0.0/24 -d 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -i eth1 -j ACCEPT
とまではやってみたましたが、何の変化も起きません。
/proc/sys/net/ipv4/ip_forward = 1
もやってます。
まだ、記述が足りませんか？
よろしくおながいします。
398 名前：ド初心者 [02/11/19 01:25 ID:ADEIXGSF]: ずれた。鬱だ氏のう。
399 名前：login:Penguin mailto:sage [02/11/19 02:57 ID:CTQtL0LP]: >395
>DNSサーバ立ててなかったら消した方がいいです。
ルーターマシンにDNS建ててます。あまり意味ないですけど、
DNSキャッシュとして利用してます。
セキュリティの点から考えたらやめた方がいいですね。
400 名前：login:Penguin mailto:sage [02/11/19 09:48 ID:arV7cXf0]: >>393
Winny って UDP 使うの？いや、使ってないから知らないんだけど。
必要ないなら、切った方がいいんでないかな？
401 名前：login:Penguin mailto:sage [02/11/19 15:18 ID:aAlohah3]: プロバイダからSPT67のDPT68なパケットが届くんですが
(/etc/servicesによるとbootp)
これ何ですか？
通さないと駄目？

特に問題らしい問題起こってないんだけど・・・
402 名前：login:Penguin mailto:sage [02/11/19 15:56 ID:1IE6dYW4]: >>401
DHCPだと思う
403 名前：401 mailto:sage [02/11/19 16:37 ID:aAlohah3]: >>402
ええっ！
漏れDHCP通してなかったの！
・・・・って思って急いで初期化スクリプトを確認すると通してるのにろぐにはくようになってた。
そういえば
「このへん重要だからとりあえずろぐはくようにしとくか」
とか思ってたのを今思い出し。

いいかげんカオスになってきますた・・・。
404 名前：login:Penguin [02/11/19 22:19 ID:OWzgRHmu]: >>397
>iptables -P INPUT ACCEPT
>iptables -P FORWARD ACCEPT
>iptables -P OUTPUT ACCEPT
上記で全て許可しているので、iptablesが悪いわけではありません。
/sbin/iptables -L でFORWARDがDROPされていないか確認してみてください。

ifconfigでNICが認識しているか,netstat -rでルーティングテーブルが
どうなっているのか確認してみたら？
405 名前：374 [02/11/19 23:13 ID:UFMiSon6]: >>378
>>379
アドバイスどうもです。

210.153.0.0/18
210.153.64.0/20
とは、210.153.0.0から210.153.64.255までの64x256個を一旦不可とし
そこからまた211.153.64.0～211.153.79.255の16x256個を不可とするということでしょうか。
大変勉強になります。

アレとはwinnyで、はじくのはぷららです。

IPの所有を調べるためのWhoisとはドメインのものとはまた別なのでしょうか。
406 名前：login:Penguin mailto:sage [02/11/19 23:16 ID:aGSHExF7]: whoisは若干特殊なアドレス帳みたいなもんや。
407 名前：login:Penguin mailto:sage [02/11/19 23:16 ID:OFo4doK5]: >>397
直接関係無い事だろうけどOUTPUTチェインには -i じゃなくて -o かと
408 名前：login:Penguin mailto:sage [02/11/20 03:04 ID:HV5r9xyS]: >>397
そのiptablesの設定は最初の３行以外無意味（かつ最初の３行で十分）だと思う。
とりあえずiptablesの設定一度全部フラッシュして最初の３行だけ書いて
もう一度試してみたら？（もちろん/proc/sys/net/ipv4/ip_forward = 1もね。）

それでダメだったら、ネットワークにつながっている他のマシンの route設定が怪しい。

右側のマシンは
/sbin/route add -net 192.168.0.0 netmask 255.255.255.0 gw ${LINUX BOXのeth1に割り振ったIP}
左側のマシンは
/sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw ${LINUX BOXのeth0に割り振ったIP}
とかってやってる？

このへんがよくわかんなければ
(他のマシンの）/sbin/routeの結果をかけば誰か教えてくれると思う。

明示的にMASQUERADE とか SNATとか書かなければ、パケットは
そのまま流れた、、、はず、、、漏れの記憶では、、、、。
409 名前：397 [02/11/20 19:40 ID:Im4krWwB]: >>404,407,408
ありがとさんでし。

漏れの力不足で、結局 iptable じゃなんとも出来ず、数個の Linux Box
に gated を入れて ospf で繋いで、お茶を濁しました。
zebraってipv4 でも同じ事出来ましたっけ？（スレ違い）

お騒がせしました。
410 名前：　　　 [02/11/20 20:09 ID:C/Xvf5My]: >>409

なかなかやるな…
ほれ

Zebra - Free routing software
pc.2ch.net/test/read.cgi/network/992166070/
411 名前：login:Penguin mailto:sage [02/11/20 23:13 ID:8v6JeWIz]: iptableの設定で、FORWARDのポリシーをDROPするようにするとwebに繋がらなくなります。
いろいろいじってみたのですが、FORWARDをACCEPTするしかありません。
何処が悪いのでしょうか？

#消す
$IPTABLES -t filter -F
$IPTABLES -t nat -F

#全部拒否
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT

#外部からの内部アドレス偽装拒否
$IPTABLES -A INPUT -i eth1 -s 192.168.0.0/255.255.255.0 -d 0/0 -j DROP
#http-80 OK
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT

#local可
$IPTABLES -A INPUT -i lo -j ACCEPT
# ループバックアドレスに関してはすべて許可
$IPTABLES -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
$IPTABLES -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
412 名前：login:Penguin mailto:sage [02/11/20 23:14 ID:8v6JeWIz]: 上の続き

#eth0は信用する
$IPTABLES -A INPUT -i eth0 -j ACCEPT
#ping可
$IPTABLES -A INPUT -p icmp -j ACCEPT

#新しいコネクションは不可
$IPTABLES -A INPUT -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT

##### FORWARD を ACCEPTにしないと動かない！
#外部からの内部アドレス偽装拒否
$IPTABLES -A FORWARD -i eth1 -s 192.168.0.0/255.255.255.0 -d 0/0 -j DROP
#外からのパケットで新規と無効を禁止
$IPTABLES -A FORWARD -i ppp0 -m state --state NEW,INVALID -j DROP
#内部からは通す
$IPTABLES -A FORWARD -i eth0 -j ACCEPT

あと、
$IPTABLES -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
をしています。
413 名前：login:Penguin mailto:sage [02/11/20 23:55 ID:kwHosqKI]: eth0,eth1,ppp0といろいろあっていまいちわかんないけど

iptables -A INPUT -i ethif -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o extif -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

でどうでしょう。
extifが外部IFね。
414 名前：login:Penguin mailto:sage [02/11/20 23:58 ID:6Z7bLzpv]: webを見るとしたら
LAN->Linux Box->webserver
となるから当然FORWARDの対象になると、
で、FORWARDのデフォルトをDROPとした場合、
１、設定されているルールを参照する。
２、どのルールにも該当しないパケットの場合、
　　デフォルトのルールが適用される。
という順番なのでACCEPTにしないとwebが見られないってことは
FORWARDのルールが足りないのだと思う。
内部からの接続に起因するパケットはFORWARDするって
$IPTABLES -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
を加えてみてはどうだろう？
415 名前：login:Penguin [02/11/21 00:09 ID:wk7SK8Jc]: いいかげんiptablesの初期化スクリプトが混沌としてきたので目的別にチェインを作ろうかなと思ってます。

現在
iptables -N spoofing
iptables -A INPUT -i $EXTIF -s $CLASS_A -j spoofing
iptables -A INPUT -i $EXTIF -s $CLASS_B -j spoofing
...(略)
iptables -A INPUT -i $EXTIF -d $LOOPBACK -j spoofing
iptables -A spoofing -j LOG --log-prefix ${EXTIF}_SPOOFING
iptables -A spoofing -j DROP
という感じのルールを
iptables -N spoofing
iptables -A spoofing -i $EXTIF -s $CLASS_A -j spoofing
....(略)
という感じで目的別にルールをチェインに入れて管理を楽にしようと思っています。
#こうしてチェインを作っておけば後で適切な位置に目的のルールを追加できるのが楽できるかなと考えてます
そこで例えば
INPUT -> Aチェイン -> Bチェイン -> Cチェイン...
というふうに次々とそれぞれのチェインを通るようにしたいのですがどうすればいいでしょうか？
知恵を貸してください。
INPUT,OUTPUT,FORWARDのポリシーはDROPです。
416 名前：login:Penguin mailto:sage [02/11/21 00:11 ID:uHfJryss]: 　｜
　◇a
　｜←グローバルIP
　◆b
　｜←ローカルIP
　■c

a　ADSLモデム
b　LinuxBOX
c　HUB

bのLinuxBOXでルーター兼Webサーバーをやらせたいのだけど
NIC2枚でRedHat8を使ったときPingがローカルから外へ飛ばないのは
iptablesが関係しているからでしょうか?
417 名前：login:Penguin mailto:sage [02/11/21 00:17 ID:BZB7hnWW]: >415
>>392がppp-inとppp-outとlog_dropと目的別チェーンつくってからみてみれ。
418 名前：411 mailto:sage [02/11/21 00:28 ID:9bvn6ilG]: IPTABLES -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
することで無事LANからwebに繋がりました。
>>413,414さんありがとうございます！
419 名前：415 mailto:sage [02/11/21 00:53 ID:wk7SK8Jc]: >>417
ありがとうございます。見てみました。
だいたいやりたいこと通りですがこのやり方だと次のチェインを把握した書き方ですよね。
たとえば>>392-394だと
INPUT -> ppp-in -> log_drop
という書き方を把握しておかないといけない。
これを例えば「INPUT」「A」「B」「C」というチェインがあるとき
「INPUT」->「A」->a->「B」->b->「C」->c....
という感じにしたいんです。
#a,b,cは単にA,B,Cの後の「場所」を表してます。
つまり、Aチェインの中に次はBに飛ぶという事を書かないで単にa地点に戻るというふうに書きたいんです。
Bチェインに入るのは単にaの次のチェインであるから・・というだけ。
こうできればチェイン(対象)が複数に増えてきたときに自由に順番を並び替えれて便利だと思うんです。

こういう書き方は無理なんでしょうか？
420 名前：417 mailto:sage [02/11/21 01:00 ID:BZB7hnWW]: >>415
ごめんなさい、あっしには思いつけません。
iptableをよく理解してる人がいるといいのですが。
421 名前：login:Penguin [02/11/22 19:58 ID:vY2v6aXy]: filter、nat、mangle ってどうやって使い分けるんでしょうか？

例えば
　filter の OUTPUT
と
　nat の OUTPUT
はどう違うんでしょうか？

さっきから検索してるんですが、「3つのテーブルがある」としか書いてないところが多く、
それがどのように運用されてるのか詳しく書いてあるところが見つからないもんで。。
422 名前：login:Penguin mailto:sage [02/11/22 20:31 ID:XN/39Flj]: >>421
man 見れば結構詳しく書いてあると思うんだけど。
用例はないものの、mangle とか nat とかに何が適用されるのかがわかるよ。
TOS には mangle しか使えないとかね。
423 名前：login:Penguin mailto:sage [02/11/22 20:53 ID:vY2v6aXy]: >>422
ありがとうございます。
man は見てたんですが、例えば nat の
「このテーブルは新しい接続を開くようなパケットに出会った場合に」
とは、具体的にどのような場合なのか、とか、mangleの
「特別なパケット変換に」
の特別ってなんなの？とか思ってたわけです。

で、どっかに説明がないものかと。

ちなみに基本的なことで申し訳ないんですけど、
ルールを順番に評価していってマッチしたときの動きとして正しいものはどれでしょう？
1. 以降のルールは一切評価せず、その場でパケットの運命が決まる
2. 以降のルールも評価し、最終的なパケットの運命を決める
3. 以降のルールは評価するしないはターゲットによって違う
424 名前：&rle; mailto:hage [02/11/27 17:00 ID:uhLC5X2K]: 保守禿
425 名前：login:Penguin [02/11/27 19:11 ID:r+wfbPCu]: 表面的な大人しさ（偽善）に騙されるな！
A型の特徴

●とにかく気が小さい(二言目には「世間」）
●ストレスを溜め込んでは、キレて関係ない人間を巻き添えにして暴れまくる
●自尊心が異常に強く、自分が馬鹿にされると怒るくせに平気で他人を馬鹿にしようとする（ただし、相手を表面的・形式的にしか判断できず、実際には内容的・実質的に負けいるとしても・・・）
●他人の忠告を受け入れない、反省できない、学習能力がない（自分の筋を無理にでも通そうとするため）
●「常識、常識」と口うるさいが、実はA型の常識はピントがズレまくっている（日本の常識は世界の非常識）
●権力、強者（警察、暴走族…ｅｔｃ）に弱く、弱者には威張り散らす
●あら探しだけは名人級（例え10の長所があってもほめることをせず、たった１つの短所を見つけてはけなす）
●基本的に悲観主義でマイナス思考に支配されているため、根が暗くうっとうしい
●一人では何もできない、女は連れションが大好き（群れでしか行動できないヘタレ）
●多数派（注・日本では）であることをいいことに、少数派を馬鹿にする、排斥する
●異質、異文化を排斥する
●集団いじめのパイオニア＆天才
●悪口、陰口が大好き
●他人からどう見られているか、体裁をいつも気にしている
●ＤＶ夫が多い
●自分の感情をうまく表現できず、コミュニケーション能力に乏しい（知障に限りなく近い）
●頑固で融通(応用）が利かず、表面上意気投合しているようで、腹の中は各自バラバラ
●人を信じられず、疑い深い
●自分は常に自己抑制しているもんだから、自由に見える人間に嫉妬し、徒党を組んで猛烈に足を引っ張ろうとする
●おまけに執念深くしつこい（「一生恨みます」タイプ）
●自分に甘く他人に厳しい（冷酷）
●要するに女々しい、あるいは女の腐ったみたいなやつが多い
426 名前：login:Penguin mailto:sage [02/12/04 14:19 ID:MRWVHR8Z]: redhat 8.0に入っているiptablesをつかってnat を構成してます
redhat7.2でやってたときは上手くいってたんですが
8.0にするとパケットが上手く流れてくれません
具体的にはメッセンジャーを使ってると、会話が30秒ぶんくらい一気に流れてきます
相手側のサーバ側の問題かと思ったのですが、webを見ていても同じように
一気に流れ込むようなパケットの流れ方をするときがあるんです

------rp-ppoe3.5.1 redhat 8.0 ------hub------win 2k & win XP

なにか改善策あったらヨロシクです
427 名前：426 mailto:sage [02/12/04 14:27 ID:BABdOoVG]: ｽﾏｿ、ちょっとぶっきらぼうだった
tcpdumpかけて問題を切り分けて考えてみます
428 名前：login:Penguin mailto:sage [02/12/04 18:49 ID:oNKBboPH]: MTUかな？
429 名前：login:Penguin mailto:sage [02/12/04 19:01 ID:hyhmTS23]: >>428
そうかも。

>>426
iptables -j TCPMSS -A OUTPUT -p tcp --tcp-flags SYN,RST SYN --clamp-mss-to-pmtu
とかしたらなおんない？
430 名前：lain [02/12/04 21:23 ID:GnyA18V1]: red hat7,３を使ってるんですが、iptablesを使うにはカーネルの再構築が必要って
どっかのｈｐに書いてあったんですけどそうなんですか？
ちなみにカーネルが２．４．１８－３なんですけどどうなんでしょうか。
あとカーネルを再構築しようと２．４．２０のカーネルを落としてきたんですがこのｈｐ
通りにやったんですがbootのさいにfailedが出てstart systemでとまってしまいます。
もし再構築が必要であればredhat８．０なら構築しなくても対応されているんですか？
どなたか教えてもらえないでしょうか。
431 名前：login:Penguin [02/12/04 21:44 ID:CSZVCdnW]: どっかのhpには嘘が書いてある。
432 名前：login:Penguin mailto:sage [02/12/05 01:14 ID:PwJUrvOu]: >>426

漏れのマシンもPingが飛ばないっす
tcpdump -i ppp0 でみると一応㌧ではいるが返って来ない罠

家に帰ったらちょっと>>429さんのとおりに試験してみます～
とりあえずMTUをどうにかしなきゃ…
433 名前：login:Penguin mailto:sage [02/12/06 19:21 ID:uS6t3n+R]: >393
Winnyの設定が間違ってた。すまそ。

IPTABLES -t nat -A PREROUTING -i ppp0 -p tcp --dport 7743 -j DNAT --to-destination 192.168.0.2:7743
IPTABLES -A FORWARD -d 192.168.0.2 -p tcp --dport 7743 -j ACCEPT

だった。
434 名前：login:Penguin mailto:sage [02/12/06 20:37 ID:oo8rvqWH]: 432　ですが…でけますた

iptables -t nat -A POSTROUTING -o pp0 -j MASQUERADE
たったこれだけで、ping が飛ばないなんて…鬱

てゆーか勉強します
435 名前：login:Penguin mailto:sage [02/12/07 12:08 ID:NCviYxiS]: pp0じゃなくてppp0な
436 名前：login:Penguin mailto:sage [02/12/07 20:27 ID:TZVsgX+w]: 設定ファイルってどこに置くのが正解？
437 名前：login:Penguin mailto:sage [02/12/08 01:20 ID:C0e3hfCf]: >>436
/root/
438 名前：login:Penguin [02/12/08 07:48 ID:Slh85d4S]: Dec 8 07:36:42 itteyoshi kernel: IN= OUT=lo SRC=192.168.74.15 DST=192.168.74.15 LE
N=156 TOS=0x00 PREC=0xC0 TTL=255 ID=23783 PROTO=ICMP TYPE=3 CODE=1

今日ログを見てみたら、こんなのがでてました。
ん？自分の eth0 に割り当てられたアドレスをソースとしておしゃべりするときも、
ローカルループバック使ってるのかな？

いや、ローカルループバックから出入りするのって
src or dst が　127.0.0.1 のやつだけだとおもってたから。
439 名前：login:Penguin mailto:sage [02/12/08 11:45 ID:Slh85d4S]: 100個くらいのアドレス（てか、アドレス範囲）からのパケットを DROP するようにしたら、
iptables -L での表示にめちゃくちゃ時間がかかるようになった・・・

でもストリームの再生なんかにも支障ないから、
負荷はそれほどかかってないのかも。

ESTABLISHED と RELATED を真っ先に通すようにしているからも。
440 名前：login:Penguin mailto:sage [02/12/08 11:46 ID:Slh85d4S]: >>439
ごめん、勘違いでした。
単に IP アドレスの逆引きに時間がかかってただけだった。
iptables -n -L だったらすぐに表示されました。
441 名前：他力本願 mailto:sage [02/12/09 23:14 ID:rWoEcFo6]: やりかたとしてはrootで

service iptables stop　(止める)

iptables -L　　　　　　　(ルール確認)

(一行ずつルール入力か書いておいたスクリプト実行)

/sbin/iptables -L　　　 (ルール確認)

cd /etc/sysconfig
iptables-save > iptables　(ルール保存)

であってる？
で、スクリプトは
www.geocities.co.jp/SiliconValley-Cupertino/9120/firewall.html
使おうと思うんだけど、穴ないですか？
442 名前：login:Penguin mailto:sage [02/12/10 10:43 ID:d+RVM/g7]: >>441

> service iptables stop　(止める)
をつかうんだったら
> iptables -L　　　　　　　(ルール確認)
> iptables-save > iptables　(ルール保存)
じゃなくて
service iptables status
service iptables save

とかつかったら？
443 名前：login:Penguin mailto:age [02/12/14 19:21 ID:zukM5Gsi]: 教えてください。
WAN側から許可されたアクセスは大丈夫なのですが、（PING,HTTP等）
LAN側からの通信がすべて拒否され（すべて許可したいのですが）、
サーバは自分自身へのPINGすら通らない状況です。

ちょっと変則的（というか邪道なんですけど）と思いますが下記構成となっています。
ルータ:202.111.1.1----サーバeth0:202.111.1.2
:192.168.1.1---------------eth1:192.168.1.2
|
+クライアント:192.168.1.3

・ルータにてNATをしています。
・サーバのeth0はWAN用eth1はLAN用としています。
・クライアントはルータにて外へ出られますのでサーバでのマスカレード等は
　していません。
・routeは
Destination GW mask　　　　Flag M R U Iface
202.111.1.0 * 255.255.255.0 U 0 0 0 eth0
192.168.1.0 * 255.255.255.0 U 0 0 0 eth1
loopback　　* 255.0.0.0　　　U 0 0 0 lo
default　　202.111.1.1 0.0.0.0 UG 0 0 0 eth0
です。
----続く----
444 名前：login:Penguin mailto:age [02/12/14 19:22 ID:zukM5Gsi]: ---続き--
・以下の設定をしています。
iptables -F
iptables -P FORWORD DROP
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

#lo
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
#LAN:eth1
iptables -A INPUT -s 192.168.1.0/24 -d 192.168.1.2 -i eth1 -j ACCEPT
iptables -A OUTPUT -s 192.168.1.2 -d 192.168.1.0/24 -o eth1 -j ACCEPT

iptables -A INPUT -m stat --state ESTABLISHED,RELATED -j ACCPET

#WAN:eth0
iptables -A INPUT -p icmp --icmp-type 8 -d 202.111.1.2 -i eth0 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 0 -s 202.111.1.2 -o eth0 -j ACCEPT
以下domain,http等の許可
OUTPUTのポリシーがACCEPTなのでOUTPUTは不要かもしれませんが・・・。
445 名前：名無しさん＠Ｅｍａｃｓ [02/12/14 19:29 ID:vNfCYX4w]: winny するなら、7743 じゃなくて 8080 とか使えよ。
446 名前：login:Penguin mailto:sage [02/12/14 22:25 ID:xbIuqtoX]: >>443

loopback,eth1のinputを下のように変更しろ。

# loopbackアドレスの許可
iptables -A INPUT -i lo -j ACCEPT

# 内部LANからのパケットを全て許可
iptables -A INPUT -i eth1 -s 192.168.1.0/24 -j ACCEPT

で、あなたはwinnyを使ってるの？
447 名前：443 [02/12/15 15:15 ID:OHhH+ux/]: >446
ありがとうございます。一時的に動作しました。
一時的というのは、
nmap -p 80とか単ポートだと正常に動作いしてくれるのだけど
nmap -p 1-1024とかやると全部DROPしちゃうようになります。
以降、全部socketエラーになって孤立してしまいます。
(nmapをkillしてもwwwやdnsに接続できなくなるのです)
こういうものなのでしょうか？

ところで、なぜ、
-d 指定するとダメなのでしょうか。
また、loはすべて受け付けなければならないのはなぜでしょうか。

なお、winnyは使っていません。googleでwinnyを調べた程です。
448 名前：login:Penguin mailto:sage [02/12/15 15:29 ID:7XPAQsID]: すげー、自演ってのりでやりきれるんだな。
LINUX板きて初めてスゲーと思った
449 名前：login:Penguin mailto:sage [02/12/15 15:31 ID:7XPAQsID]: すげー、自演ってのりでやりきれるんだな。
LINUX板きて初めてスゲーと思った
450 名前：443 [02/12/15 17:26 ID:OHhH+ux/]: >>448-449
ふかわりょうさん？

お忙しいとは思いますが
447についてご存知でしたら教えてください。
よろしくお願いいたします。
451 名前：login:Penguin [02/12/16 12:39 ID:JuYp5PKI]: Bフレッツ固定IP8 で rp-pppoe使っている人いません？
どうしてもppp0がnetmask 255.255.255.255になってしまうのですが、
iptables でnat するとルーター以降のアドレスも使えるのですがいいのでしょうか
なんか気味悪い
452 名前：login:Penguin mailto:sage [02/12/16 12:52 ID:sd7nxVLn]: >451
rp-pppoeは「正式に」unnumbered接続に対応しているの？
よく考えてみてね。
453 名前：login:Penguin mailto:sage [02/12/16 15:34 ID:7RUDYi0x]: >>452
そんな聞きかたじゃ全く理解出来ないだろ。
それに考えてわかる問題でもないような。
>>451
固定 IP 8 で rp-pppoe 使ってルータにしてる奴はいっぱい居るよ。
まず point-to-point の PPP では netmask は常に 255.255.255.255。
PPP は一対一接続だから IP アドレスを割り当てる必要は無いんだよ。
OCN からもらった IP アドレスは LAN 側の NIC に割り当てるもの。
これが unnumbered 接続。
でも Linux の場合 PPP に割り当てないで動かすわけにいかないから、
たいていは LAN 側の NIC に割り当てたのと同じアドレスにする。
これでルーティング出来るのか不思議に思うかもしれないが
要は nexthop router を指定せずに直接 point-to-point の
インタフェースをデフォルトルートに指定すればいいだけ。
Linux はこれが出来るので unnumbered 接続も可能だと言える。
ただし、rp-pppoe に自動でデフォルトルートを割り当てさせると
うまくいかないかもしれないので、手動で設定する必要がある。
454 名前：446 mailto:sage [02/12/16 16:05 ID:LhWOSzF6]: >>447

IPTABLESの設定見た限りでは、eth1よりブロードキャストが受け取れ
無いようになっていたので,-d 以下を削除するように指示しました。

つまりeth1から入ってくるパケットは宛先が192.168.1.2のみ受付、
255.255.255.255や192.168.1.255は拒否するようになっていました。
これだとarpパケットを受信することができないので、基本的にサーバ
との通信はできません。

クライアントが外へ出れるのは、恐らくFORWARDチェインには上記の
ような記述が無いため、ルータへパケット転送することが可能だったの
では？と思います。

(>>444に書いてないだけで、ブロードキャストを受け付けるように記述して
あったり、FORWARDチェインはDROPの設定しかしていないなら見当違い
ですね）
455 名前：login:Penguin [02/12/16 17:11 ID:wyRqnPSR]: 通りがかりだが

おまいらすてきです！
456 名前：login:Penguin [02/12/18 21:05 ID:oUPdxj1d]: ってなことでRedHat7.3のipchain から　iptablesに切り替えたいと思います

まずどーしましょ？＞＞みなさま
457 名前：login:Penguin mailto:sage [02/12/18 21:20 ID:xfe3SzcC]: >>456
乗り換えたい理由を教えろ。
458 名前：login:Penguin mailto:sage [02/12/19 10:24 ID:TVluSG+E]: たぶんipchainがいまいちだからだろ？
459 名前：login:Penguin mailto:sage [02/12/19 22:27 ID:7ZOYMtgI]: まぁ、これならたいていは大丈夫だろう。
ってゆーテンプレートみたいなのはないの？
460 名前：login:Penguin mailto:sage [02/12/19 23:42 ID:b9zHgWC9]: >>459
うちはここのを参考にさせてもらって(ちょっとだけいじった)けど、どうよ。
www.geocities.co.jp/SiliconValley-Cupertino/9120/firewall.html
461 名前：459 mailto:sage [02/12/22 22:33 ID:hvl9DCHS]: >>460
遅くなったけどサンクス。
漏れもこれ参考(つーかほとんど一緒)させてもらいますた。
462 名前：login:Penguin mailto:sage [02/12/23 00:23 ID:NIbQFJ2u]: -m state 使えばいいのに。
ちなみにワシの

modprobe ip_conntrack_ftp

iptables -F
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -s どっか -d わし --dport ssh -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp -d わし --dport 何か -m state --state NEW -j ACCEPT
iptables -A INPUT -p icmp -d わし --icmp-type echo-request -j ACCEPT
463 名前：login:Penguin [02/12/24 18:37 ID:sMsKLTYD]: オレメモ
PPPoE同士でipsecするとき
iptables -t nat POSTROUTING -o ipsec -s このマシンのipsec0外部ip -d 相手側のprivateip_xx.xx.xx.xx/24 -j SNAT --to 自分のLANがわprivateip
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
で　-o ppp0 を忘れない
であとはfilterを設定してみるす
464 名前：login:Penguin mailto:sage [02/12/25 01:15 ID:wMDDvDbB]: >>460
それ使ってみたけど、マスカレードされなくて困ってます。

|Windows(192.168.0.2) |======|(192.168.0.1 eth1) Vine2.6 (eth0)|=====|ONU(ppp0)|===
っていう構成です。>>460にあったやつで、
EXTIF=ppp+
INTIF=eth1
として使ってます。Vine側からは普通にネットできるんですが、
内側のWinマシンから外部にPing打つと
Destination host unreachable.
となります。
Win<>Vineはお互いにping通ってます。

どなたかアドバイスお願いします。
465 名前：login:Penguin mailto:sage [02/12/25 02:45 ID:wCcaR+6g]: 460のやつはicmpのFORWARDを許可してないみたいだから、pingが通らないのは当たり前。
というかsshでVineにloginして、pingはVineから打てばそれでいいような気もするけど。
466 名前：464 [02/12/25 03:34 ID:NLATh2Me]: >>465
ping(ICMP)については納得なんですが、
それ以外も通らないんで困ってます。
Vine側の設定は
eth1 リンク方法:イーサーネットハードウェアアドレス **.**.**.**.**.**.**
inetアドレス:192.168.0.1 ブロードキャスト:192.168.0.255 マスク:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:14 errors:0 dropped:0 overruns:0 frame:0
TX packets:10 errors:0 dropped:0 overruns:0 carrier:0
衝突(Collisions):0 TXキュー長:100
RX bytes:1464 (1.4 Kb) TX bytes:548 (548.0 b)
割り込み:11 ベースアドレス:0x9400
ppp0 リンク方法:Point-to-Pointプロトコル
inetアドレス:***.***.***.*** P-t-P:***.***.***.*** マスク:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1454 Metric:1
RX packets:4 errors:0 dropped:0 overruns:0 frame:0
TX packets:3 errors:0 dropped:0 overruns:0 carrier:0
衝突(Collisions):0 TXキュー長:3
RX bytes:40 (40.0 b) TX bytes:30 (30.0 b)
ってなってます。
467 名前：login:Penguin [02/12/25 10:53 ID:W2lR38ei]: >>460 初期化のところにiptables -F -t natが入ってないので、なんかnat操作するときに更新できなくて困った
468 名前：login:Penguin [02/12/25 11:01 ID:W2lR38ei]: >>466 ますフィルターをとりあえず全部初期化してはずしてできるか試してみたら？
# /sbin/service iptables stop
# iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
# echo 1 > /proc/sys/net/ipv4/ip_forward
だけだとつながりますか？(RedHat系のコマンドだが若干違うかも）
469 名前：login:Penguin [02/12/25 11:02 ID:W2lR38ei]: >>453 大変参考になりました。ありがとうです^^
470 名前：464 [02/12/25 11:32 ID:wMDDvDbB]: >>468
アドバイスありがとうございます。

# iptables -t nat -L　が次のようになっていて、
他のテーブルはすべて空の状態です。
target=MASQUERADE prot=all opt=--- source=anyware destination=anyware
NATテーブルのポリシーはACCEPTです。

この状態でWin側からやってみましたがダメでした。
となるとやはりiptablesの設定の問題ではないのでしょうか。。。

Win側は、DHCPオフで192.168.0.2/255.255.255.0を割り当て、
デフォルトゲートウェイは空欄、
DNSサーバはプライマリ/セカンダリともに空白指定にしてます。
471 名前：login:Penguin [02/12/25 11:55 ID:W2lR38ei]: ん？デフォルトゲートウェイは、192.168.0.1 いれないとそりゃ外でないですよ
192.168.0.1にping はとおるけど
DNSは特に必要じゃないけどプロバイダのDNSいれたほうがいいかと
Linuxでnamed立ち上げてるなら192.168.0.1でよろしいかと
472 名前：464 mailto:sage [02/12/25 12:14 ID:wMDDvDbB]: >>471
素早いレスありがとうございました。

今までWin2000をサーバにしていたので、あそこは空欄でいいものだと思ってました。。。
変更したところ、上の最小マスカレード設定でちゃんと動きました。
そこで、>>460のスクリプトを実行したところ、ちゃんとルーティングされました。

適切かつ迅速なレスありがとうございました。
これから内部からPingが通るように設定してみたいと思います。
473 名前：459 mailto:sage [02/12/25 13:15 ID:XgvuCFk4]: たとえば、61.32.0.0～61.55.255.255をブロックしたい場合は

$IPTABLES -A INPUT -s 61.32.0.0/61.55.255.255 -j DROP

でいい？
474 名前：login:Penguin [02/12/25 16:21 ID:W2lR38ei]: >>473
ぁーちげー
後ろはサブネットマスクだから計算面倒だな
61.32.0.0/255.232.0.0
だと思う。ってあってますか？
www.rtpro.yamaha.co.jp/cgi-bin/ip-addressでしらべたんで大丈夫かと
なんかサブネット計算するソフトって無かったかなこの記述がダメだったら
255.232.0.0→FFE80000(16進)→11111111111010000000000000000000(2進）だから厳密にできないから
61.32.0.0/12 と　61.48.0.0/13 の両方で指定するしかないと思う
475 名前：login:Penguin [02/12/25 16:28 ID:W2lR38ei]: www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
>-s, --source [!] address[/mask]
>送信元の指定。 address はホスト名・ネットワーク名・通常の IP アドレスのいずれかである。 mask はネットワークマスクか、ネットワークマスクの左側にある 1 の数を指定する数値である。
と書いてあるから /xx 形式じゃなくとも大丈夫ぽいな　でもせっかくだから
ちなみに /24 は頭に1が24個並ぶつー意味で
11111111111111111111111100000000(2)
FFFFFF00(16) 255.255.255.0 でクラスC という意味だと
476 名前：プロマー(´∀`) ◆PV/ot0p.GE mailto:( ´Д⊂ヽ [02/12/26 00:10 ID:OrCo0/lP]: 質問です。
iptablesでルータにしてるのですが、
table full　となって、それ以上の接続不能になってしまいます。
赤帽7.3を使っていて、インターネット上にサーバー公開しており、
物凄い数のアクセスが来てるのが原因なのはわかります。
ぐぐったのですが、iptablesの限界数の設定ファイルや
NATテーブルエージング時間の設定をどこでするのか
さっぱりです。

緊急なんです・・
よろしくお願い致します。
477 名前：login:Penguin mailto:sage [02/12/26 00:20 ID:XkyiKvwm]: >>476
> 緊急なんです・・
ML に流すか、RedHat にサポートたのめう゛ぁ～
478 名前：login:Penguin mailto:sage [02/12/26 00:40 ID:Wk/oBUkH]: >>476
エロサイトの運営も大変だねぇ。
アクセスが来たせいで table full て事は ip_conntrack か?
モジュールのパラメータに hashsize= ってのがある。増やしてみたら?
デフォルトでは
/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
らしい。
479 名前：プロマー(´∀`) ◆PV/ot0p.GE mailto:sage [02/12/26 01:17 ID:OrCo0/lP]: >>478
ありが㌧ございます(*´д｀*)
さらにいろいろがんばってみます。

今日も寝れない・・・
480 名前：login:Penguin [02/12/26 03:44 ID:CMdKHkLG]: >>417
激しく遅レスですが、

各ユーザ定義チェーンの最後で
iptables -A hogehoge -j RETURN
して、呼び出し元のチェーンに戻してやればいいのでは？
481 名前：459 mailto:sage [02/12/27 12:50 ID:XXL90zS7]: >>474-475
遅くなったけどサンクス。

$IPTABLES -A INPUT -s 61.32.0.0/13 -j DROP
$IPTABLES -A INPUT -s 61.40.0.0/14 -j DROP

つまりこーいう感じでいいの？
482 名前：プロマー(´∀`) ◆PV/ot0p.GE mailto:sage [02/12/28 01:09 ID:bKCkFk06]: >>481
突っ込んでいいのかわからないけどそれだと
bash: IPTABLES: command not found
483 名前：login:Penguin mailto:sage [02/12/28 01:14 ID:TbZlqDCY]: （　ﾟдﾟ）ｿﾘｬｿｳﾀﾞﾛ
484 名前：login:Penguin [02/12/28 11:21 ID:TJnVkPiu]: >>482
俺はお前につっこんでいいのかがわからんわけだが…。

set IPTABLES /sbin/iptables
485 名前：プロマー(´∀`) ◆PV/ot0p.GE mailto:sage [02/12/29 19:15 ID:d7ub5hCx]: >>484
そういう事は先に言わなきゃ意味ないだろう
突っ込みたがり屋さん・・
486 名前：login:Penguin mailto:sage [02/12/29 19:56 ID:7RJ8Bnji]: 先に言わんでも大体わかると思うが。。。
487 名前：login:Penguin [03/01/08 07:36 ID:RFSdginG]: hozen
488 名前：IP記録実験 mailto:IP記録実験 [03/01/08 21:18 ID:/8k1w3wQ]: IP記録実験
qb.2ch.net/test/read.cgi/accuse/1042013605/

1 名前：ひろゆき ◆3SHRUNYAXA ＠どうやら管理人 ★ 投稿日：03/01/08 17:13 ID:???
そんなわけで、qbサーバでIPの記録実験をはじめましたー。

27 名前：心得をよく読みましょう投稿日：03/01/08 17:20 ID:yL/kYdMc
SETTING.TXT管轄でないということは全鯖導入を視野に、か？

38 名前：ひろゆき ◆3SHRUNYAXA 投稿日：03/01/08 17:22 ID:rLfxQ17l
>>27
鋭いです。

73 名前：ひろゆき ◆3SHRUNYAXA 投稿日：03/01/08 17:27 ID:rLfxQ17l
＞ところで、IPが抜かれて何か今までと変わることってあるのでしょうか？
・今までより、サーバが重くなる。
・裁判所や警察からの照会があった場合にはIPを提出することがある。
489 名前：login:Penguin mailto:sage [03/01/09 02:36 ID:OE9qTNVA]: 「2chでは裏でIP記録されています。IPを抜かれたくなければ
セキュリティガードに…」

というコピペを流行らせる会　会長↓
490 名前：login:Penguin mailto:sage [03/01/09 03:20 ID:1ohfXlXy]: 俺はローカルIPだから大丈夫。
491 名前：login:Penguin mailto:sage [03/01/09 04:09 ID:ispmrJFO]: test
492 名前：login:Penguin mailto:sage [03/01/14 16:58 ID:4mD8gZwO]: .
493 名前：login:Penguin mailto:sage [03/01/14 23:32 ID:S3tRlq8t]: ほしゅ

ethポート3つでDMZやってるﾔｼはおらんかね？

DSLﾓﾃﾞﾑ
─■───■─□ HUB/local_IP
..　　　　　　　│
..　　　　鯖B□
494 名前：login:Penguin mailto:hage [03/01/14 23:44 ID:XcRGP28W]: >>493
ルータPCが乗っ取られたらおわりじゃん。
495 名前：login:Penguin [03/01/15 01:19 ID:ojatjaa4]: >>494

ｲﾀﾀﾀ
痛いところをつかれますた

ルーター用にLinux/iptablesを使うのはﾀﾞﾒぽ？
496 名前：login:Penguin mailto:sage [03/01/15 04:22 ID:XSm4pQLF]: >>495
iptablesを使って構築しているけど、DMZを設けるにはルータ2台設置して
local側のルータは応答パケット以外は全てはじくようにする。

DMZ機能を備えた市販ルータは使ったことないけど、まぁ、あれはルータ専用機
でそれが外部から乗っ取られる事はない。ということで、eth3ポートで簡易DMZなんて
いっても、まぁぃぃか...ってレベルじゃねぇの?
497 名前：山崎渉 mailto:（＾＾）sage [03/01/15 11:19 ID:wo7m90to]: （＾＾）
498 名前：login:Penguin [03/01/23 08:38 ID:TCMx+15M]: >>496
漏れなんか簡易も簡易、ブロードバンドルータについている「仮想」DMZ機能使ってるよ。

-----[Router]----HUB----LAN (192.168.100.0/24)
　　　　　　　　　　　　　|
　　　　　　　　　　　仮想DMZ (192.168.200.0/24)

アドレス上で別のネットワークに隔離するだけなんだけどね。
499 名前：login:Penguin mailto:sage [03/01/23 10:11 ID:0zXA7Q1Y]: >>498
えっ～ッ!! BBルータの簡易(仮想)DMZって専用のethポートがあるのではなくて
ネットワークアドレスを切り分けるだけなの?
それじゃぁ、DMZにあるPCが乗っ取られて、LANと同じネットワークアドレスを
足されたらLAN丸見えになるやん。
500 名前：login:Penguin [03/01/24 00:10 ID:xTlTJEfZ]: >>499
BB は知らない。
NEC の Aterm HB7000 だっけ、無線 LAN 使えるやつ。
でもほかの普及価格帯のブロードバンドルータも同じようなものだと思う。
マイクロ総合研究所のもコレガのも。

だから、DMZ にある PC は乗っ取られないようにしないとだめ。
ただしまぁ MAC アドレスフィルタリングをしておけば
NIC のドライバ（つーか、カーネルモジュール）をいじられない限りは安泰かと。
まぁそもそも「簡易」だし、仕方ないよね。

当然ながら DMZ にあるものは直接外部にさらしているのと同じくらい
セキュリティに注意を払いましょう、ってことで。
501 名前：login:Penguin [03/01/24 21:31 ID:MAcyOm2E]: 質問です。
PREROUTING の DNAT でパケットの送信先を書き換えた後、
FORWARD で同じパケットをフィルタリングしたいのですが、うまくいきません。
下のようなルールで試してみたのですが、FORWARD をうまく通過してくれないみたいです。

iptables -A PREROUTING -t nat -i 外部 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1
iptables -A FORWARD -i 外部 -d 192.168.0.1 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 192.168.0.1 -o 外部 -p tcp --dport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT

この場合、どのようなルールを書くべきなのでしょうか？
ご存知の方よろしくお願いします。
あと、PREROUTING で REDIRECT した場合も FORWARD を通るみたいなのですが、なぜなんでしょう？
502 名前：login:Penguin mailto:sage [03/01/24 22:35 ID:+RZvTsSu]: eth0:1みたいなバーチャルアダプタを作ってみてはいいんでないかと...。
www.atmarkit.co.jp/flinux/rensai/security03/security03a.html
503 名前：login:Penguin mailto:sage [03/02/01 19:00 ID:Qrv76FuE]: 素敵なスレデスネ

有線ブロードでPCルーター導入してらっしゃる方はおられますか？
504 名前：login:Penguin [03/02/06 18:54 ID:vF9ns+h/]: >>503 rp-pppoe
505 名前：login:Penguin [03/02/06 19:20 ID:digv+HvF]: 　　　______________
　／:＼.＿＿＿_＼
　|:￣＼(∩´∀｀)　＼　　＜先生！こんなのがありました！
　|:在　 |:￣￣ U￣:|
saitama.gasuki.com/wara/
506 名前：login:Penguin [03/02/07 21:29 ID:+S0+AiM8]: iptablesでログとってたら、こんなパケットが来るんですけど、これってどういうこと？
踏み台にされてるってことなんでしょうか？
怖くって夜も眠れません。おせーて下さい。
ちなみに
ホスト名=my_nat_box
ホストIP=aaa.bbb.ccc.ddd です。

Jan 18 04:37:31 my_nat_box kernel: Bad packet : IN=eth0 OUT= MAC=00:01:03:3a:83:67:00:01:30:30:a9:00:08:00
SRC=64.14.xx.xx DST=aaa.bbb.ccc.ddd LEN=56 TOS=0x00 PREC=0x00 TTL=47 ID=65443 PROTO=ICMP TYPE=3 CODE=1
[SRC=aaa.bbb.ccc.ddd DST=64.28.xx.xx LEN=60 TOS=0x00 PREC=0x00 TTL=50 ID=21593 PROTO=TCP INCOMPLETE [8 bytes] ]
507 名前：login:Penguin mailto:sage [03/02/08 17:01 ID:K1kYTek9]: ircd立てたんだけど。

iptablesに追加する記述は

$IPCHAINS -A input -p tcp --sport $reph_port --dport 6668 -j ACCEPT

modprobe ip_nat_irc

で合ってまふか？
508 名前：login:Penguin mailto:sage [03/02/08 18:44 ID:bDMqiyth]: >>506
ICMP TYPE=3 CODE=1
って出てる通りだと思うが...。
509 名前：login:Penguin mailto:sage [03/02/08 19:12 ID:9j36Pi8v]: まぁ、>>506は「IP抜くぞｺﾞﾙｧ」てしか言った事ないからICMPが分かんないんだろうな。
てかType=3 Code=1てことは、
【みずから相手へ接続しに行ったにも関わらず、】 Host Unreachableだったってことだな。
偽装かも知れないけど。
510 名前：507 mailto:sage [03/02/08 20:12 ID:K1kYTek9]: うぉ。$IPCHAINSではなくて

$IPTABLES -A INPUT -p tcp --sport $reph_port --dport 6668 -j ACCEPT

ですた。
あってまふか？
511 名前：login:Penguin [03/02/10 22:27 ID:v/Zhu9h2]: >>508,509
いや、それは調べたらすぐわかったんですが、聞きたかったのは、
２行目までは納得できるが、３行目の[SRC=aaa.bbb.ccc.ddd... 以下はどういう意味なのか、
つまり、どうしてmy_nat_boxから64.28.xx.xxへのパケットがここに記録されてるのか、
そして全体としてどういう挙動をした結果なのか、ってことだったんですが。
自分なりに解釈するに、
my_nat_boxから64.28.xx.xxに対してTCPで接続しようとしたけどできなくって、
64.14.xx.xxから、届かねーよ、って言われてしまったってことなんでしょうか？
厨な質問かもしれませんが、教えてください。

、、、というかよく考えたらicmpで踏み台にされてるなんてこと言う自体おかしいよな、、、
パケットと共に逝って来ます。
512 名前：login:Penguin [03/02/11 21:40 ID:/R0QrMGr]: >>511
以下、勝手な想像のお話。
64.28.xx.xxにアクセスしたところ、そのサイトは落ちてた。
64.28.xx.xxはどっかのホスティングサービスからドメインサービスみたいなのを受けてたから
そのホスティングサービスのDNS（64.14.xx.xx）からとどかねーよとpingを打ってきた。

まあなんにしても有害じゃないから無問題。
513 名前：login:Penguin [03/02/13 14:24 ID:lAbKIMnb]: >>512
ありがとーございます。
これで枕を高くして眠れます。

というか漏れは大学の研究室でIPたらねーからNAT作れや、
ってことで情報系でもない単なる理系の学生にもかかわらず
何にもわからんままネットワーク管理やらされてるんですが（しかもほぼ無償で）、
漏れみたいな奴ってけっこういたりするんのかな？
企業とかではそんな話聞いたりするけど、アカデミックなとこではどうなんだろ？
まあ、自分としては就職するときの足しにはなるかなーとか思って割り切ってやってますが、、、
514 名前：320 [03/02/13 16:27 ID:WqKfN1ey]: ■■わりきり学園■■

コギャルから熟女まで

素敵な出会い

ゲイ、レズビアンなどコンテンツ豊富

kgy999.net/
515 名前：login:Penguin mailto: [03/02/13 21:22 ID:+FvEvpXl]: (･A･)ｲｸﾅｲ!!
516 名前：login:Penguin [03/02/14 14:36 ID:McfPgr+V]: >>392->>395などを参考に、Linuxルーターを構築して、
その上にsshdなどを走らせているんだけど、どうも外からサーバーにアクセス出来ない。

iptables -A INPUT -p tcp --dport ssh -j ACCEPT

ではダメなのでしょうか？
517 名前：login:Penguin mailto:sage [03/02/14 15:05 ID:JXoHIcrw]: >>516
全通しなら接続できるか？
518 名前：516 [03/02/14 16:30 ID:McfPgr+V]: >>517
出来ます。
そして参考までに、LAN内から192.168.1.1とやってもアクセス可能です。
519 名前：login:Penguin [03/02/14 21:21 ID:lC/+3aZy]: アンギーナだうんたうん
アンギーナだうんたうん
520 名前：login:Penguin mailto:sage [03/02/15 01:26 ID:YSq6JYB1]: >516
sshの待ち受けポートは変更していますか？

/etc/sshd.config or /etc/ssh/sshd_config　
# This is the sshd server system-wide configuration file. See sshd(8)
# for more information.
Port 22
↑
22以外にしたとか？

全通しで外部から繋がるんだよね？

iptables -A INPUT -p tcp --dport ssh -j ACCEPT
でsshのポートは開いてるから繋がるはずだけど。

iptablesの設定ここに載っけてみれば？
521 名前：516 [03/02/15 09:36 ID:kRzrVtMY]: >>520
感謝。iptablesの設定は間違っていなかったみたいで、モデムの調子が悪かったみたいです。
無事繋がるようになりました。お手数かけて申し訳ありません。
親切にレスして戴き、誠に有り難う御座います。
522 名前：login:Penguin [03/02/26 10:36 ID:CMwAzlZR]: ﾆﾔﾆﾔ(･∀･)
523 名前：arisa ◆QaHT6HayjI [03/02/27 20:59 ID:F7sUmhVb]: RedHatなんかで、/sbin/service iptables saveなんかして再起動すると

modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

が無効になってしまうのだが、本来どこに書くべきもの？
/etc/modules.confにかいてみたんだが記述がおかしいのか、うまくいかず。

とりあえず /etc/rc.d/init.d/iptables の start() のとこに書いたんだけど...
なんかそれもスマートじゃないような気がするんですが。みなさんどうしてるんでしょう
524 名前：login:Penguin mailto:sage [03/02/27 22:20 ID:Q6JAmN1p]: # /etc/rc.d/rc.local
に記述でいいんでない？
うちはそうしてるけど。
525 名前：arisa ◆QaHT6HayjI mailto:sage [03/02/28 09:58 ID:MDZOa6hQ]: >>524 そんなんでいいんですか。ふむ。
どもです。
526 名前：login:Penguin [03/02/28 11:19 ID:+2rnv6Bw]: スンマセン、レンタルサバ(専用)のiptablesの設定についてご存知の方
いたら教えて下さい。
今度レンタルサバ(専用)を借りようと思うんですがファイアーウォール
をどうすればいいのか悩んでいます。
今、フレッツADSLでインターネットに接続していて、サーバーを借りたらsshで
操作することになるんですが、iptablesはどういうふうに設定したらいいでしょうか？
私なりに少し調べてみると特定のIPアドレス以外ははじくように設定するようです。
しかし、私のほうは固定IPではありません。(もちろんレンタルサバは固定IPです。)
もしかして、レンタルサバの場合は設定しないものなのでしょうか？
それとも、こちらの方でたとえば、固定IPをもらえるようなサービスに
加入するべきなのでしょうか？どこかに設定例はないでしょうか？
ちなみに、動かしたいサーバーは、apacheとpop3とsshです。
527 名前：arisa ◆QaHT6HayjI mailto:sage [03/02/28 12:57 ID:MDZOa6hQ]: 80と110と22をあけときゃいいんじゃ。あとDNS
最初っからフレッツを固定IPにして、相手を特定させて制御すんやったら、自宅に最初っから立てたほうがいいような
なにやるか知らんけど。
今の自分の環境で、鯖たてて設定してみたら何が疑問なのかよくわかると思う
528 名前：526 [03/02/28 14:05 ID:da8Ehn60]: >>527さん、レスありがとう!!!
前に共用鯖借りてたことはあるんですが、専用は初めてです。
写真関係のサイトを開きたいんですが、ポートの22をそのままでいいのか？
と悩んでいます。
私は非固定IPなので、sshが(ユーザー名とパスワードを入れれば)
誰でもアクセスできる状態(ipアドレスでフィルタリングとかしないで)
で起動していないと私自身が操作できないと思います。
しかし、それでは、rootを乗っ取られないか不安です。
(もちろん、8桁とかのパスワードを破るのは困難だとは思いますが。)
サーバーについての本にはファイアーウォールについての解説は
必ずありますが、どれもローカルのネットワークを防御（IPアドレスで
フィルタリング）するための設定のようで、レンタル鯖はどうすれば
いいのかよくわからないです。
「必要なサービスだけ起動してファイアーウォールは設定しない」で
いいのか、他のみなさんはどうしてるのか、もし、おなじような方が
いらっしゃれば教えていただけないでしょうか。
それと、バーチャルホストとかは今のところ考えてないんですが、
（いずれはやりたいんですが、）dnsもやっぱり必要ですか？
529 名前：login:Penguin mailto:sage [03/02/28 18:20 ID:rWNpekd8]: >>528
iptablesではなく、SSHのほうのセキュリティを強化するのでは?
unixuser.org/~euske/doc/openssh/jman/
www.momonga-linux.org/docs/OpenSSH-HOWTO/ja/
530 名前：526 [03/02/28 19:55 ID:7GW2XcVR]: >>529さんレスありがとう!!!
先程見つけたのですが、AT-LINK(ttp://www.at-link.ad.jp/topics/t75.html)
さんのページによると、非固定IPにはあまりむいてないらしいですね。
自宅サバというわけにもいかないし、金欠な私としては固定IP取るのは
最後の手段として、ご指摘のsshの強化をまずは図ろうと思います。
前に共用サバでteraterm pro + ttssh を普通のパスワード認証で
つかってたんですが、やっぱりもう一段上のセキュリティが求められますよね。
とりあえず、RSA認証を使おうと思いPortfowaderをダウンロードしてみました。
家庭内LANで使い方を確認してみます。
531 名前：arisa ◆QaHT6HayjI [03/02/28 21:25 ID:MDZOa6hQ]: >>528 とりあえず、自分がプロバイダが使っているIPアドレスをwhoisでしらべてアクセス解除すればいいかと。
同じプロバイダの人にのっとられたらおしまいだけど。それでも特定はしやすいはず。
プロバイダが違うIPを使い始めたら、大変だけど。

dyndns.orgとかのダイナミックDNSで自宅でとりあえず立ててみたほうがはやいんじゃ。

恥ずかしい話ですが、俺はsendmailとかpopとかのどっかのバグをついて一般ユーザ取得され、crontabのバグで/etc/passwd書き込まれroot権限を取得され、バックドアを埋め込まれたことがある。
がんばってください(^^
532 名前：login:Penguin mailto:sage [03/03/02 01:36 ID:HjoPuIlJ]: port0 も含めて winny や winmx を使えなくするためにはどうすればいいのでしょうか？
iptables -t nat -A PREROUTING -p TCP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A POSTROUTING -p TCP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A POSTROUTING -p UDP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
ではつながってしまいます。
533 名前：532 [03/03/02 01:40 ID:HjoPuIlJ]: 下げていたので、ネタだと思われないように上げさせて頂きます
534 名前：login:Penguin mailto:sage [03/03/02 01:44 ID:CAWmzrZC]: >>532
port0を防ぐのはかなり難しいかと。
まぁパケットの中身を覗いてドロップするようにすればいいんだろうけど。
535 名前：532 [03/03/02 07:49 ID:nnMsHX3N]: DMZ を作ってやって P2Per のネットワークを DMZ に入れて

iptables -t nat -A POSTROUTING -o ${OUTSIDE_DEVICE} -j MASQUERADE

# Keep state. (for DMZ)
iptables -A FORWARD -m state --state NEW -i ${DMZ_DEVICE} -j ACCEPT

# We don't like the NetBIOS and Samba leaking. (from DMZ)
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --dport 135:139 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${DMZ_DEVICE} --dport 137:139 -j DROP
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --dport 445 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${DMZ_DEVICE} --dport 445 -j DROP

# Accepting packets between Inside and DMZ
# And also, DHCP, but we can basically accept anything from the inside. (for DMZ)
iptables -A INPUT -i ${DMZ_DEVICE} -j ACCEPT
iptables -A OUTPUT -o ${DMZ_DEVICE} -j ACCEPT
#
# no more P2P
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --sport 1024:5000 --dport 1024:65535 -j DROP

これである程度は防げるでしょうか？
536 名前：X [03/03/02 08:43 ID:CuJV9s6H]: ドリームパートナー募集中！
今話題のYahoo! BB、BBフォンの販売にご協力下さい。
販売には特別な知識は必要ありません。
魅力的な報酬プランご確認の上、お気軽にご参加下さい。

join.dreampartner.jp/mmd/bb/index.html
537 名前：532 [03/03/02 17:32 ID:J+le5ZXI]: DMZ を使うと floppyfw を通して pppoe を使ってアクセスできないし
192.168.*.0/24 の tcp 1024:5000 -> 1024-65535 を塞ぐと内部の webserver が心配
他のクライアントの ICQ 等 port 5000 以上にアクセスするアプリケーションがうまく動かず・・・・

Portsentry か traffic control あたりが妥当なのでしょうかね・・・
538 名前：login:Penguin mailto:sage [03/03/03 05:14 ID:FVqSiigj]: >532さんなんか読んでいたら激しくproxyなどおいて内部から制限しまくるような感じのほうが簡単に思えてきた
スマソ、漏れには理解できんかった（ｘ
539 名前：login:Penguin mailto:sage [03/03/03 10:37 ID:+bZRMqKa]: internet <-> ルーター <-> Linux <-> LAN という構成になってます。
外部に公開したいのは「ssh www ftp」、外部からの「netbios」は破棄
というように書いてみたのですがいかがでしょうか？
icmpは公開、非公開どちらがいいでしょう？

■構成
internet <-> [192.168.0.1] <-> [eth0 192.168.0.10 / eth1 192.168.1.1] <-> LAN
-----------------------
#!/bin/sh
IF_BAD='eth0'
IF_LAN='eth1'
IP_BAD='192.168.0.10'

iptables -t nat -A POSTROUTING -o $IF_LAN -j MASQUERADE

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $IF_BAD -j ACCEPT

iptables -A INPUT -j DROP ! -i $IF_LAN -s 192.168.1.0/24
iptables -A INPUT -j DROP ! -i lo -s 127.0.0.1/255.0.0.0
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#iptables -P INPUT -p icmp -d $IP_BAD -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport ssh --dport ssh -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport ftp --dport ftp -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport www --dport www -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ns -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-dgm -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ssn -j DROP
540 名前：login:Penguin [03/03/03 10:37 ID:+bZRMqKa]: age忘れました。ごめんなさい。
541 名前：532 mailto:sage [03/03/03 15:32 ID:X/dSPuIW]: くだ質スレなどで聞いてみます。失礼しました
542 名前：539 mailto:sage [03/03/03 21:44 ID:+bZRMqKa]: >>539
結局このような感じにしてみました。
----------------------
#!/bin/sh
IF_BAD='eth0'
IF_LAN='eth1'
IP_BAD='192.168.0.10'
IP_MAIN='192.168.1.66'

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o $IF_BAD -j MASQUERADE

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $IF_LAN -j ACCEPT

iptables -A INPUT -j DROP ! -i $IF_LAN -s 192.168.1.0/24
iptables -A INPUT -j DROP ! -i lo -s 127.0.0.1/255.0.0.0
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -i $IF_BAD --dport ssh -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport ftp -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport www -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport https -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ns -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-dgm -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ssn -j DROP
543 名前：login:Penguin [03/03/06 11:01 ID:/yoUtsQA]: 1台のＰＣにNICを3枚挿すといった、セキュリティ上好ましくない環境でDMZとLANを適切にフィルタリングしたいです。
環境はPPPoE接続のフレッツＢで、固定ＩＰを8個割り当てるサービスに加入しています。eth2がWAN側、eth1がLAN側、eth0がDMZ側でeth1とeth2は共にスイッチングHUBに接続されています。
まずLAN側をフィルタリングしようとしているのですが、思ったとおりにいきません。
LAN側からはWebサイトの閲覧、IRCの利用（ファイル送信は利用しません）、FTP(PASVモード）の利用だけです。
# iptables -t nat -F
# iptables -F
# iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
# iptables -P FORWARD DROP
# iptables -P OUTPUT ACCEPT
# iptables -P INPUT ACCEPT
# iptables -A FORWARD -s 192.168.0.0/24 -i eth1 -j ACCEPT
# iptables -A FORWARD -p tcp --tcp-flags ACK ACK -j ACCEPT
# iptables -A FORWARD -p tcp --tcp-flags FIN FIN -j ACCEPT
# iptables -A OUTPUT -d 10.0.0.0/8 -o ppp0 -j DROP
# iptables -A OUTPUT -d 172.16.0.0/12 -o ppp0 -j DROP
# iptables -A OUTPUT -d 192.168.0.0/24 -o ppp0 -j DROP
# iptables -A FORWARD -d 10.0.0.0/8 -o ppp0 -j DROP
# iptables -A FORWARD -d 172.16.0.0/12 -o ppp0 -j DROP
# iptables -A FORWARD -d 192.168.0.0/24 -o ppp0 -j DROP
以上のように設定し、YahooやGooなどを閲覧しようとしたのですが、閲覧できませんでした。
iptables -P FORWARD ACCEPTにすれば正常に繋がります。
間違いなどがありましたら、教えて下さい。
544 名前：login:Penguin mailto:sage [03/03/06 11:43 ID:9RaAHbuu]: >>542
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type echo-reply -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type source-quench -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type parameter-problem -j ACCEPT
545 名前：login:Penguin [03/03/06 13:52 ID:vlZJDKef]: NO-IPを使って、Yahoo!BBで鯖を立てています。
ファイヤーウォール兼ＷＥＢサーバという役割なのですが、
いろいろ読んで以下のように設定したのですが、うまくいきません。
１）
iptables -N pass
iptables -A pass -d 192.168.1.1 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD 1 -j pass
２）
iptables -A INPUT -i eth1 -p tcp --dport 80 -j ACCEPT
３）
iptables -A INPUT --dport www -m state --state NEW -j ACCEPT
ＯＳはRedHatLinux8です。
eth1側にYahoo!BBの回線が直接来ています。
eth0側（LAN側）からはインターネットに接続できます。
ipchainは削除しました。
どのような原因が考えられますか？？
546 名前：login:Penguin mailto:sage [03/03/06 14:48 ID:YBHS0zHd]: >>545
読め。
ttp://tlec.linux.or.jp/docs/iptables.html
547 名前：login:Penguin [03/03/06 14:59 ID:4EeogfXU]: ウェブサーバを立ち上げているマシンで2chに書き込みたいのですが、
ポート80があいていると2chに書き込めません。
2chな鯖からのリクエストだけシカトするには
iptables -A INPUT -p TCP -s ????? -dport 80 -j DROP
の????? に何を書けばいいんでしょう。
まさか2chの鯖を一個ずつ調べて全部明示的に指定しないと逝けないとか?
548 名前：login:Penguin [03/03/06 16:09 ID:9vr75bJV]: 80番以外でwwwサーバー
549 名前：login:Penguin [03/03/06 16:09 ID:2A8mfYc6]: それで？
550 名前：login:Penguin [03/03/06 16:17 ID:9vr75bJV]: それだけ
551 名前：login:Penguin mailto:sage [03/03/06 16:31 ID:K+/Q6K/e]: >>547
はじくならこのへんとか?
pc.2ch.net/test/read.cgi/sec/1044637380/5-6n

ていうか、うちもそういう話を聞いてて対策しなきゃと思ってたんだけど、
80番開けてても書きこみできてる。
なにがちがうんだろう? 80番空いてるのはルータ兼用機だけど。
552 名前：login:Penguin mailto:sage [03/03/06 17:11 ID:YBHS0zHd]: >>551
うちもそうだ。

1台からCATVとフレッツISDNで、両方の80番からWebに
アクセスできる。内部マシンはCATV側から出るように
してある。
553 名前：login:Penguin [03/03/06 22:54 ID:xqbeKUj/]: o
554 名前：login:Penguin [03/03/06 22:57 ID:CIyATmJr]: >>545
とりあえず何がどう上手くいかんのかかかんと
どうしようもないと思うぞ。

あと、よくわからんのなら全部張ってみ。
555 名前：login:Penguin mailto:sage [03/03/07 08:14 ID:jqqlLe40]: >>548-552
カムサハムニダ。
>>548
ユーザに foo.bar:81 と入力させるのがウザイのでそれては桑名の焼き蛤とさせて頂きます。
>>551
鯖のリストがあるなら随時それを入れ替えればいいですね。
>>551 >>552
会社(Flets ADSL の固定 IP サービス + アライドテレシスの CentreCOM AR220E) だと撥ねられるが
自宅(Yahoo! BB + Debian GNU Linux) だと80番開けてて Apache で listen していても
書き込めます。この話題に関するもっと適切なスレありますか?
556 名前：login:Penguin [03/03/07 10:31 ID:cJOiYAeR]: WAN--Linux---HUB----Windowsとよくある構成の場合
FORWARD、OUTPUT、INPUTの内、INPUT以外のポリシーをACCEPTにしプライベートIPアドレスをDROPする設定をFORWARDとOUTPUTにいれればOK?
FORWARDのポリシーをDROPにしてる人いる？
557 名前：login:Penguin mailto:sage [03/03/07 10:48 ID:Eab4izUG]: >>556
ここを参考にしたので、DROP でつ。
www.geocities.co.jp/SiliconValley-Cupertino/9120/firewall.html
558 名前：login:Penguin mailto:sage [03/03/07 13:13 ID:1uT/topg]: >>556
>>546でもDROP
559 名前：login:Penguin [03/03/09 15:12 ID:XYtlPymB]: ゲームなどをする時にポートフォワードが必要なものがありますがiptablesでは
iptables -t nat -A PREROUTING -p tcp --dport ポート番号 -i ppp0 -j DNAT --to 192.168.0.2
として、そのゲームをプレイするローカルのコンピュータのＩＰアドレスを指定しますが、192.168.0.2のＰＣと192.168.0.3のＰＣの2台で同時に同じゲームをプレイする事はできるのでしょうか？
560 名前：login:Penguin [03/03/09 20:25 ID:QuvhghEb]: RedHat8.0でsamba鯖立てたんですが、それ以来linux機のport445
向けにやたらとアクセスがあります。
(samba鯖を立てるのと同時にlan内のwindows2000のファイル/プリンタ
の共有をonにしました)

dport または sportが137,139,445番のものは外に出て行かない
設定(outputチェーンとforwadチェーン)にしてあるんですが、
どうやってファイル・プリンタの共有を使っていることが外に
漏れているのでしょうか？

InterNet--Linux(ルータ、samba鯖)--Windows2k
という状態です。

#445番ポートへのアクセスはルータではじいているので
#問題は無いんですが気持ち悪くて。。
561 名前：login:Penguin mailto:sage [03/03/09 21:17 ID:kMk9l5b4]: >>560
世の中には全世界に自分のPCを公開されている方もいらっしゃるのです。
562 名前：login:Penguin mailto:sage [03/03/10 13:25 ID:Hsw7n9Nw]: >>561
あれ、じゃぁsamba機立てて以来っていうのは気のせいかなぁ

#と思ってlog確かめてみたら以前から結構ありました（鬱
#他のを一部log取らなくしたから、相対的に目立っただけみたい。
563 名前：login:Penguin [03/03/11 10:20 ID:Ehfs/+kN]: ポリシーを
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD ACCEPT
にしてるルータ＆サーバ機で，up2dateできるようにするには，
どのポートをACCEPTすればいいの？
564 名前：login:Penguin [03/03/11 10:22 ID:Ehfs/+kN]: やっぱりup2dateするときには
毎回iptablesを止めるしかないのかな？
565 名前：login:Penguin mailto:sage [03/03/11 23:44 ID:P57qZN4D]: IPマスカレードするために

# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
とすると
iptables: Invalid argument
となるんですが、何か間違ってるでしょうか？
(iptables v1.2.7a)
566 名前：login:Penguin [03/03/12 02:40 ID:aCzumorg]: # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE
ではどうですか？
見当違いでしたらすみませんが。。。
567 名前：login:Penguin mailto:sage [03/03/12 03:10 ID:prfBeMqO]: saveってどこに保存してるんだよ
568 名前：login:Penguin [03/03/12 09:38 ID:ND3bGnDV]: FORWARD,INPUT,OUTPUTのポリシーをDROPにしてSYNフラグのたってるパケットはACCEPT、FORWARDチェインで80,53,110,25,443をACCEPTにしてるのですが、MSNメッセンジャーのポートをあけても接続できません。
iptables -A FORWARD -o ppp0 -p udp --dport 2001:2120 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 6801 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 6891:6900 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 6901 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 6901 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 3389 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 1503 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 1503 -j ACCEPT
と追加したのですが、接続することができません。
他に何かしなければならないことがあるのでしょうか？
569 名前：565 mailto:sage [03/03/12 14:20 ID:TnW6KHA7]: >>566
> # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE
かわらず、Invalid argument
570 名前：login:Penguin [03/03/12 15:09 ID:5yowNZZq]: test
571 名前：login:Penguin mailto:sage [03/03/12 15:31 ID:BmzHoCqU]: >>568
FORWARDってインタフェイス指定するの？
572 名前：login:Penguin [03/03/12 18:26 ID:FZ//L828]: iptablesを勉強するのによい本ってありますか?(日本語で)

本屋で「絵でわかるLinuxセキュリティー」という本をパラパラと
みたらiptablesの解説があったけど、それ以外で解説してある本を
見たことありません。
573 名前：login:Penguin mailto:sage [03/03/12 20:30 ID:CW8h+DPK]: >>567
/etc/sysconfig/iptables
574 名前：login:Penguin mailto:sage [03/03/12 20:42 ID:CW8h+DPK]: メッセンジャーって動的NATじゃなくて静的NATでないと出来ないんでない？

俺自身は使ってないから、わからんのだけど。
575 名前：名無しさん＠カラアゲうまうま mailto:sage [03/03/12 21:05 ID:hPzcJVgX]: ネットワークやセキュリティは日進月歩いや秒進分歩の世界なので、
本として出版してもあっという間に時代遅れになってしまいます。
雑誌で特集組むことがあると思うので、そういうのを参考にするか、
頑張ってネットで探すか、
最後の手段として＊ちゃ＊ねるで聞くといいでしょう。
576 名前：1 [03/03/12 21:27 ID:I7tMxUJU]: おまえらチンカスども、まだこんなことでごちゃごちゃやってるのかよ
進歩がねー包茎やろうどもだ
だから童貞君はいやだね
さっさとくたばれ、チンカスやろう
577 名前：login:Penguin mailto:sage [03/03/12 21:40 ID:cboyNL6n]: >>572
ないです。
それとその本間違いが多いから買わないほうがよいですよ！
578 名前：login:Penguin mailto:sage [03/03/12 22:23 ID:2XyrGEWk]: >>572
今売りのLinuxMagazineで特集してるが・・・
579 名前：login:Penguin mailto:sage [03/03/13 00:47 ID:8BcSDQO4]: www.geocities.co.jp/SiliconValley-Oakland/2901/

iptablesの初期化スクリプトを作成中。
改善案きぼん。
580 名前：login:Penguin mailto:sage [03/03/13 03:35 ID:CvrTDbSk]: >>579
Webから設定できるようになるの？
581 名前：579 mailto:sage [03/03/13 06:43 ID:8BcSDQO4]: >>580
できるように・・・・・したいなぁ。
582 名前：login:Penguin [03/03/13 11:22 ID:NuUlbm/g]: ADSLモデムでつないでるでつ
LinuxBoxをルーターにしつつWeb鯖にしたいでつ
おまいらのおすすめのiptablesおせーろや！おながいしますお代官様～ぁ
583 名前：login:Penguin mailto:sage [03/03/13 11:23 ID:NuUlbm/g]: ついでにNIC2枚なのでローカルIP振ってマスカレードさせたいんです…｡･ﾟ･(ﾉД`)･ﾟ･｡
584 名前：login:Penguin mailto:sage [03/03/13 11:44 ID:HSLr/kVv]: >>582-583
>>1-581
585 名前：login:Penguin mailto:sage [03/03/13 13:02 ID:NuUlbm/g]: でけたでけた　>>584　ってかこの>>1はどこいっちゃったんだろう…
586 名前：山崎渉 mailto:（＾＾） [03/03/13 16:26 ID:sbQU2y5R]: （＾＾）
587 名前：login:Penguin [03/03/13 19:23 ID:oP0VE8Dk]: 2箇所の離れたLAN同士をSSH使ってＶVPN構築しました。
PPP接続されたマシン同士はPing通りますが
その他マシンへ一切アクセスできません。なぜでしょう。
588 名前：login:Penguin mailto:sage [03/03/13 19:58 ID:RWF2N4O5]: ほーら、はーるさきこーべにー
みーにみーにーみにきてーねっ
ひーだまーり、かげろっおう
ゆーらゆーら、はるのゆーめ
589 名前：login:Penguin mailto:sage [03/03/14 22:33 ID:5+fozj0J]: >>587
（ﾟ∀ﾟ）ルーティング追加すりゃいいじゃん？
iptables関係ないべ？
590 名前：login:Penguin [03/03/15 00:25 ID:Bx6SnnUJ]: eth0がLAN側で、
eth1がルーターに繋がっているLinixホストで、
LAN側のWindowsからインターネット上のフリーメールの
pop3に接続するのには、どんな設定したらいいでしょう？

現在、こんな風ですが、DNSはなんとか引けて、squidでなら
ホームページは読めるのですが、メールが受信できません。
591 名前：590 [03/03/15 00:26 ID:Bx6SnnUJ]: EXTIF="eth1"
ANY="0.0.0.0/0"

LOCALIF="eth0"
LOCALNE="192.168.1.0/24"
MYHOST="192.168.1.1"

# 初期化
/etc/init.d/iptables stop

##### すべてのルールを削除する #####
/etc/init.d/iptables stop

##### すべてのルールを削除する #####
/sbin/iptables -F INPUT
/sbin/iptables -F FORWARD
/sbin/iptables -F OUTPUT

##### すべてのアクセスを拒否する #####
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P PREROUTING DROP
/sbin/iptables -P POSTROUTING DROP
592 名前：590 [03/03/15 00:26 ID:Bx6SnnUJ]: # LAN側からの入力、ループバックへの入力を無条件に許可
/sbin/iptables -A INPUT -i $LOCALIF -s $LOCALNE -j ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT

# 内部から発生した接続に関連するパケットを許可
/sbin/iptables -A INPUT -i $EXTIF -m state --state ESTABLISHED,RELATED -j ACCEPT

/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
593 名前：login:Penguin mailto:sage [03/03/15 02:52 ID:xci716Xt]: FORWARDに穴開けないとMASQUERADEが動けない。
さらに echo 1 > /proc/sys/net/ipv4/ip_forward を確認。

/sbin/iptables -P PREROUTING DROP
/sbin/iptables -P POSTROUTING DROP
はtable違いで意味なし。っていうかエラー出ない？

どっかからサンプル拾って来て手直しするのが早いんでないかと。
がんばて。
594 名前：login:Penguin [03/03/15 20:36 ID:nzpsL4hj]: ここを参考に作りました。
他の人の参考になるかもなので晒しときます。
#もし穴があったら指摘キボンヌ

#!/bin/sh

#################
#### 初期設定

#### アドレスのaliasを設定
IPT="/sbin/iptables"
MP="/sbin/modprobe"
LAN="192.168.3.0/24"
LOCAL="127.0.0.0/8"

#### テーブルの初期化。
$IPT -t filter -F
$IPT -t filter -X
$IPT -t nat -F
$IPT -t mangle -F

#### policy を全て DROP にする。
$IPT -P FORWARD DROP
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT

#### module を組み込む
$MP ip_nat_ftp
$MP ip_conntrack_ftp
595 名前：login:Penguin [03/03/15 20:38 ID:nzpsL4hj]: ##################
#### 目的別チェーンの作成
### chain to LOG ant then DROP
$IPT -N LOG_AND_DROP
$IPT -A LOG_AND_DROP -j LOG --log-level warning --log-prefix "iptables:" #-m limit
$IPT -A LOG_AND_DROP -j DROP
$IPT -A LOG_AND_DROP -j RETURN

#### chain for the packet from WAN
$IPT -N WANIN
#とりあえず問答無用でDROPな奴
$IPT -A WANIN -s 192.168.0.0/16 -j DROP
# 接続が確立しているパケットは許可する( but limit not well-known ports)
$IPT -A WANIN -p tcp --dport 1024: \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -p udp --dport 1024: \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -p icmp \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -j RETURN
596 名前：594 [03/03/15 20:38 ID:nzpsL4hj]: #### chain for the packet to WAN
$IPT -N WANOUT
# SMB プロトコルが外に洩れない様にする。
$IPT -A WANOUT -p tcp --dport 137:139 -j DROP
$IPT -A WANOUT -p tcp --sport 137:139 -j DROP
$IPT -A WANOUT -p udp --dport 137:139 -j DROP
$IPT -A WANOUT -p udp --sport 137:139 -j DROP
# Windows 2000 がローカルに存在すれば以下の設定
$IPT -A WANOUT -p tcp --dport 445 -j DROP
$IPT -A WANOUT -p tcp --sport 445 -j DROP
$IPT -A WANOUT -p udp --dport 445 -j DROP
$IPT -A WANOUT -p udp --sport 445 -j DROP
# ローカル IP が外に洩れない様にする。
$IPT -A WANOUT -d 10.0.0.0/8 -j LOG_AND_DROP
$IPT -A WANOUT -d 172.16.0.0/12 -j LOG_AND_DROP
$IPT -A WANOUT -d $LOCAL -j LOG_AND_DROP
$IPT -A WANOUT -d $LAN -j LOG_AND_DROP
$IPT -A WANOUT -j RETURN
597 名前：594 [03/03/15 20:40 ID:nzpsL4hj]: ##################
#### link each chains
#### INPUT ####
# loopback
$IPT -A INPUT -i lo -j ACCEPT
# from LAN
$IPT -A INPUT -i eth1 -s $LAN -j ACCEPT
# from WAN
$IPT -A INPUT -i eth0 -j WANIN
# allow the tcp packets using the particular ports
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT #ssh
$IPT -A INPUT -p udp --sport 67 --dport 68 -j ACCEPT #dhcp
#### FORWARD ####
# from WAN to LAN
$IPT -A FORWARD -i eth0 -o eth1 -j WANIN
# from LAN to WAN
$IPT -A FORWARD -i eth1 -o eth0 -j WANOUT
# from LAN
$IPT -A FORWARD -i eth1 -j ACCEPT
#### OUTPUT ####
$IPT -A OUTPUT -o eth0 -j WANOUT

# ACCEPT されなかったパケットをLOG_AND_DROPチェーンへ
$IPT -A INPUT -j LOG_AND_DROP
$IPT -A FORWARD -j LOG_AND_DROP

####################
# IP Masquerade
$IPT -t nat -A POSTROUTING -o eth0 -s $LAN -j MASQUERADE
# enable the system ip-forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
598 名前：594 [03/03/15 20:42 ID:nzpsL4hj]: 改行つめて貼ったら汚くなっちゃたよ(ノ_<。)
599 名前：login:Penguin [03/03/16 02:55 ID:eE7j3f7z]: おおお、すごいね
600 名前：login:Penguin mailto:sage [03/03/16 04:47 ID:Y6J28mzl]: >>595
spoofing パケットをステるんなら、クラス C だけでなく、
127.0.0.0/8
169.254.0.0/16
192.0.2.0/24
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
224.0.0.0/4
240.0.0.0/5
248.0.0.0/5
255.255.255.255/32
0.0.0.0/8
くらいまとめて指定してもいいかも。クラス A や B からの結構
くるからさ。でもそれ以外は見た事ないけど。
601 名前：594 [03/03/16 14:30 ID:6euDQuYk]: >>600
LoopBack:
127.0.0.0/8

RFC1918 private network:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

Class D multicast:
224.0.0.0/4

broadcast:
255.255.255.255/32

Link Local Networks
169.254.0.0/16

Historical Broadcast:
0.0.0.0/8

TEST-NET:
192.0.2.0/24

Class D Reserved:
240.0.0.0/5

Unallocated:
248.0.0.0/5
602 名前：594 [03/03/16 14:35 ID:6euDQuYk]: >>601
調べて、まとめてみた。
どれもネットワークを超えて利用されることはないはずのパケットですね。
っつーわけでspoofing対策に落としといてよさそうです。

>>600
ご指導ありがとうございまっす！！
603 名前：login:Penguin mailto:sage [03/03/17 04:16 ID:fopxZgKq]: どうでもいいことだが、
240.0.0.0/5
248.0.0.0/5
は、まとめて 240.0.0.0/4 とできる。いずれにしろこんなパケットやって
きたことはないが(w

>>602
255.255.255.255/32 は、IP レベルのブロードキャストだからネットワーク
を越えても当然。でも、運用上 LAN 外には出さないし、入れさせもしない
のが普通というだけで。内部にサブネットがいくつかあるときに、これを落とす
と困る場合もある
604 名前：login:Penguin mailto:sage [03/03/17 08:52 ID:h5R/6c/p]: >>603
255.255.255.255/32 を何に使うのか
具体例きぼん。
605 名前：login:Penguin mailto:sage [03/03/17 11:59 ID:XTt7yZAl]: DHCP(BOOTP) DISCOVER
606 名前：594 [03/03/17 14:46 ID:pEk7m8rB]: ブロードキャストパケットってネットワークを越えんですか？
マスタリングTCP/IPの入門編とか見ると同一ネットワーク内のみってなってるんで
単純に越えないもんだと思ってました(鬱

でもspoofingを防ぐっていう意味だと
sportが240.0.0.0/5みたいなパケットは別に特権与えてる(信頼できるホストにしている）
わけでもないので、特に効果はないですかね？

sportが192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 127.0.0.0/8
の奴は落としておくのを推奨ってことでOKかな。
607 名前：login:Penguin mailto:sage [03/03/18 03:09 ID:p+lGsR21]: お前が土浦ペドの西村か？返事しろ、
素人童貞で、幼女のポルノ写真集めが趣味のクソ野郎、
てめえのＰＣにどれだけの写真があるんだ、
何回それでマスかいた？飽きるとＹＢＢ叩きか
返事しろ、キチガイ

現在の土浦のペド西村のＩＤ
↓↓↓↓↓↓↓
　ID:XrjhRpOa

T.Nishimura 　omurin@hamal.freemail.ne.jp　

収容局は土浦荒川沖局

www5.wisnet.ne.jp/~hotta9/main/menu01.html
児童ポルノ法改正案反対サイト　のオーナーだよ。

幼児とセックスしたい畜生にも劣るペド野郎はコイツです。

土浦のペド　西村いるか？返事しろ。
このＹＢＢなんとかの糞スレは、またおまえが作ったのか？
毎度、毎度の病的粘着質、おまえ、はやく市ねよ。
608 名前：login:Penguin [03/03/19 09:49 ID:ht64CtnN]: ↑誤爆か？
609 名前：login:Penguin mailto:sage [03/03/19 23:28 ID:PHGjwlCH]: >>608

糞プロバイダー Yahoo!BBの解約に踏み切れ！
pc3.2ch.net/test/read.cgi/isp/1043055118/

への着弾が…こっちへ、
610 名前：login:Penguin [03/04/04 00:20 ID:GX3ZXYFI]: ﾆﾔﾆﾔ(･∀･)
611 名前：login:Penguin [03/04/08 10:25 ID:gXTQqR0I]: ﾆﾔﾆﾔ(･∀･)
612 名前：login:Penguin [03/04/10 22:46 ID:gj/nF9SC]: iptables使いたくて本見ながらやってるんですけど、なぜかうまくいきません。
ちょっと見てください。
-A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 22 -i eth0 -j ACCEPT
-A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 80 -i eth0 -j DROP
デフォルトでINPUTをDROPにしてsshとwwwを通すために上の二行をiptablesを追加しようとしたら
一行目はうまくいくのに、二行目で args --dport はunknownだっていうエラーが出るんです。
これはいったいどういうことなんでしょうか？？ iptablesのヴァージョンは1.2.6aとなってます。
613 名前：login:Penguin [03/04/10 22:49 ID:gj/nF9SC]: なんかまちがってますね、二行目もACCEPTでした。すいません
614 名前：login:Penguin mailto:sage [03/04/11 04:42 ID:e37xfRgZ]: >>612
本当に本を見ながら設定しているのかと問い詰め（ry
615 名前：山崎渉 mailto:（＾＾） [03/04/17 12:01 ID:KRn99/cy]: （＾＾）
616 名前：login:Penguin [03/04/17 17:11 ID:QgET5h2K]: ﾆﾔﾆﾔ(･∀･)
617 名前：山崎渉 mailto:（＾＾）sage [03/04/20 05:51 ID:xFRXxEWb]: 　　 ∧＿∧
　　（　　＾＾）＜ぬるぽ（＾＾）
618 名前：login:Penguin [03/04/24 19:02 ID:t7W9/H4z]: できるだけシンプルにIPマスカレードができるよう設定してみました。
みなさんのようにプライベートアドレスやNetBIOSを防いだりとかして
ないのですが、これではちょっとシンプルすぎるでしょうか…？

#!/bin/sh
# Load kernel modules
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
# Enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
# Set valiables
IPTABLES=/sbin/iptables
EXTIF=ppp0
# Initialize all chains
$IPTABLES -Z
$IPTABLES -F
$IPTABLES -X
# Setup default policy
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
# Create new chain "block"
$IPTABLES -N block
$IPTABLES -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A block -m state --state NEW -i ! $EXTIF -j ACCEPT
$IPTABLES -A block -m state --state NEW,INVALID -i $EXTIF -j REJECT
$IPTABLES -A block -j DROP
# Rules for INPUT chain
$IPTABLES -A INPUT -j block
# Rules for FORWARD chain
$IPTABLES -A FORWARD -j block
# IP Masquerade
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
619 名前：618 [03/04/24 19:13 ID:t7W9/H4z]: 補足です。下記のような構成でルータ/サーバにするつもりですが、サーバとしての
設定はとりあえず後回しになっていて、しばらくはNAT箱としてのみ使用するつもりです。

[ADSLモデム]---[ppp0=eth0 ルータ/サーバ eth1]---[スイッチ]---[LANクライアント2台]
620 名前：覆面ライダー [03/04/25 20:12 ID:uphM47p+]: Linuxをルータにもサーバにもしない場合の
パケフィルの例ってどっかにありますか？
Linuxマシンをルータとして使う場合の例は
ネット上にいくらでも見つかるんですけどね。
621 名前：覆面ライダー mailto:sage [03/04/25 20:18 ID:uphM47p+]: いちお市販のDSLルータで簡単なパケフィルは設定してんだけどね。
622 名前：覆面ライダー mailto:sage [03/04/25 20:22 ID:uphM47p+]: ぜんぶ塞げってのはなしですよ。
とりあえずネットサーフィンとメールのやりとりくらいはやりたいですから。
できればメッセンジャーも使いたいですね。
623 名前：login:Penguin mailto:sage [03/04/26 09:45 ID:yy7AkdFn]: >620
使ってないサービスは全て塞げ。
分かってるかもしれないけど、Port80 塞いだからって
WEB見れないって訳じゃない。

DSLルータ使ってるって事は、プライベートネットワークでしょ。
クライアントとして使ってるなら、あまり気にしなくても良いと思うよ。
624 名前：覆面ライダー mailto:sage [03/04/28 13:40 ID:evYU0gW+]: >>623
アドバイスどうもありがとうございます。
625 名前：login:Penguin mailto:sage [03/05/03 02:04 ID:+7/Jgwc/]: iptables -N log-drop
iptables -A log-drop -j LOG --log-prefix "Packet drop"
iptables -A log-drop -j DROP

# kick .kr
iptables -A FORWARD -s 61.32.0.0/13 -j log-drop
iptables -A FORWARD -s 61.40.0.0/14 -j log-drop
iptables -A FORWARD -s 61.72.0.0/13 -j log-drop
iptables -A FORWARD -s 61.80.0.0/14 -j log-drop
iptables -A FORWARD -s 61.84.0.0/15 -j log-drop
iptables -A FORWARD -s 61.96.0.0/12 -j log-drop
iptables -A FORWARD -s 61.248.0.0/13 -j log-drop
iptables -A FORWARD -s 202.6.95.0/24 -j log-drop
iptables -A FORWARD -s 202.14.103.0/24 -j log-drop
iptables -A FORWARD -s 202.14.165.0/24 -j log-drop
iptables -A FORWARD -s 202.20.82.0/23 -j log-drop
iptables -A FORWARD -s 202.20.84.0/23 -j log-drop
iptables -A FORWARD -s 202.20.86.0/24 -j log-drop
iptables -A FORWARD -s 202.20.99.0/24 -j log-drop
iptables -A FORWARD -s 202.20.119.0/24 -j log-drop
iptables -A FORWARD -s 202.20.128.0/17 -j log-drop
iptables -A FORWARD -s 202.21.0.0/21 -j log-drop
iptables -A FORWARD -s 202.30.0.0/15 -j log-drop
iptables -A FORWARD -s 202.189.128.0/18 -j log-drop
iptables -A FORWARD -s 203.224.0.0/11 -j log-drop
626 名前：login:Penguin mailto:sage [03/05/03 02:07 ID:+7/Jgwc/]: iptables -A FORWARD -s 210.80.96.0/19 -j log-drop
iptables -A FORWARD -s 210.90.0.0/15 -j log-drop
iptables -A FORWARD -s 210.92.0.0/14 -j log-drop
iptables -A FORWARD -s 210.96.0.0/11 -j log-drop
iptables -A FORWARD -s 210.178.0.0/15 -j log-drop
iptables -A FORWARD -s 210.180.0.0/14 -j log-drop
iptables -A FORWARD -s 210.204.0.0/14 -j log-drop
iptables -A FORWARD -s 210.216.0.0/13 -j log-drop
iptables -A FORWARD -s 211.32.0.0/11 -j log-drop
iptables -A FORWARD -s 211.104.0.0/13 -j log-drop
iptables -A FORWARD -s 211.112.0.0/13 -j log-drop
iptables -A FORWARD -s 211.168.0.0/13 -j log-drop
iptables -A FORWARD -s 211.176.0.0/12 -j log-drop
iptables -A FORWARD -s 211.192.0.0/10 -j log-drop
iptables -A FORWARD -s 128.134.0.0/16 -j log-drop
iptables -A FORWARD -s 141.223.0.0/16 -j log-drop
iptables -A FORWARD -s 143.248.0.0/16 -j log-drop
iptables -A FORWARD -s 147.46.0.0/15 -j log-drop
iptables -A FORWARD -s 155.230.0.0/16 -j log-drop

ny で .kr と繋がらないようにするには、こんなとこなのかな。
rule が多いけど処理が重くならないかしらん。
香港とか中国も登録するとこの数倍になってしまうけれど。
627 名前：login:Penguin [03/05/05 18:34 ID:x6zB6GKj]: ながー
628 名前：login:Penguin mailto:sage [03/05/06 01:03 ID:7qHA9qoc]: こんな感じ↓でLinuxをルータにもサーバにもしないで
使ってるな～
もしかして、問題ありあり???……………………………ギャ～!!!

#eth0はインターネット

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

iptables -A INPUT -i eth0 -m state --state INVALID,NEW -j LOG
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT

iptables -A FORWARD -i eth0 -j LOG

iptables -A OUTPUT -o eth0 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
629 名前：login:Penguin [03/05/06 17:28 ID:5eBOzVs7]: iptables -Z
iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 23 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 123 -j ACCEPT
iptables -A INPUT -p tcp --dport 1812:1813 -j ACCEPT

ってやると、クライアントからこのサーバー（メールサーバー）を経由して他のメールサーバーへメールを送信できないのですがどうしてでしょう。
mailqに溜まってしまいます。

iptables -P FORWARD ACCEPT
としてもダメです。
iptables -P INPUT ACCEPT
とすれば、当たり前ですがうまくいきます。
630 名前：login:Penguin mailto:sage [03/05/06 22:17 ID:sa3eOmJ2]: 返りパケット受け取れんだろ
631 名前：!=629だけど mailto:sage [03/05/06 23:59 ID:gf3c9ny0]: ん? ACKも落としてないような。
IDENT はせいぜい反応遅くなる程度だし。
あー、もうメル鯖管理してないから忘れてしまった。
632 名前：629 [03/05/07 17:41 ID:wvh/G8hH]: 返りパケット？
port25だけじゃダメなの？
633 名前：!=629だけど mailto:sage [03/05/07 19:50 ID:IaE1EX1W]: あー、わかった。
こっちのメル鯖から他所に出すとき、over 1000(あたり、記憶曖昧)の
非特権ポートから相手の 25 に接続するわけよ。
>>629 では、さらに
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
とかすればいいんでない?
または非特権ポートへの接続を全部許可するという方法もあるけど…。
634 名前：login:Penguin mailto:sage [03/05/07 20:48 ID:Y3LR/VhU]: 629 は iptables や ipchains の解説文書を読んで知識の整理をした方がいいだろ。
何故おかしいのかすぐ判らんようだから。このスレは曖昧な知識のままでは役に
立たんしな(w
635 名前：629 [03/05/08 17:55 ID:wpIU/tkn]: MTA同士の通信でも25-25じゃなくover1000-25の通信になるということね。
ステートフルパケットインスペクションを使うわけね。ありがとう。
636 名前：login:Penguin mailto:sage [03/05/10 06:10 ID:ps9rcmzo]: --dport
--sport
637 名前：俺様って？ [03/05/12 20:23 ID:I3+5+FZb]: いったい何様？？？
むしろウザイ死ね。
貴様のような人間はこの世界に必要ない。
逝ってよし！！
むしろ逝け！！
638 名前：login:Penguin mailto:sage [03/05/12 20:39 ID:2vTb3rak]: ただいま還りました～
639 名前：login:Penguin [03/05/12 21:50 ID:mWgq7qBD]: これ良さそうっす。

Red Hat Linux Firewalls
IPTablesを使ったファイアウォールとNATの実装に関する内容は
読みごたえ十分である。ここまで機能を網羅し、実例を挙げて
説明してある書物は初めてだろう。

ttp://www.sbpnet.jp/books/review/art.asp?newsid=218
640 名前：_ mailto:ｓａｇｅ [03/05/12 21:50 ID:sDYaf/2W]: 　　（●´ー｀●）/　＜先生！こんなのがありました！
www.yoshiwara.susukino.com/moe/jaz08.html
yoshiwara.susukino.com/moe/jaz10.html
www.yoshiwara.susukino.com/moe/jaz03.html
yoshiwara.susukino.com/moe/jaz09.html
www.yoshiwara.susukino.com/moe/jaz06.html
yoshiwara.susukino.com/moe/jaz05.html
www.yoshiwara.susukino.com/moe/jaz01.html
yoshiwara.susukino.com/moe/jaz02.html
www.yoshiwara.susukino.com/moe/jaz07.html
yoshiwara.susukino.com/moe/jaz04.html
641 名前：login:Penguin [03/05/18 05:43 ID:bSBsOoui]: iptablesなんかの自動設定ツールって使ってるやついるのかなあ
642 名前：login:Penguin mailto:sage [03/05/18 07:51 ID:lXSrMq3L]: >>641

軟弱なLinuxユーザにならたくさんいるはずだ。
643 名前：login:Penguin mailto:sage [03/05/18 15:09 ID:3fVk0kaS]: >>641
もれの会社の後輩は使うなといっても使う。
それでいていまだに思うとおりに設定できんと言っとる。
困ったもんだ。
644 名前：login:Penguin [03/05/18 18:57 ID:aZwyy8u1]: >>643 ハクッたれハクッたれ、素人には挫折が一番（ｗ
645 名前：login:Penguin mailto:sage [03/05/18 19:32 ID:jH81YeVu]: >>641
そんなものが存在するのですか？
646 名前：login:Penguin mailto:sage [03/05/18 19:54 ID:DitB7FwD]: 知らないなら知らないで別に困らないだろう。
647 名前：login:Penguin mailto:sage [03/05/18 19:55 ID:Y+BpJwSK]: >>646
知ってたら便利じゃん
648 名前：login:Penguin mailto:sage [03/05/19 00:15 ID:5sCrBiuF]: lokkitのことでしょ。
649 名前：login:Penguin mailto:sage [03/05/19 00:19 ID:DPaiI0na]: Easy Firewall Generator for IPTables
easyfwgen.morizot.net/gen/

こんなのもある
650 名前：login:Penguin mailto:sage [03/05/19 11:29 ID:agrIbUtz]: webminでもあれこれできますな
651 名前：login:Penguin mailto:sage [03/05/19 15:56 ID:y7LYDyhh]: pingに応答しないようにするスクリプトを教えていただけないでしょうか
652 名前：login:Penguin mailto:sage [03/05/19 16:45 ID:SRz0lKrH]: #!/bin/sh
halt
653 名前：login:Penguin mailto:sage [03/05/19 20:20 ID:WwFWHDXI]: >>651
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
だったっけ？
654 名前：login:Penguin mailto:sage [03/05/21 18:39 ID:nL9KCPvu]: >>651
echo 1 > /proc/sys/net/ipv4/icmp_ignore_all
655 名前：山崎渉 mailto:（＾＾） [03/05/22 01:54 ID:VfjbtMwi]: ━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━―
656 名前：login:Penguin [03/05/22 14:54 ID:uAd57jrG]: ﾆﾔﾆﾔ(･∀･)
657 名前：login:Penguin mailto:sage [03/05/24 08:31 ID:CD1FcCru]: INPUTをDROPにして指定ポートだけ通してるんですけど、
DROPとREJECTってどう違うんですか？
658 名前：login:Penguin mailto:sage [03/05/24 12:45 ID:lpqyp6ka]: 発信元にエラーを返すか返さないか
659 名前：login:Penguin [03/05/25 17:48 ID:0DsBJvnF]: 657ではないですけど、
INPUTは初めDROPにして個別のポートを許可していく、ってのはわかるんですけど、
OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
これって帰りパケットがポートを指定できないからですか？

WINならNORTONとかでアプリケーションごとに許可、不許可を制御できますけど
そういうことはできないんですか？
660 名前：login:Penguin [03/05/25 23:21 ID:tNcj3C/f]: >>659
＞OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
＞これって帰りパケットがポートを指定できないからですか？

OUTPUTもINPUTと同じように設定できるよ。INPUTほどの需要はないだろうけど。
あと、-t nat で MASQUERADE とかをすれば、OUTPUT ってあまり意味がないことがけっこうある。
661 名前：login:Penguin [03/05/25 23:24 ID:+UFjIiBi]: elife.fam.cx/
662 名前：login:Penguin mailto:sage [03/05/25 23:37 ID:RjF4OPfs]: ttp://www.amazon.co.jp/exec/obidos/ASIN/4822209318/ref%3Dlm%5Flb%5F7/249-1574439-8905158
663 名前：659 mailto:sage [03/05/26 01:07 ID:MWnWBy5f]: >>660
なるほど、ありがとうございます。いじってみます。
664 名前：login:Penguin [03/05/27 21:00 ID:dUqN+tj1]: iptablesを弄りはじめた者です。
参考に、技術評論社の「はじめてのファイアウォール」買いました。

192.168.1.0/255.255.255.0　　　　　　 192.168.0.0/255.255.255.0
win2k -------------- eth0 RedHat8 eth1 ----- ダイヤルアップ
　 .101　　　　　　　.1　　　　　　　 .1　　 .254　　ルーター

こんな構成で、Win2kのpingで、192.168.0.254してもタイムアウト
になってしまいます。

# /sbin/sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1
にはなっていて、
# /sbin/iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.0.1
もしてみました。

何か基本の設定でミスしてますでしょうか？
665 名前：山崎渉 mailto:（＾＾） [03/05/28 16:41 ID:3t6i6zxR]: 　　　　∧＿∧
ﾋﾟｭ.ｰ　(　　＾＾）＜これからも僕を応援して下さいね（＾＾）。
　　＝〔~∪￣￣〕
　　＝ ◎――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉
666 名前：login:Penguin mailto:sage [03/05/28 19:15 ID:TJoLXDe+]: その質問には重大な欠陥があるため
誰も答えられません>>664
667 名前：664 [03/05/28 19:31 ID:HTjMuq1u]: >>666

重大な欠陥‥‥‥‥‥‥‥‥？？

あ、OSが書いてないですね。
OSは、RedHat8.0です。
あとはなんだろう？iptablesのバージョンとか必要ですか？
RedHat8をインストールしたままなので、iptables-1.2.6a-2
になってます。

とにもかくにも、192.168.1.0ネットワーク側から、192.168.0.0側にPingを
通したいです。
668 名前：login:Penguin [03/05/28 21:11 ID:wAyGaDP6]: >>667
いやそもそもroutingの設定は？
routeの結果を貼りなよ。
669 名前：動画直リン [03/05/28 21:13 ID:mI34jXYU]: homepage.mac.com/hitomi18/
670 名前：664 [03/05/28 22:19 ID:sTqi3jRG]: >>668

routeの結果ですが、次のようになっています。

# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
192.168.0.0 * 255.255.255.0 U 0 0 0 eth1
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 192.168.0.254 0.0.0.0 UG 0 0 0 eth1
671 名前：login:Penguin [03/05/28 22:54 ID:wAyGaDP6]: >>670
routeの設定は問題ないようだが
そもそもredhat8からダイヤルアップルータにはpingは通っているの？
ダイヤルアップルータ自体のルーティングの設定は？

それとwin2kはDHCP？それとも固定で101を振ってるの？
固定だとは思うけど、もしDHCPならdhcpd.confの内容を確認。

win2k-ルータLAN間、win2k-ルータWAN間でもpingが通っているのかなどを
試してまずどこの問題かを切り分けなよ。
672 名前：664 [03/05/28 23:11 ID:sTqi3jRG]: >>671

それは大丈夫です。squidを入れてみたら、win2kからサイトは見れます。(3128に設定すれば)

RedHat8 → Win2k や、RedHat8 → ルーター間pingは正常です。
Win2k → RedHat8 もping通ります。

ただ、192.168.1.101は、dhcpが振った結果です。
dhcpで、>>664の図の様な事をするには、なにか記述が必要でした
でしょうか？
手持ちの参考書(ネットワークサーバー構築ガイド等)では見付けら
れませんでしたので、もしなにかありましたら教えてください。
673 名前：bloom [03/05/28 23:13 ID:mI34jXYU]: homepage.mac.com/ayaya16/
674 名前：login:Penguin [03/05/29 00:12 ID:1DRPv6wX]: >>672
dhcpd.confの設定に
option routers 192.168.1.1
は入ってますか。つまりwin2000のgwがどうなっていますか。
ipconfigで調べてください。

Win2k->Redhat8のWan側へのpingはどうですか。

# echo 1 > /proc/sys/net/ipv4/ip_forward
とかやってからpingを打ってみたらどうですか。
675 名前：原田 [03/05/29 07:39 ID:5/9Q5GYM]: iptablesで50代のPCをインターネットへマスカレードしてるんでつけど、
たまにインターネットに接続できなくなるPCが出ます。
ただし、他のPCからインターネットへは接続できてますし、
接続できなくなったPCでもすでにEstablishedなTCP接続は通信できてます。
つまり、新たなTCPセッションが張れないようなのです。

これって、マスカレードのテーブルとかがいっぱいになってしまっているのかな？
特にカーネルのログには何も出てないのだけど。詳しい方お願いします～
676 名前：login:Penguin [03/05/29 10:31 ID:1DRPv6wX]: これはiptablesの問題ではなく
カーネル自体の同時コネクション（セッション）数の問題ではないかと思います。

ゲートウェイ向けの適切なページが見つからなかったが
この辺ですかね。サーバの事例ですけど
ttp://www8.ocn.ne.jp/~diary/linux/tuning.html

この辺を参考に同時コネクション（セッション）数を増やすようにカーネルの再構築を
してやればいいんじゃないかと思います。
677 名前：login:Penguin [03/05/29 15:22 ID:5/9Q5GYM]: なるほど・・・
そういうことが原因とも考えられるんですね。
ありがとうございます。
678 名前：_ mailto:sage [03/05/29 15:29 ID:yrkPpXVA]: homepage.mac.com/hiroyuki43/hankaku10.html
679 名前：login:Penguin mailto:sage [03/05/29 19:32 ID:Gz1n6K9b]: 192.168.0.*から外に出る窓系パケットを阻止するには？
680 名前：664 [03/05/29 19:52 ID:WuQG5EFD]: >>674

option routers 192.168.0.254

が設定してありました。
試しに、192.168.1.1にしたら、ping通りました。ありがとうございます。

>>664の図だと、ゲートウェイは192.168.0.254なのでそう設定したの
ですが、LAN側から見れば、192.168.1.1がゲートウェイって事になる
という理解で良いのでしょうか？
681 名前：login:Penguin mailto:sage [03/05/29 21:35 ID:7ylBZWMl]: っていうか常識
反省しる
682 名前：login:Penguin mailto:sage [03/05/29 21:36 ID:7ylBZWMl]: ＬＡＮじゃないとＬＡＮ側のマシンから192.168.1.1にもpingが飛ばんはず
683 名前：664 [03/05/29 21:56 ID:WuQG5EFD]: >>681

はぁ、すみません。
684 名前：login:Penguin [03/05/29 22:14 ID:qBOBeDWk]: ありゃま。このスレまだあったんだ。

乙～
685 名前：674 [03/05/29 22:17 ID:1DRPv6wX]: >>680
というかGWというのはホスト側のルーティングテーブルで見つからない
IPがある時にどこを通じて探しに行くかを指定するためのものなので
次のステップでたどるIPを指定します。今回の場合はルータのLAN側の
IPになります。

ただ反省はしる
686 名前：_ mailto:sage [03/05/29 22:22 ID:AXKLPNQk]: homepage.mac.com/hiroyuki43/jaz10.html
687 名前：login:Penguin [03/06/02 23:46 ID:bhT8EpXU]: (･∀･)renice!
688 名前：login:Penguin mailto:sage [03/06/02 23:49 ID:Kvuxg1vP]: hosts.allow/denyで十分
689 名前：login:Penguin [03/06/11 00:58 ID:YUlq9U2M]: age
690 名前：sage [03/06/11 21:51 ID:HxuBPB3T]: winnyでもやろうと思って
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to 192
.168.1.3
って書いたんだけどノードに接続されない。なんでだろ？
691 名前：login:Penguin mailto:sage [03/06/11 22:48 ID:J8VaLWEp]: >>690
INPUT や FORWARD はどうなってる?
692 名前：sage [03/06/11 23:21 ID:HxuBPB3T]: こんなかんじ　>691
# Flush chains
/sbin/iptables -F
#
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT DROP
/sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -d 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A INPUT -m state --state ESTABLISH,RELATED -j ACCEPT
# Flush Nat Rules
/sbin/iptables -t nat -F
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
/sbin/iptables -A FORWARD -m state --state ESTABLISH,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p icmp -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p udp --dport 53 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 110 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 25 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 20:21 -j ACCEPT
## for winny
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
/sbin/iptables -t nat -A PREROUTING -p udp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
試行錯誤中です・・・
693 名前：login:Penguin mailto:sage [03/06/11 23:21 ID:NSKvgHnY]: >>690
eth0ってのが謎だ。
ルータ使ってるなら、NATはルータのところでやらないと意味ない。
694 名前：sage [03/06/11 23:24 ID:HxuBPB3T]: >692
ちなみに
eth0が内向き、eth1が外向きなDSL環境です。
695 名前：login:Penguin mailto:sage [03/06/12 00:52 ID:Q2F7oLMu]: 7721 -i eth0 -j
7721 -i eth0 -j
ここらのデバイスが怪しそうだね
696 名前：sage [03/06/12 00:56 ID:0rWbDqKn]: あやしいというと？
697 名前：login:Penguin mailto:sage [03/06/12 01:27 ID:KEQ6Z9u5]: >>696
sageを書くところ間違えてるぞよ。
698 名前：login:Penguin mailto:sage [03/06/12 07:37 ID:7Hrv7mJB]: >>692
FORWARD でも 7721 を許可しないとダメじゃない?
/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j ACCEPT
んー、こんな感じのルールを追加かなぁ。未確認だけど。
699 名前：login:Penguin mailto:sage [03/06/12 07:41 ID:7Hrv7mJB]: >>694
って、君のルールでは INPUT も OUTPUT も eth0 になってるけど、大丈夫?
700 名前：login:Penguin [03/06/12 15:42 ID:wXoAXDh8]: 700（σ´Д｀）σｹﾞｯﾂ!　　
701 名前：login:Penguin [03/06/12 19:57 ID:0rWbDqKn]: >699　698
INPUT OUTPUTともeth0にしないと外に出て行けない模様・・・。

/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j
ACCEPT
も足してみたがだめぽ。

何が足りないのでしょう。
BBSポートは開けなくても関係ないのですよね？
702 名前：login:Penguin mailto:sage [03/06/12 21:50 ID:IUhvIjAF]: 俺は下の設定だけでOKだよ。

# Winny用設定
$IPTABLES -t nat -A PREROUTING -p tcp --dport 7743 -i eth1 -j DNAT --to 192.168.1.8

eth1　は外向きね
703 名前：login:Penguin [03/06/13 08:01 ID:CHhh0mQD]: ##for winny
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 7721 -j ACCEPT
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth1 -j DNAT --to 192.168.1.3

702を参考にこれだけにしてみた。
winny v.1.14
ノードは「切断」のまま。
704 名前：login:Penguin [03/06/13 20:46 ID:CHhh0mQD]: 702さん。
winny以外のiptableの中身を見せてもらえませんか？
705 名前：login:Penguin [03/06/14 23:50 ID:x4RlFOIG]: ## for winny
/sbin/iptables -A PREROUTING -t nat -p tcp -i eth1 --dport 7743 -j DNAT --to 192.168.1.3
/sbin/iptables -A FORWARD -p tcp -d 192.168.1.3 --dport 7743 -i eth0 -j ACCEPT

上記のように変更(portをデフォルトに変更)。
後、下記を追加。

# 外部に転送される接続開始パケットを許可
/sbin/iptables -A FORWARD -m state --state NEW -i eth0 -j ACCEPT

とすると、とりあえず検索リンクノードがつながった。転送ノードも。
が、ポート警告が多発。何が原因だろー・・・。
706 名前：login:Penguin [03/06/15 12:28 ID:azlVQyvB]: 結局、これが必要でした。

/sbin/iptables -A FORWARD -m state --state NEW -i eth1 -j ACCEPT
707 名前：login:Penguin [03/06/22 19:40 ID:fmmjVQJB]: (･∀･)renice!
708 名前：login:Penguin mailto:sage [03/06/22 21:57 ID:UWWv2/TA]: (･∀･)nurse!!
709 名前：login:Penguin [03/06/24 15:18 ID:g0iS44ms]: 次の方どうぞ～
710 名前：login:Penguin [03/06/24 19:34 ID:hmazE3h+]: では次です。
こてこてのWIN＆NORTONユーザーです。
RedHat8.0です。iptablesで↑みたいにアプリケーション(デーモン？)ごとに
in&outを設定できないのでしょうかあと、目的地アドレスなど...、ワイルドカードは設定できますか？
できるのであればその書式を教えてください。
711 名前：_ mailto:sage [03/06/24 19:46 ID:Ff9f5Auo]: homepage.mac.com/hiroyuki44/
712 名前：login:Penguin mailto:sage [03/06/24 23:13 ID:a09y3Re5]: >>710
具体的に何をやりたいのかを書いてくれないと、アドバイスできないよ。

> アプリケーション(デーモン？)ごとにin&outを設定できないのでしょうか
それはポートの指定という事?
> 目的地アドレスなど...
--to-destination とか?
> ワイルドカードは設定できますか？
何についてワイルドカードを指定したいの?

とりあえず、man 8 iptables とか JF の関連文書をさらっと流し読みする
事をおすすめするよ。
713 名前：login:Penguin mailto:sage [03/06/25 00:10 ID:KwvN6Qqp]: >>712
ありがとうございます。www.linux.or.jp/
のドキュメントを探ってみました。ずいぶん詳しく書いてあるんですね。
今まで検索で探した個人サイトと薄い雑誌片手にいじってたので
灯台下暗しな感じです。とりあえずここ読んでいろいろやってみます。
714 名前：login:Penguin [03/07/01 12:20 ID:WonPOf/8]: (･∀･)renice!
715 名前：login:Penguin [03/07/01 19:34 ID:42y6vZ+A]: ほいほい次の方どうぞ～
716 名前：login:Penguin mailto:sage [03/07/01 23:04 ID:fS8NPmw8]: 窓OSが外に出すパケットって何がありますかねぇ
くだらんパケットを外に出したくないのだが…
>>600,601だけでいいのかな？
717 名前：login:Penguin mailto:sage [03/07/02 04:54 ID:zXlsx5Mm]: >>716
> 窓OSが外に出すパケットって何がありますかねぇ
いろいろ。

ちなみに、>>600,601 は外に出るパケットじゃないぞ?
NetBIOS / SMB がらみをステたいんなら、
iptables -j DROP -A WAN_OUT -p tcp --sport 137:139
iptables -j DROP -A WAN_OUT -p udp --sport 137:139
iptables -j DROP -A WAN_OUT -p tcp --sport 445
iptables -j DROP -A WAN_OUT -p udp --sport 445
な感じかな。単純に。
718 名前：login:Penguin mailto:sage [03/07/02 06:34 ID:FyzJOg48]: gaintickerも遮断しないと...。
719 名前：login:Penguin mailto:sage [03/07/02 20:43 ID:inxQOqpT]: sport？ dportでなくて？
720 名前：717 mailto:sage [03/07/02 20:49 ID:H0iI59Zt]: うへ。-A WAN_OUT って何だよ! 自分の設定そのまま書いてしまったよ。
iptables -N WAN_OUT
iptables -j WAN_OUT -A OUTPUT -o ppp0
iptables -j WAN_OUT -A FORWARD -o ppp0
みたいにして適当に置換してくださいな。

>>718
gainticker って何ですか? ぐぐってもわからんかった。
721 名前：717 mailto:sage [03/07/02 20:57 ID:H0iI59Zt]: >>719
これらは s も d も同じポートなんでどっちでも OK だと
思いましたが…… なんか自信なくなってきた。
722 名前：717 mailto:sage [03/07/02 22:20 ID:H0iI59Zt]: >>719
いろいろ検索してみたら、やっぱり dport の方が正しいみたい。
それと、OUTPUT ではなくて -t NAT -A PREROUTING で弾いてる
例も見つかった。
723 名前：login:Penguin mailto:sage [03/07/03 01:01 ID:ht5694mz]: この窓系パケットの吐き出しを確認されると
「こいつ電源入れたな、ﾌﾌﾌﾌ」とか覗き見されているような気がする悪寒
724 名前：login:Penguin mailto:sage [03/07/03 14:19 ID:dXk/b8vm]: >>718
すまそ。gaintrickerじゃなくてgain_trickler_*****.exeでした。gain_tricklerでググればいくつかでてきますね。
漏れはdivx　スパイでググッたけど。

divxコーデックのpro-free版入れると広告ソフトがバンドルされるってやつで、
具体的にはgain_trickler_*****.exeがポート80からポップアップ広告とか発生させるソフトを
勝手にインストールしにいったり。訴訟問題になってるとかどうとか。

gain_trickler_*****.exeが起動してないとdivxでエンコードできない。
アンインストールとかも、フォルダごと削除とかもダメ。
けど、起動してればオフラインでもエンコードできます。
つまり、ファイアウォールで遮断しちゃえばいいわけです。

>>710 みたいにWIN上で遮断してればいいけど、LINUXルータ使うってことになると、
クライアントの80番を遮断しなくちゃならなくて使い物にならないかな。
WIN上のアプリ、ポートを特定して遮断するiptablesの設定は漏れもわかりません。

以上はdivxコーデックのpro-free版の話で、
見るだけでいいって人はfree版だからgain_tricklerは出てこないと思います。
725 名前：login:Penguin mailto:sage [03/07/04 01:32 ID:WvGXfYby]: $iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 445 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 445 -j DROP

そとに出さないようにするにはこれでいいのかえ？
726 名前：login:Penguin [03/07/04 12:09 ID:I/1UFkk5]: (･∀･)renice!
727 名前：login:Penguin [03/07/06 23:47 ID:lEtq+gmE]: (･∀･)renice!
728 名前：login:Penguin [03/07/08 15:14 ID:nDf4bQ70]: (･∀･)renice!
729 名前：login:Penguin [03/07/10 11:46 ID:F+4jQmU5]: ちょい質問

NIC2枚刺しのマシンで1つをppp0でグローバルIP、もう１つを192.168.0.1でルーター代わりにして
192.168.0.2という別マシンにApacheを入れてポート80を外に出したりすることは
可能でしょうか?
730 名前：login:Penguin mailto:sage [03/07/10 12:22 ID:k/quGmdE]: >>729 可能。
731 名前：login:Penguin mailto:sage [03/07/10 12:57 ID:wmM20Chd]: >>729
ポートフォワードするって事? 可能です。
DNAT PREROUTING --dport --to あたりをキーワードにして検索
すれば、もこもこと出てくるかと。
732 名前：login:Penguin mailto:sage [03/07/10 13:33 ID:F+4jQmU5]: おお、出来るのね！
3枚刺しでDMZ作ると吉ですかね？まぁ2枚でもいいや出来るとわかればさっそく
IPTABLEをマスターせねば
733 名前：login:Penguin mailto:sage [03/07/11 23:55 ID:gM+iqZg7]: >>729
実際運用中。（自宅鯖なので自己満足以外の何物でもない）
734 名前：login:Penguin mailto:sage [03/07/11 23:58 ID:gM+iqZg7]: ちなみに、
eth0が内部 192.168.0.*
ppp0(eth1)を外へ
eth2がDMZ 192.168.1.*
の３枚挿し
735 名前：login:Penguin mailto:sage [03/07/12 12:01 ID:KIX2ylEa]: 4枚刺すとDMZ2とか出来るの(w
736 名前：login:Penguin [03/07/14 02:43 ID:YDflspfA]: age
737 名前：山崎渉 mailto:（＾＾） [03/07/15 11:17 ID:2JhhXBQM]: 　__∧＿∧_
　|（　　＾＾）|　＜寝るぽ（＾＾）
　|＼⌒⌒⌒＼
　＼ |⌒⌒⌒~|　　　　　　　　　山崎渉
　　 ~￣￣￣￣
738 名前：login:Penguin [03/07/15 12:04 ID:KhvjxSuE]: (･∀･)renice!
739 名前：login:Penguin [03/07/17 19:58 ID:rpTi+qmn]: 特定のIPアドレスを弾く方法がわからん…

特にカンコック
740 名前：login:Penguin mailto:sage [03/07/18 19:50 ID:oqc32GAg]: >>739
IP アドレス指定して DROP すりゃいいだけじゃないの?
741 名前：login:Penguin [03/07/20 22:47 ID:mKHQx37j]: カンコックウザー
742 名前：login:Penguin [03/07/21 06:13 ID:Ys+NsPMS]: ルータの作り方がわかりません
まず環境を書きます
PCは2台あります
ノートにRedhat9（NISが2枚）　eth0=192.168.0.2 eth1=null(pppoe用）
デスクにWindows2000（NISが2枚） eth0=192.168.0.1 eth1=null(pppoe用）
ハブが1個(port5)あります
接続はpppoe（フレッツADSL8M）です

redhatでiptablesでルーターにしたいんですがどうもNATがうまくいきません
Windows2000での設定もよくかりません
ご教授お願いします
743 名前：login:Penguin mailto:sage [03/07/21 10:14 ID:Ri0+aoIL]: >>742　>>1から読むべしコピペとEthデバイスの書き換え程度で動くよ
744 名前：login:Penguin mailto:sage [03/07/21 15:34 ID:GdFmfJHS]: >>740

もれは739じゃないんだけど

$IPTABLES -A ppp-in -s xxx.xxx.xxx.0/24 -j DROP

$IPTABLES -A ppp-out -d xxx.xxx.xxx.0/24 -j DROP

ではなんか弾いてくれないの。（私から鯖にアクセスできてしまうの）
何故
745 名前：login:Penguin mailto:sage [03/07/22 00:14 ID:SbexNa9y]: >>744
その条件の前に、xxx.xxx.xxx.0/24 を許可してしまうような設定が
されていたりしない?
そういう、条件を指定して DROP するような設定は、ルール (ppp-in
とか ppp-out) の最初の方に書いておくべきなんだけど、その辺どう?
746 名前：login:Penguin mailto:sage [03/07/22 00:16 ID:Vt8vdmWh]: 俺はこんな風に記述してる。ちゃんと拒否されるよ。
対象アドレスは/etc/sysconfig/refuse-networkファイルに列挙。

eth_wan="eth0"
addr_wan="192.168.0.253"

/sbin/iptables -t filter -N LOGDROP
/sbin/iptables -t filter -A LOGDROP -j LOG
/sbin/iptables -t filter -A LOGDROP -j DROP

/sbin/iptables -t filter -N IN_WAN
/sbin/iptables -t filter -A INPUT -i $eth_wan -d $addr_wan -j IN_WAN

for NETWORK in `cat /etc/sysconfig/refuse-network|grep -e ^[0-9]`
do
/sbin/iptables -t filter -A IN_WAN -s $NETWORK -j LOGDROP
done
747 名前：login:Penguin [03/07/22 20:05 ID:7nLOTT+A]: うちの大学のSMTPサーバは内部（***.ac.jp）からしか利用できず、
自宅から使う場合はttsshのポートフォワーディングを使って利用していました。
（WindowsマシンとADSLモデム（グローバルIP）を直結）

最近Linuxルータを構築してNAT/IPマスカレードで運用していますが、
ポートフォワーディングができなくなりました。
大学へのssh接続はできるのですが、
Some Socket(s) required for port forwarding could not be initialized.
Some port forwarding services may be available.
という警告が出るようになってメールの送信ができません。
iptablesでどういう設定をすれば、今まで通り使えるようになるでしょうか？
748 名前：747 [03/07/22 20:07 ID:7nLOTT+A]: 現在の設定は以下の通りです。
TTSSH -> Port Forwarding
「Local 10025 to remote "***.***.ac.jp" port 25(smtp)」

メーラー -> SMTPサーバ
localhost:10025

iptables （シェルスクリプト）
#!/bin/sh
IPTABLES="/sbin/iptables"
LAN="192.168.0.0/24"
# flush rules
$IPTABLES -t filter -F
$IPTABLES -t nat -F
# default policies
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
# unconditional trust in internal network
$IPTABLES -A INPUT -i eth0 -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -d $LAN -j ACCEPT
# SSH
$IPTABLES -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT
# HTTP
$IPTABLES -A INPUT -i eth1 -p tcp --dport 80 -j ACCEPT
# Established/Related Connections
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# NAT/IP Masquerede for internal network
$IPTABLES -t nat -A POSTROUTING -s $LAN -o eth1 -j MASQUERADE
749 名前：747 mailto:sage [03/07/22 20:10 ID:7nLOTT+A]: 補足
eth0が内部ネットワーク（192.168.0.0/24）で、eth1が外部（グローバルIP）です。
750 名前：login:Penguin mailto:sage [03/07/22 21:58 ID:j7zVQ0Yu]: >747

Linuxルータって大学側にあるの?
大学側にあるなら,iptablesの設定ではなくて,SSHではないの?

linuxルータで
ssh -L 10025:SMTPサーバ:25
とかやった?
751 名前：747 [03/07/22 23:28 ID:7nLOTT+A]: >>750
いえ、Linuxルータは自宅です。
ADSLモデムとWindowsマシンが直繋ぎだったのを、間にLinuxルータをはさむようにしたんです。
そうしてからttsshのポートフォワーディングが使えなくなりました。

> linuxルータで
> ssh -L 10025:SMTPサーバ:25
> とかやった?
これはルータ上で ssh 大学内サーバ -L 10025:大学SMTPサーバ:25 とやるってことでしょうか？
これをやってメーラーのSMTPサーバをルータにしてみましたが、ダメでした。
752 名前：login:Penguin mailto:sage [03/07/23 05:14 ID:50HUWmV9]: >747
10025がダメなら他のポートで試してもダメなのか？
10026とかもダメか？
すでに使用中のローカルのポートをフォワーディングに使おうとすると同じエラーがでたからさ。
もしかしたら、10025がすでに他のプロセスが使用中なのかと思って...
753 名前：login:Penguin mailto:sage [03/07/23 19:32 ID:6T7pK/+j]: >>745
　うまくいきますた。サンクスこです。
754 名前：750 mailto:sage [03/07/23 21:09 ID:8e/Usxxm]: >747
てっきり､下の図だと思ってました。
自宅PC==ルータ(自宅)====Linuxルータ(大学)－－－SMTPサーバー
＝:トンネル－:非暗号化

自宅PC==Linuxルータ(自宅)====ルータ(大学)==SMTPサーバー
なのね。

変更したのは
ADSLルータ→Linuxルータ
IPマスカレードの使用
だけですか?

自宅PCの設定は変えてないですか?

SSHの通信ができるならIptablesの設定ではないと思うけど…
とりあえず
>$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
をOUTPUT､FORWARDにも追加してもみたらどうでしょう?
-
755 名前：login:Penguin mailto:sage [03/07/24 17:02 ID:nfR1vcCX]: もの凄く初心者な質問ですみませんが。
Vine2.6、カーネルは2.4.19-0vl11使ってます。

iptablesをmodprobeコマンドで起動させたいのですが、「iptable_natなんてモジュールは
無いぞゴルァ」という返答しか返ってきません。同時にipchainが起動してはいないです
(というか最初から起動してない)iptablesのインストし忘れかと思いましたが、
ちゃんとインストールされてました。きっと単純なことなんだろうけど、何が足りないのかわからないです...
756 名前：login:Penguin mailto:sage [03/07/24 21:42 ID:bV8JGfSo]: www.google.co.jp/search?q=Vine+iptables&hl=ja&lr=&ie=UTF-8&oe=UTF-8&start=10&sa=N

ググったのかよ(ﾟДﾟ#)ｺﾞﾙｧ!!
757 名前：login:Penguin mailto:sage [03/07/24 22:32 ID:nWVS3aEW]: >>756
ｱﾘｶﾞﾄ!(´▽｀)
758 名前：login:Penguin mailto:sage [03/07/25 03:28 ID:1QO9tkOs]: >>757
もし、秋葉原に近い環境であるとかバックナンバーの置いてある本屋があるのならば
LinuxMagazine　2003/4の特集でも読みなされ
759 名前：login:Penguin mailto:sage [03/07/26 02:08 ID:1tEKiyI5]: >>757
ちなみに、Vine 2.6 で、あの雑誌の通りにやると、Kerneｌ-mode pppoeのところではまるから。
760 名前：login:Penguin [03/07/27 11:39 ID:Aq2rr+SO]: (･∀･)renice!
761 名前：761 mailto:sage [03/07/30 02:32 ID:+2+JaTjq]: 家にPC３台ありますが100Mハブが高くて買いたくないので
余った蟹のカード３枚集め、1つのoutputに対しDMZとかも置かずに
２つのnインターフェースをひとつのネットワークにブリッジ化したPCルータを作りたいです。

その際のｉｐｔａｂｌｅｓ設定の方法を多かれ少なかれ解説してあるページってどこかにありますか？
762 名前：761 mailto:sage [03/07/30 02:34 ID:+2+JaTjq]: ２つのnインターフェース　→　２つのｉn側インターフェース
763 名前：761 mailto:sage [03/07/30 02:57 ID:+2+JaTjq]: 探したらこういうのが見つかった
www.google.co.jp/search?q=cache:zXw3aX4TJBsJ:www.minaminoshima.org/LinuxBridge.html
他にないかのう
764 名前：login:Penguin mailto:sage [03/07/30 02:57 ID:PMhX2tRL]: >>761
> 100Mハブが高くて買いたくないので
ギガビットならともかく、100BASE-TXなら\3,000でおつりがくると思うが。
765 名前：login:Penguin [03/07/30 04:20 ID:vmcnZCsY]: >761
そもそも１００Mハブやブロードバンドルータですら4000円の世界なのだが。
ttp://review.ascii24.com/db/review/peri/videocap/2003/07/28/645193-000.html
勉強のためにやるなら止めないが。

ただ単に1台のPCをルータとして使って下に2台ブリッジでぶら下げるのであれば
LAN側の2枚のNICにブリッジの設定をきちんとしてやった上でWAN側とのマスカレードの
設定だけしてやればいいのでは。当然対象のインターフェースがeth1とかから
br0などの論理インターフェースに変わるのでbr0のIPやrouteingなどの設定を
きちんとした上で後は普通のルータと同じように設定をすればいいと思うが。

ブリッジ内部でパケットフィルタリングでもしない限りiptablesの設定うんぬんの問題は
発生しないと思う

ただ実際にやった事無いしソースも読んだわけでもないんでやってみないとわからんけど。
766 名前：p [03/07/30 05:40 ID:tSrJtpRf]: 本日公開！本物素人援交みゆきちゃん。
寝転んでも形が崩れないおっぱいは若さゆえ！
無料動画をＧＥＴしよう。
www.cappuchinko.com/
767 名前：761 mailto:sage [03/07/30 06:40 ID:a+WUUNj1]: その２，３千円の出費が嫌なのよ　車検も近いしなー

それにpcルータはやはり帯域に余裕があっていい
寄せ集めパーツで作ったfloppyfw（カーネル2.4）で２枚のNICで計測してもかなりロスが少なかった。

>>765
なるほど概念的な捉え方はわかりました。
それを実装して動かせるスキルのほうは別ですが。
768 名前：761 mailto:sage [03/07/30 06:47 ID:a+WUUNj1]: あ、
>>その２，３千円の出費が嫌なのよ　

こういう話するとｐｃルータのランニングコストの話が出てきそうで嫌だな。結構かかるからね
769 名前：589 mailto:sage [03/07/30 11:21 ID:u4lX9OwM]: takdk
770 名前：login:Penguin mailto:sage [03/07/30 13:45 ID:F4/M7mew]: 761はコンドーム買うお金ケチって外だしして
妊娠させるタイプだな。
771 名前：login:Penguin mailto:sage [03/07/30 18:02 ID:PMhX2tRL]: 余ったパーツ売って、その金でハブ買えばいいじゃん。
772 名前：本よりも [03/07/30 23:26 ID:DIOU5lcL]: www.h5.dion.ne.jp/~pc_spot/iptables/iptables.html
773 名前：765 [03/07/31 13:31 ID:KK+7sZnf]: >765
追加説明
LAN側を192.168.0.0/24としてiptablesの設定はブリッジ間の通信とNATの設定をして
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
ブリッジの論理インターフェースをbr0、ブリッジさせるNICをeth1、eth2としてブリッジの設定
brctl addbr br0
brctl stp br0 off
brctl addif br0 eth1
brctl addif br0 eth2
後はネットワークの設定を以下のように行い
ifconfig eth1 0 0.0.0.0
ifconfig eth2 0 0.0.0.0
ifconfig br0 192.168.0.1 netmask 255.255.255.0 up
echo '1' > /proc/sys/net/ipv4/ip_forward
最後にWAN側のデフォルトゲートウェイなどの設定をしてやればいいはず。
もちろんクライアント側のマシンのデフォゲはこの設定で言うと192.168.0.1になります。
これでお金を浮かしてコンドームを買ってください。
774 名前：761 mailto:sage [03/07/31 18:17 ID:z40pgxWS]: >>773
さすが！
わざわざ自らの時間を削って考えてもらってありがとうございます。
775 名前：本よりも [03/07/31 22:35 ID:qv23j3aF]: www.h5.dion.ne.jp/~pc_spot/iptables/iptables.html
776 名前：_ mailto:sage [03/07/31 22:40 ID:uFZe/gBZ]: homepage.mac.com/hiroyuki44/hankaku09.html
777 名前：_ mailto:sage [03/07/31 22:40 ID:uFZe/gBZ]: homepage.mac.com/hiroyuki44/
778 名前：ぼるじょあ ◆yBEncckFOU mailto:（＾＾） [03/08/02 04:59 ID:GfRe8vK7]: 　　　　∧＿∧　 ∧＿∧
ﾋﾟｭ.ｰ　（　・３・） (　　＾＾）＜これからも僕たちを応援して下さいね（＾＾）。
　　＝〔~∪￣￣￣∪￣￣〕
　　＝ ◎――――――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉&ぼるじょあ
779 名前：login:Penguin [03/08/02 10:19 ID:0p3phC6s]: (･∀･)renice!
780 名前：login:Penguin [03/08/03 09:41 ID:JkdJb7rA]: (･∀･)renice!
781 名前：login:Penguin mailto:sage [03/08/03 17:45 ID:vG0XJabf]: winny用になんかいい方法ない？
782 名前：login:Penguin [03/08/03 20:56 ID:58IVQIxm]: >781
激しくがいしゅつ。ここ最近でも
>702-706
などがある。ちゃんと調べれ。
ネタ提供するにしてももっと新鮮なの提供汁
783 名前：login:Penguin [03/08/12 11:28 ID:4MGXav2e]: (･∀･)renice!
784 名前：login:Penguin mailto:sage [03/08/12 13:03 ID:tWeSi3b+]: 貧乏人がしなくていい苦労をしたことを告白するスレはここですか？
785 名前：login:Penguin mailto:sage [03/08/12 19:58 ID:gbvzFqyq]: いえいえ、作業時間を人件費に換算するとハブくらい軽く買えてしまう金額になると思われますから
金持ちの道楽ですよ。
786 名前：login:Penguin [03/08/14 14:20 ID:hAip+1vT]: iptablesってホスト名を指定して(たとえば中国とか)弾くみたいなことはできますかね
787 名前：login:Penguin [03/08/14 17:56 ID:twuPRu/j]: >786
できないことは無いが結局名前を引っ張ってきてそのホスト名が該当する文字列を含んでいるかを
いちいち検索する手間をかけてせっかくiptablesのIPだけで処理をする事によるスピードの利点を
消してしまう事を考えると上の層のアプリケーションで制限したほうがいいんではないの。
それにドメイン名、ホスト名では特定国からのアクセスを正確にはじけないし。

iptablesを使って中国国内からのアクセスをはじきたいのであれば中国に割り当てられている
グローバルIPを全て弾くように設定したほうがいいんでは。
>625>626参照（これは韓国だが）
788 名前：login:Penguin mailto:sage [03/08/14 23:49 ID:EZZe4dzO]: それにしても port135 のpacketがやたらに多いね。
(´･ω･`) port135が必須であるOSに乾杯！
789 名前：login:Penguin mailto:sage [03/08/15 05:44 ID:enKXR5cc]: ずっと135portのdropしてるんだけど、感染者多すぎだよ。
ネットをするのも心なしか重いし．．．．sigh
「早く始末しろよ。」、さもなくば「ネットから出て行け」と言いたくなる。
790 名前：山崎渉 mailto:（＾＾） [03/08/15 22:41 ID:dil3w4kp]: 　　　 (⌒V⌒)
　　　│ ＾＾ │＜これからも僕を応援して下さいね（＾＾）。
　　⊂|　　　　|つ
　　　（＿）（＿）　　　　　　　　　　　　　　　　　　　　　　山崎パン
791 名前：login:Penguin [03/08/15 23:57 ID:fuvtkv+Y]: (･∀･)renice!
792 名前：login:Penguin [03/08/21 23:55 ID:nl0bO2CL]: iptablesにlogとらせるよう指定したばあい
どこにlogが書き込まれるのでしょうか？
/var/log見たけどそれらしいのがなくて困ってます
鳥はRedhat9です
793 名前：login:Penguin [03/08/22 00:16 ID:dH6B/UW+]: 普通/var/log/messageに出力されないか。そのへんは
/etc/syslog.confの設定を見てくれ
なおlogはわかりにくいんでlogにプレフィックスをつけるのがよろし。
こんな感じ
iptables -A log_drop -j LOG --log-level warning --log-prefix iptables:

これで
less /var/log/message | grep iptables:
みたいにして拾えば？
Aug 21 23:59:02 hosthoge kernel: iptables:IN=ppp0 OUT= MAC=
SRC=X.X.X.X DST=Y.Y.Y.Y LEN=92 TOS=0x00 PREC=0x00
TTL=110 ID=55312 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=31069
こんなのが引っかかるはず
794 名前：login:Penguin mailto:sage [03/08/24 14:05 ID:WW+7xQlD]: iptablesのデフォルトのログファシリティ/レベルはkernel.warnだから、
デフォルト設定なら/var/log/messagesだね。

まあ別ファイルにしておくと便利かもしれない。
/etc/syslog.confに
*.info;mail.none;authpriv.none;cron.none;kern.!* /var/log/messages
kern.info /var/log/kernellog
とか。
795 名前：login:Penguin [03/08/26 18:07 ID:gFo6zh41]: (･∀･)renice!
796 名前：login:Penguin mailto:sage [03/08/26 22:13 ID:UAbqFBEE]: rpmのiptables消して、ソースから1.2.8を入れてみて、rpmの1.2.5の
/etc/sysconfig/iptablesを流用してみた。
んだらば、OS起動時は普通に立ち上がるんだべけど、その後でiptables
だけをrestartすると、Unload moduleとかで固まるざんす。
鳥はrh7.2、ソースから作ったkernel2.4.20。
kernel再構築時にiptablesのmoduleは組み込んでます。
これから検証してみるけど、ヒントとかあればぜひお願いします。
797 名前：login:Penguin [03/08/28 15:05 ID:537qIh8K]: 日本以外からのアクセスをはじくには
ttp://www.nic.ad.jp/ja/dns/jp-addr-block.html
に記述されてるIPアドレスのみ受け付けるようにする・・・ってのであってる？
798 名前：login:Penguin [03/08/29 00:17 ID:YreBbSd1]: >797
ゲートウェイでは無くて完全な国内からのアクセス専用のサーバで
しかも海外からのプロクシの使用も許可をしないというポリシーでいいなら
それでいいんじゃない。
ゲートウェイなら単純なIPはじきだけでなくESTABLISHEDやRELATEDとかを
通してやらないといけないけどね。
まあ用途がわからんのでなんとも言えんが。
799 名前：APNICに移管された人 mailto:sage [03/08/29 01:38 ID:Kc70u4Km]: >>797
おいおい、APNIC管轄アドレスも忘れてもらっちゃぁ困る。
800 名前：login:Penguin mailto:sage [03/08/29 11:29 ID:9t70ZsWY]: 800
801 名前：login:Penguin [03/08/30 14:07 ID:LE05Ca8B]: クライアント用（Web見たりMailくらいしかやらない）のルール
ソースってどっかにないですかねえ
802 名前：login:Penguin mailto:sage [03/08/30 14:12 ID:QdKx7dsh]: #!/bin/sh
IPTABLES=/sbin/iptables

$IPTABLES -F

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
803 名前：login:Penguin mailto:sage [03/08/31 02:44 ID:Nf2mQJKO]: どうもありがとうございました。
804 名前：login:Penguin [03/09/04 18:05 ID:FHcUI8Nh]: (･∀･)renice!
805 名前：login:Penguin mailto:sage [03/09/06 00:39 ID:0W29Hs42]: 123.456.789.20から123.456.129.70までを意味する表現って

123.456.789.20/27
123.456.789.52/28
123.456.789.68/31

でいいでしょうか
20から70までをスルーさせるよな設定をしたいんですが
806 名前：login:Penguin [03/09/06 06:37 ID:bE0gSo/I]: >>805 そゆ計算は、∧＿∧痛くなるから、自分で( ･∀･)ｲｲ!とおもったらたぶん大ジョブ

なんかくぎりがおかしいような。それでもいいのかな
単純に考えて
1～64と 65～７０通してあげて
1～１９をDENY下ほうがわかりやすいかと思うんだけど。

というか何でそんなに区切りが中途半端なの？
807 名前：806 mailto:sage [03/09/06 06:49 ID:bE0gSo/I]: 補足 >>805 2進・16進でちょっと考えてみれ
808 名前：IPV4限定 [03/09/06 11:19 ID:6G1oevnE]: >>805
>123.456.789.20から123.456.129.70までを意味する表現って
IPアドレスっぽいけどIPアドレスなら0から255までの数字を
. でつなげるのが普通。
で、456とか 789とかは255を越えているから間違いに見えるのは
漏れだけですか？
/27 とかのことは255越え問題を解決してから考えた方がいいかも
809 名前：login:Penguin mailto:sage [03/09/06 11:56 ID:KcTl5hi+]: >>808 はいっぺん死んだほうがいいかも
810 名前：login:Penguin mailto:sage [03/09/06 13:51 ID:l60qoteA]: 805が聞きたいことと皆が何につっこんでいるか
意味がわからん人工無能じゃないんだから
ipsc or gipsc で解決してくれってことでだめか
811 名前：Cで書いてみた mailto:sage [03/09/06 16:26 ID:KcTl5hi+]: #include <stdio.h>
int main(int argc, char **argv)
{
　unsigned long start, end;
　int s1,s2,s3,s4, e1, e2, e3, e4;
　void divide(unsigned long, unsigned long, unsigned long, unsigned long);

　if (argc < 3) {
　　fprintf(stderr, "Usage:- %s start end\n", argv[0]);
　　return 1;
　}
　sscanf(argv[1], "%d.%d.%d.%d", &s1, &s2, &s3, &s4);
　sscanf(argv[2], "%d.%d.%d.%d", &e1, &e2, &e3, &e4);
　if (s1 < 0 || 255 < s1 || s2 < 0 || 255 < s2
　|| s3 < 0 || 255 < s3 || s4 < 0 || 255 < s4
　|| e1 < 0 || 255 < e1 || e2 < 0 || 255 < e2
　|| e3 < 0 || 255 < e3 || e4 < 0 || 255 < e4 ) {
　　fprintf(stderr, "%s: address out of range.\n", argv[0]);
　　return 1;
　}
　start = ((s1 * 256 + s2) * 256 + s3) * 256 + s4;
　end = ((e1 * 256 + e2) * 256 + e3) * 256 + e4;
　if (start > end) {
　　fprintf(stderr, "%s: start is bigger than end.\n", argv[0]);
　　return 1;
　}
　divide(0, 0xffffffff, start, end);
　return 0;
}
812 名前：続き mailto:sage [03/09/06 16:27 ID:KcTl5hi+]: void
divide(unsigned long rs, unsigned long re, unsigned long start, unsigned long end)
{
　void printmask(unsigned long, unsigned long);
　unsigned long mask, prefix;

　if (start <= rs && re <= end) {
　　for (mask = re - rs, prefix = 32; mask > 0; prefix--) mask /= 2;
　　printf("%lu.%lu.%lu.%lu/%lu\n",
　　rs >> 24, (rs >> 16) & 255, (rs >> 8) & 255, rs & 255, prefix);
　} else if (end >= rs && re >= start) {
　　divide(rs, rs + (re - rs) / 2, start, end);
　　divide(rs + (re - rs) / 2 + 1, re, start, end);
　}
}
813 名前：login:Penguin mailto:sage [03/09/06 16:35 ID:KcTl5hi+]: printmask 消すの忘れた。prefix は int で良かった。
814 名前：login:Penguin mailto:sage [03/09/08 16:42 ID:TPogvgTe]: 現在、Linuxをルータ、FWとして使っています。
sshで、外部からもLinuxを管理したいと思い、
下記の様なルールを設定しましたが、sshに接続出来ません。
LAN側からはｓｓｈ接続が出来るので、iptablesの設定が
問題だと思っているのですが、見つけられません。
ご存知の方、いらっしゃいましたらご教授願います。

（構成）
Internet--ADSLモデム---(ppp0)Linux(eth1)---LAN

iptabels -F
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -N in
iptables -A in -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A in -m state --state NEW -i ! ppp0 -j ACCEPT
iptables -A in -j DROP

iptables -A INPUT -i ppp0 -p TCP --dport 22 -j ACCEPT
iptables -A INPUT -j in

IPマスカレード部分は省略しています。
815 名前：814 mailto:sage [03/09/08 19:49 ID:ZUfcMcWb]: すみません、自己解決しました。
お恥ずかしい話ですが・・・ /etc/hosts.deny と /etc/hosts.allow で
アクセス制限掛けていたのをすっかり忘れていました。スレ汚し申し訳ないです。
816 名前：login:Penguin [03/09/15 10:51 ID:I+VNLCRD]: (･∀･)renice!
817 名前：login:Penguin [03/09/22 23:51 ID:yi5qiD8q]: iptables
818 名前：login:Penguin mailto:sage [03/09/23 11:01 ID:oxpe0jzo]: ルーター作ってるんだがiptablesの処理重いな・・・
819 名前：login:Penguin [03/09/25 17:08 ID:FN6PNMc8]: (･∀･)renice!
820 名前：login:Penguin mailto:sage [03/09/27 02:02 ID:+FswpqB3]: RH7.3でPPTP鯖立ててみたんですけど、どうやら
1IPにつき1接続しか確立できないみたいなんです。
よそのルータの下からは一台の端末しか接続できないようで・・
これはiptablesの設定なのでしょうか？
どう設定すればいいのでしょうか？
すんませんがお知恵をお貸しください。
821 名前：login:Penguin [03/09/27 17:13 ID:3wcIUyvf]: iptablesって先に設定したものがルール先行されるんでしょうか？

system("iptables -A INPUT -i ppp0 -p tcp --source-port 80 --destination-port 1024:65535 -j ACCEPT");
system("iptables -A OUTPUT -p tcp --source-port 1024:65535 --destination-port 80 -j ACCEPT");
system("iptables -A INPUT -i ppp0 -p tcp -j DROP");
だとブラウザでｈｔｔｐつかえるんですが

system("iptables -A INPUT -i ppp0 -p tcp -j DROP");
system("iptables -A INPUT -i ppp0 -p tcp --source-port 80 --destination-port 1024:65535 -j ACCEPT");
system("iptables -A OUTPUT -p tcp --source-port 1024:65535 --destination-port 80 -j ACCEPT");
だとｈｔｔｐクライアントが使えません
822 名前：login:Penguin mailto:sage [03/09/27 17:29 ID:PhprnVlR]: >>820
PPTP はそういうものだと聞いたことがある。
TCP のようにポート番号が無いから IP につき一接続のみ。
>>821
優先されるとかそういう発想ではなく、
チェイン内のルールを順番に見て処理して行くだけの事。
条件に一致したパケットがどうなるかは -j のターゲットによる。
DROP とか ACCEPT だと、その時点でパケットの運命は決定。
そのチェインのそれ以降の処理は行なわれない。
823 名前：login:Penguin [03/09/27 17:33 ID:OFai3Vq5]: linuxって結構使ってる人いるんですね～
一度やってみたいです。
824 名前：login:Penguin mailto:sage [03/09/28 02:11 ID:84U0jUsI]: >>820
でもwindows2000鯖は複数台つながるんです。
そうだ、間違いがありまして、複数接続はできたりできなかったりで、
確立できた場合、二台つないでアドレスも振られててるんですが、
PINGには一台しか応答してくれません。ある端末に応答中は、他に無反応で、
もしくはその逆です。iptablesには47のIN,OUTと1723のINだけ書いています。
というか、NET検索してて見つけたのがそれだったんですが。
なんか凄～く気になって夜も眠れません。
825 名前：login:Penguin mailto:sage [03/09/28 02:13 ID:84U0jUsI]: すいません>>822でした。
826 名前：login:Penguin mailto:sage [03/09/28 18:16 ID:Zm/GUUXy]: >824
同時に一台しか使えない。それはそういうもの。マスカレード出来ないんで
パススルーしているだけだから。一つのグローバルIPアドレスで一つの
ポートしか同時には使えないから。一つのポートを使って通信中には
もう一つの端末は使えなくなる。まったく正常な動きだよ。
例
LinuxPPTPサーバ－インターネット－ルータ（PPTPパススルー）－Win2000PPTPクライアント
ルータ側では当然同時には1台しかつなげない。

windows2000サーバについては構成について書いてもらわないと
なんとも言えん。
827 名前：login:Penguin mailto:sage [03/09/28 18:46 ID:84U0jUsI]: なるほど～、勉強になります。

構成を書きますと、linuxの場合
LinuxPPTPサーバ－インターネット－ルータ（PPTPパススルー）－Win2000PPTPクライアント
まったくこの通りで、2000の場合
2000鯖PPTP－ルータ(PPTPパススルー+DMZ)－インターネット－ルータ(PPTPパススルー)
－Win2000PPTPクライアントです。

2000サーバ側はルーティングとリモートアクセスのウィザードで設定しただけで、
特別なことはしていないと思います。
サーバには両方ともグローバルが振られていて、回線も同じです。
pptpの設定の違いといえばlinuxではデータ暗号化をしない設定に
しているくらいです。ルータはNTTのBa8000proを使用しています。
828 名前：login:Penguin mailto:sage [03/09/28 20:09 ID:Zm/GUUXy]: >827
Win２０００鯖に対してWin２０００PPTPクライアントの複数台が同時に使えたということですか？
あくまでPPTPクライアントが複数台同時に使える使えないの問題はPPTPクライアント側の
ルータの設定の問題です。
PPTPクライアントソフトでパケットを暗号化する際には以下のようになります

　　　　　　　　　　　　　　　　　　　 |IPヘッダ|TCPヘッダ|データ|
　　　　　　　　　　　　　　　　　　　 |　　　
|IPヘッダ|GREヘッダ|PPPヘッダ|暗号化された元のヘッダデータ＋データ|

こんな感じで新しいIPヘッダとGREヘッダなどで暗号化されたデータがカプセル化される。
1対1の静的NATならIPを単純にIPだけ変換して通せば問題ないのだが1対複数の
動的NAT（IPマスカレード）だとIPヘッダの後にTCPヘッダでは無くGREヘッダが付くので
ポート変換ができないためそのままだと通信が上手くいかない
その対策としてルータでLAN側のパケットをIPマスカレードを行わずに通して
最後にIPヘッダだけ書き換えてインターネットに送る機能がPPTPのパススルーです。
実際やっている事はGREヘッダが付いたパケットのみを動的に1対１でIPフォワードして
インターネットに流している事になります。それ故一つのグローバルIPにつき同時には
1台しか使えません。

IPsecの場合はNAT越えのためにわざわざUDPで更に暗号化されたパケットをさらに
カプセル化してNATを通す方法がありますがPPTPではわたしの知る限りでは無いようです
829 名前：login:Penguin mailto:sage [03/09/29 14:43 ID:JfLkCKlr]: >>828
レス有難うございます。読めば読むほどわからなくなってきました。
私がwindows2000でやっていることは、ローカルアドレスの振られたコミュニケーション
ソフトをPPTPサーバ経由で他のグローバルの端末と通信をするというもので、
ローカル4台、グローバル1台で通信が成立しました。基本的にはグローバル対グローバル
でしか通信が成立しないソフトですし、UPNPも対応していません。
動画と音声のやり取りができます。同じ場所から試した結果、PPTPサーバにLINUXを
選んだ場合は一対一で2000サーバの場合は一対四の通信が成立しました。
もちろんサーバに接続後はPPTPサーバから振られたアドレスにてソフト間で接続しています。
PPTPクライアント側のルータはパススルーのみ固定IPなどのサービスは受けていません。
WINDOWS対WINDOWSの場合特殊なルールでもあるのでしょうか？
830 名前：login:Penguin mailto:sage [03/09/29 16:55 ID:Al9I7EC2]: >829
メッセンジャー系のアプリですか？グローバルの端末っていうのは
そのサーバをさしているんでしょうか。それともクライアントを指してる
んでしょうか。

またWin2000鯖、LinuxのPPTP鯖とそのグローバルの端末の間の
ネットワーク構成は同じになっているんでしょうか。
831 名前：login:Penguin [03/09/29 18:39 ID:nRFzw1/W]: >>830
メッセンジャー系のアプリです。
グローバルの端末というのはサーバではありません。また別のクライアントです。
ネットワークは
internet---globalLinux(PPTP)
| |_globalルータ(pptpパススルー&DMZ)---globalWindows2000server
| << |_global(windws2000)クライアント
|
|___(別の場所)ルータ(pptpパススルー--LAN)--hub--localWindows2000クライアント *4

ずれてないといいのですが・・
832 名前：login:Penguin mailto:sage [03/09/29 18:45 ID:nRFzw1/W]: internet---globalLinux(PPTP)
| 　　　　　|_globalルータ(pptpパススルー&DMZ)---globalWindows2000server
|　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |_global(windws2000)クライアント
|
|___(別の場所)ルータ(pptpパススルー--LAN)--hub--localWindows2000クライアント *4

すいませんずれました
833 名前：login:Penguin mailto:sage [03/09/29 19:56 ID:J82aOjQ8]: 今気づいたのですが、
"ppp マルチリンクフレーム"ってのが
linuxサーバはオフでwindowsサーバではオンです。
すごく試したい・・・
834 名前：login:Penguin [03/09/29 20:28 ID:kOZ/gr/1]: >>1
フリーOSでやるなら、市販の方が楽だぜ。
今、安いのでているし。無難。(・∀・)ｲｲ!!ー
835 名前：login:Penguin mailto:sage [03/09/30 03:12 ID:KPwMtH61]: >833
マルチリンクPPPは複数の回線を束ねる奴です。ISDNで64kを束ねて128kで通信させるって
あったでしょ。あれです

話を聞いてみるとどうやらiptablesとかの設定ではないような気がします。まず
PPTPの問題であるのかメッセンジャーの問題なのかを切り分ける必要があります。
今のままではVPNのスレに行っても問題がどこにあるのか特定できないので
誰も答えられないんじゃないかと思います。

一番知りたいのがメッセンジャーソフトがどのようなソフトかということです。
音声の送信制御にSIPを使っているとNAT越えで問題が生じるのでUPnPに対応していないと
ローカル－グローバルで音声チャットが出来ないと思います。ローカル－ローカルは
できるみたいですけど。WindowsMessengerの場合について以下参照
ttp://www.watch.impress.co.jp/pc/docs/article/20011120/wm.htm

ちなみに同時に4台のローカルマシンと1台のグローバルのマシンが通信できたっていうのは
音声チャットですかそれともメッセージ送信でしょうか
836 名前：login:Penguin mailto:sage [03/10/01 01:56 ID:0faSfSQN]: >>835
ソフトに関してですが、H323やSIPなどは使用してないと思います。
ただ、(複数接続の場合の一台を除き)ソフトウェアで通信を始める以前に、
PPTPサーバからの応答がLINUX側ではありませんし、PINGも還りません。
で、これが2000サーバですと先に書いた複数接続が成立し、かつPPTPサーバから
割り当てられたアドレスでソフトウェア同士で接続ができます。
これは動画、音声、ホワイトボードこの３点で確認しました。

説明がわかりにくいと思いますが、ローカル４台が１台のグローバルに接続でき、
かつ動画、音声、ホワイトボードでコミュニケーションができた。
ということです。LINUXの場合ですと、一台のローカルマシンになります。

linuxはルータの機能を持たせていませんが、このあたりはどうなんでしょうか？
windows2000サーバではルーティングとリモートアクセスの設定ですし、、
ちょっと試してみます。
837 名前：login:Penguin mailto:sage [03/10/01 02:27 ID:0faSfSQN]: 僕の中では

Linuxサーバ _______インターネット______ルータ___2000クライアント*4
Windowsサーバ

の場合でも同じ結果になるんではないかと思います。これで両方とも接続１台なら
たんにWindowsサーバ側のルータになりますけど、、、
設定して簡単に試せないのがネックなんですが。
838 名前：login:Penguin mailto:sage [03/10/02 03:12 ID:T2Z3aQpM]: >836>837
H323やSIPなどは使用していないと言う事からNAT越えの問題は発生しない
アプリケーションであろう事がわかりました。それ故ローカル4台でつなげて
動画、音声、ホワイトボードでコミュニケーションができたという事ですね

なおBa8000proについて調べたところマルチPPTPパススルーという機能があって
複数のPPTPのパススルーが出来るみたいでした。と言う訳で私が以前書いた
知識は古い知識でクライアント側の問題ではない事もわかりました。すみません

となるとLinuxの設定に絞られる訳ですが前書いてあったiptablesの設定で
問題ないと思いますし、実際一台繋がっているのでPPTPで繋がる事は繋がりますね。
今一番知りたい情報はPPTP接続時のlogでどのようなメッセージが出ているかです
PPTPで１、２台LinuxのPPTPサーバに繋げた際の/var/log/messageが残っていたら
それを見せてくれませんか。もちろんまずいところは隠して。
839 名前：login:Penguin mailto:sage [03/10/02 10:02 ID:1Lorfxq9]: >>838
ご親切にありがとうございます。
----------------------------------------------------
Oct 2 09:21:48 PPTPServer pptpd[3121]: CTRL: Starting call (launching pppd, opening GRE)
Oct 2 09:21:48 PPTPServer pppd[3122]: pppd 2.4.1 started by root, uid 0
Oct 2 09:21:48 PPTPServer pppd[3122]: Using interface ppp0
Oct 2 09:21:48 PPTPServer pppd[3122]: Connect: ppp0 <--> /dev/pts/1
Oct 2 09:21:48 PPTPServer /etc/hotplug/net.agent: assuming ppp0 is already up
Oct 2 09:21:49 PPTPServer pptpd[3121]: GRE: Discarding duplicate packet
Oct 2 09:21:51 PPTPServer pptpd[3121]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 2 09:21:51 PPTPServer pppd[3122]: CHAP peer authentication succeeded for TestUser01
Oct 2 09:21:51 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:21:51 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:21:51 PPTPServer pppd[3122]: Cannot determine ethernet address for proxy ARP
Oct 2 09:21:51 PPTPServer pppd[3122]: local IP address 192.168.0.1
Oct 2 09:21:51 PPTPServer pppd[3122]: remote IP address 192.168.0.101
Oct 2 09:26:26 PPTPServer pptpd[3137]: CTRL: Client xxx.xxx.xxx.xxx control connection started
Oct 2 09:26:26 PPTPServer pptpd[3137]: CTRL: Starting call (launching pppd, opening GRE)
Oct 2 09:26:26 PPTPServer pppd[3138]: pppd 2.4.1 started by root, uid 0
Oct 2 09:26:26 PPTPServer pppd[3138]: Using interface ppp1
Oct 2 09:26:26 PPTPServer pppd[3138]: Connect: ppp1 <--> /dev/pts/2
Oct 2 09:26:26 PPTPServer /etc/hotplug/net.agent: assuming ppp1 is already up
840 名前：login:Penguin mailto:sage [03/10/02 10:04 ID:1Lorfxq9]: Oct 2 09:26:26 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:26 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:26 PPTPServer pptpd[3137]: GRE: Discarding duplicate packet
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer pptpd[3137]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer last message repeated 2 times
Oct 2 09:26:28 PPTPServer pppd[3138]: CHAP peer authentication succeeded for TestUser02
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer last message repeated 2 times
Oct 2 09:26:28 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer last message repeated 4 times
Oct 2 09:26:28 PPTPServer pppd[3138]: Cannot determine ethernet address for proxy ARP
Oct 2 09:26:28 PPTPServer pppd[3138]: local IP address 192.168.0.1
Oct 2 09:26:28 PPTPServer pppd[3138]: remote IP address 192.168.0.100
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:31 PPTPServer last message repeated 9 times
Oct 2 09:26:31 PPTPServer pptpd[3121]: GRE: Discarding duplicate packet
Oct 2 09:27:38 PPTPServer pptpd[3137]: GRE: Discarding out of order packet
Oct 2 09:27:38 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
これらは同じba8000proのLANの２台です。
LinuxにはNICは一枚しかありません。
841 名前：login:Penguin mailto:sage [03/10/02 15:13 ID:SZBrN86R]: >839
ざっと見ましたが端末は2台ともきちんと接続は確立されているようですね。
一番くさいのは
Cannot determine ethernet address for proxy ARP
のエラーメッセージじゃないかと思います
ProxyARPが使えないとPPTPサーバ－PPTPクライアント間の通信については
問題はないのですが、PPTPクライアントに割り振られたIPに別のローカルの
マシンからアクセスしようとしてもARPの反応が無いので通信ができません

ちなみにpptpdの設定ファイルにはproxyarpもしくはenable proxyといった
ProxyARPの設定は入っているでしょうか。まずこの設定を試してみて
PPTPクライアント相互でpingを打ってみてください
842 名前：login:Penguin mailto:sage [03/10/03 13:18 ID:4yjkM5c/]: >>841
proxyarp確かにoptions.pptpdに書かれています。
iptablesの設定がまづいのでしょうか？上手く動きません。
modprobe: Can't locate module ppp-compress-21
これもmodules.confに書かれているのですが何故エラーが・・・・
843 名前：login:Penguin mailto:sage [03/10/03 19:30 ID:jddS9gUD]: >842
ppp-compress-21についてはbsd_compがカーネルモジュールとして
作られていないかもしれません。
/lib/modules/2.4.ｘｘ/kernel/drivers/net/bsd_comp.o
があるか確認してみて下さい
ただデータ圧縮の関係のモジュールなのでPPTPが2台以上だと上手く
動かない事とは関係が無さそうです。

proxyarpが機能しないのはクライアントの端末がぶら下がるPPTPサーバの
仮想ネットワークインターフェースがppp0、ppp1となる事と関係がありそうです。
この場合おそらく複数台のクライアント相互を繋ぐためにはrouteの設定が
適切にされることが必要になりますがきちんと設定されているのかを
確認したほうがいいと思います。具体的にはppp0、ppp1にぶら下がっている
リモートクライアントがきちんとホストとしてルーティングテーブルに登録されて
いるかをLinuxのPPTPサーバでifconfig、routeを実行して確認して見て下さい。

ちなみに使っているのはPopToPですか？似たケースについてパッケージ内の
HowTo-PopToP.txtというドキュメントで書かれていました。
844 名前：login:Penguin mailto:sage [03/10/04 03:34 ID:ipq0lYSb]: >>843
ifconfig
---------------------------------------------
ppp0 Link encap:Point-to-Point Protocol
inet addr:192.168.0.1 P-t-P:192.168.0.101 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1400 Metric:1
RX packets:126 errors:0 dropped:0 overruns:0 frame:0
TX packets:17 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:3
RX bytes:13036 (12.7 Kb) TX bytes:602 (602.0 b)

ppp1 Link encap:Point-to-Point Protocol
inet addr:192.168.0.1 P-t-P:192.168.0.100 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1400 Metric:1
RX packets:87 errors:0 dropped:0 overruns:0 frame:0
TX packets:18 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:3
RX bytes:7719 (7.5 Kb) TX bytes:662 (662.0 b)
845 名前：login:Penguin mailto:sage [03/10/04 03:37 ID:ipq0lYSb]: route
------------------------------------------------------------
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.0.100 * 255.255.255.255 UH 0 0 0 ppp1
192.168.0.101 * 255.255.255.255 UH 0 0 0 ppp0
xxx.xxx.xxx.xxx * 255.255.255.248 U 0 0 0 eth0
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default xxx.xxx.xxx.xxx 0.0.0.0 UG 0 0 0 eth0
846 名前：login:Penguin mailto:sage [03/10/04 04:47 ID:ipq0lYSb]: >>843
本当ですね、bsd_compがない。カーネル再構築するとき忘れてた？
ま、動いてるからよしとして、、、
poptop.txtなんてあったなんて・・・読んでみました。
トラブルシューティングに書いてある例は似てますね。
吐き出されるログの内容は違いますが、ちょっと不安です。
847 名前：login:Penguin [03/10/07 12:55 ID:h5gQpdCd]: インターネット----ADSLモデム----<eth0>Linuxサーバ<eth1> (red8.0)----PC(win200)
の構成でlinuxルータをつくろうとしてます。
いろんなとこをみてfirewallやマスカレードの設定をしたんですがPCからネットやメールがつながりません。
もうまったくもってのお手上げです。だれか助けてください。
1.Linuxルータからはネットもメールもできる。
2.PCからpingをうつとeth0までは通っている。
考えられる原因があったらおしえてください。おねがいします。
848 名前：login:Penguin mailto:sage [03/10/07 13:05 ID:cpfos6Ym]: >>847
ブロードバンドルータを買いなさい。
849 名前：login:Penguin mailto:sage [03/10/07 16:20 ID:MRtKgNKt]: >>1 から読んでいくと解決できるよ
850 名前：login:Penguin [03/10/07 19:37 ID:Wm2AJFWo]: iptablesを利用してルータ作ったら
下りは早くなったのに
上りの速度が極端におちたんだけどなんで？
851 名前：login:Penguin mailto:sage [03/10/08 15:02 ID:1LAOpMe6]: ふーん...なんでだろうね
852 名前：login:Penguin [03/10/11 19:23 ID:j4FqS/CE]: エスパー募集
853 名前：arisa ◆QaHT6HayjI mailto:sage [03/10/16 18:45 ID:jAgzjYn+]: >firewallやマスカレードの設定をしたんですが
どう設定したか書きなさい
854 名前：login:Penguin mailto:sage [03/10/17 13:58 ID:GQMqGwf1]: >>847
最近iptables勉強しはじめて最初なかなかうまくいかなかった。
俺がはまった点
・スクリプトこぴぺによるミス　ネットワークが192.168.1.0.なのに192.168.0.0と
してしまったり　-j ACCEPTを-j ACCEPなんてした場合はエラーがでるからわかるけど。
・前の設定が残っててそれが影響してしまってる
最初にちゃんとiptables- X iptables -t nat -F iptables -t filter -F
なんかで前の設定を消さないとだめ。
・winにzonealarmとかあるとうまくいかない事もあった。

この辺チェックしてマスカレードの設定ちゃんとすれば動くはず。
855 名前：login:Penguin [03/10/18 14:31 ID:iuokmhC1]: 優しいね
856 名前：login:Penguin mailto:sage [03/10/18 16:08 ID:OBCHodzK]: っていうか上手くいかないときに
iptables -Lや
iptables -t nat -Lで
確認することのほうが重要だと思う
857 名前：login:Penguin [03/10/20 14:19 ID:d9wX1vd2]: DYDNSの状態で、IPTABLESで管理しているLinux Routerを使ってLANのApacheって公開できんの？
固定IPじゃなきゃダメなのかな
858 名前：login:Penguin mailto:sage [03/10/20 14:22 ID:GMbhR+s8]: >>857
出来ません。ていうか公開しないでください。
859 名前：login:Penguin [03/10/20 14:30 ID:d9wX1vd2]: >>858
そうなのか。他にも手段はないのかな？
gateway上でapacheにproxyさせるくらいしか手段がないのかなぁ。だとしたら不便だ。
860 名前：login:Penguin [03/10/20 14:31 ID:d9wX1vd2]: なんかスレ違いっぽいので、別スレで質問しますね。ありがとう。>>858
861 名前：login:Penguin mailto:sage [03/10/21 02:38 ID:p7kxLSrR]: 関係ないが有料DNSってないのかな？
862 名前：860 [03/10/21 14:11 ID:NAHg+2CY]: 別板で聞いたら iptablesでできることがわかり、動作も確認しました。
linux板はうそつきですね。
863 名前：login:Penguin mailto:sage [03/10/21 14:28 ID:BJKrJQpm]: やっぱり教えるんじゃなかった。
864 名前：login:Penguin mailto:sage [03/10/21 14:29 ID:BJKrJQpm]: 俺はキチガイを見分ける天才だな。
865 名前：login:Penguin mailto:sage [03/10/21 14:32 ID:B0eQGHKH]: >>862
> 固定IPじゃなきゃダメなのかな
こんなことかいてるから、からかわれるんやんか(笑
866 名前：login:Penguin mailto:sage [03/10/21 14:57 ID:NAHg+2CY]: >>865
知るか、そんなのｗ
867 名前：login:Penguin [03/10/21 16:19 ID:N13eSlHi]: で、実際ポートフォワードってどうやるの？

IPT=/sbin/iptables
$IPT -t nat -A PREROUTING -i ppp0 -p --dport 80 -j DNAT --to 192.168.0.1
とかやるだけでいいの？
868 名前：login:Penguin mailto:sage [03/10/21 16:57 ID:Q31LUkBa]: >>867とかだけを好きに解釈していいならそれでいいべ
869 名前：login:Penguin mailto:sage [03/10/21 16:57 ID:N13eSlHi]: --toじゃなくて--to-destinationか
これであとは適切なCHAINをACCEPTにすればOKというわけね。

www.ckjames.com/system/iptables.html
ここの概念図は分りやすかった。
870 名前：login:Penguin mailto:sage [03/10/21 17:06 ID:N13eSlHi]: netfilterの処理の流れは今までこうだと思ってた。

<INPUT>--<PREROUTING>--<FORWARD>--<POSTROUTING>--<OUTPUT>

FORWARDのところでルーティングのルールを適用って感じに。
全然違ったなｗ。INPUT,OUTPUTはあくまで自ホストに対するパケットの
入出力という意味だったのね。。。
>>869の図はいままでいい加減に理解してたのを正してくれた。
マジで感謝。
871 名前：login:Penguin mailto:sage [03/10/24 07:12 ID:wGbvR58d]: 2chからのポートスキャンに対するパケットをはじくやりかた教えてください

qb.2ch.net/test/read.cgi/operate/1063587910/
の>>5にでているのですが情報が古いようなので

いまはこんな感じらしいです

61.211.226.250/32
64.62.128.0/17
64.71.128.0/18
65.19.134.162/32
65.19.142.0/24
203.192.159.248/29
210.224.161.33/32
216.218.128.0/17
872 名前：login:Penguin mailto:sage [03/10/24 09:16 ID:d4syrfCy]: >>871
IPTABLES="/sbin/iptables"
EXTIF="eth0"
# 61.211.226.250/32の場合
$IPTABLES -A INPUT -s 61.211.226.250/32 -i $EXTIF -p tcp ! --sport 80 -j REJECT
873 名前：login:Penguin [03/10/26 02:45 ID:Pr89mGhe]: IPアドレスをIPと略すな
874 名前：login:Penguin [03/10/26 18:20 ID:RzRQyBSU]: redhat9でMSCHAPv2対応のpptpサーバ
って立てられないんですか？
875 名前：login:Penguin [03/10/28 15:56 ID:SKKAZqoO]: $/sbin/iptables -t filter -L
として、テーブルを一覧表示したときに、
インターフェイスが表示されないのって分りにくくないですか？
例えば、多くの人はINPUTチェインは-i ioというのは無条件で
ACCEPTしてると思いますが、これのインタフェイス名が
表示されないとなんのことかさっぱり分りません。

インタフェイス名を表示しない何か深い理由でもあるんでしょうか？
876 名前：login:Penguin mailto:sage [03/10/28 16:27 ID:PHC0YfN2]: オプション -v
ソースコードの履歴でも調べれば理由がわかるかもな。
そんな細かい事に気を取られてると高速道路で事故るぞ。
877 名前：login:Penguin mailto:sage [03/10/28 23:18 ID:SKKAZqoO]: >>876
おはずかしい。。。どもありがとうございます。
次は/sbin/tcでトラフィックコントロールを調べてみます。
878 名前：login:Penguin mailto:sage [03/10/29 13:01 ID:JbMqeu6/]: >>874

pptpclient.sourceforge.net/howto-redhat-90.phtml

Clientって書いてあるけどサーバ構築できました。
カーネルを再コンパイルしないですんだので楽でしたよ。
879 名前：login:Penguin mailto:sage [03/11/01 09:06 ID:ixOgbI17]: >>878
RH9.0はそのままでいけるんだ～～
漏れはまえやったときはカーネルにパッチあてて、
さらにpppを入れ替える必要すらあった
880 名前：login:Penguin [03/11/04 03:48 ID:p/1ZUcA2]: もつかれさん
881 名前：login:Penguin [03/11/05 13:00 ID:yyvaioQX]: （･∀･)renice!
882 名前：login:Penguin mailto:sage [03/11/05 13:01 ID:yyvaioQX]: IDがvaioだ・・・
883 名前：login:Penguin [03/11/11 17:50 ID:oC5loP1A]: バイオスレに逝けば神になれるぞ
884 名前：login:Penguin [03/11/14 00:24 ID:CCJ44e+w]: 質問があります。
ifconfigは、SolarisとLinuxで動作が違うってほんと？
885 名前：login:Penguin mailto:sage [03/11/14 00:56 ID:MAWI6fOy]: このスレと関係あるの？
886 名前：しょしーんしゃ mailto:sage [03/11/25 07:57 ID:inC5SloQ]: ip_conntrack_ftp 稼動機では ftpd の待ち受けポート変えたほうが良いみたい。。( router兼ftp鯖 )
887 名前：login:Penguin [03/11/25 13:49 ID:zrTyBVpR]: ？？？
888 名前：886 スレ汚しすみません mailto:sage [03/11/26 08:55 ID:3u04iNdx]: ごめんなさい、激しく勘違いしてました。
889 名前：login:Penguin [03/12/07 23:26 ID:sM6iz47F]: 何が基本ポリシーはDROPだｺﾞﾙｧ
まずは全ACCEPTで通るのを確認しながら一つ一つ設定につめるんだろうが
だから最初で失敗して諦めるﾔｼいるんじゃねｰか？

で、2chは串外しとグローバルIPとIPマスカレードとDNS動けば書き込めるんじゃねｰか
何苦労してたんだ漏れ∧||∧
890 名前：login:Penguin [03/12/17 01:33 ID:+hBhL6wT]: 失敗を恐れずフロントエンド使おう。
891 名前：login:Penguin [03/12/18 23:47 ID:VPJwm+8X]: ｺ｣｡｢iptables ﾊﾙｶｯﾃ讀ﾇ､ｹ｡｣
､､､ﾞ､ﾞ､ﾇ｡｢ipchains ､ﾋｴｷ､�ﾆ､ｿ､ﾇ｡｢iptables ､ﾇ､ﾎ 1024｡ﾁ65535 ･ﾝ｡ｼ･ﾈ､ﾎｰｷ､､､ｬ｡｢､､､ﾞ､､､ﾁｲ熙ﾞ､ｻ､｣

# Web･ｵ｡ｼ･ﾐ､ﾋﾂﾐ､ｷ､ﾆ80/TCP｡ﾊhttp｡ﾋ､ﾇ､ﾎ･｢･ｯ･ｻ･ｹ､ﾄ
/sbin/iptables -A FORWARD -p TCP -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 -d 0/0 -j ACCEPT

､ﾈ､､､ﾃ､ｿﾀﾟﾄ熙ｬ､｢､��
--sport 1024:65535｡｡､茖｡--dport 1024:65535｡｡､ﾎｻﾘﾄ熙ﾏﾌｵ､ｯ､ﾆ､篦鄒賈ﾗ､ﾊ､ﾎ､ﾇ､ｷ､遉ｦ､ｫ｡ｩ

# Web･ｵ｡ｼ･ﾐ､ﾋﾂﾐ､ｷ､ﾆ80/TCP｡ﾊhttp｡ﾋ､ﾇ､ﾎ･｢･ｯ･ｻ･ｹ､ﾄ
/sbin/iptables -A FORWARD -p TCP --sport 1024:65535 -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 --dport 1024:65535 -d 0/0 -j ACCEPT
､ﾈ､､､ﾃ､ｿｻﾘﾄ熙ｸ､网ﾊ､ｯ､ﾆ､篦鄒賈ﾗ､ﾊ､ﾇ､ｷ､遉ｦ､ｫ｡ｩ
892 名前：891 [03/12/18 23:53 ID:VPJwm+8X]: ごめんなさい、字が化けました。
（p2 から書き込んだら、EUC-JP になっちゃたようです。）

今、iptables 勉強中です。
いままで、ipchains に慣れてたんで、iptables での 1024～65535 ポートの扱いが、いまいち解りません。

# Webサーバに対して80/TCP（http）でのアクセスを許可
/sbin/iptables -A FORWARD -p TCP -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 -d 0/0 -j ACCEPT

といった設定がある場合
--sport 1024:65535　や　--dport 1024:65535　の指定は無くても大丈夫なのでしょうか？

# Webサーバに対して80/TCP（http）でのアクセスを許可
/sbin/iptables -A FORWARD -p TCP --sport 1024:65535 -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 --dport 1024:65535 -d 0/0 -j ACCEPT
といった指定じゃなくても大丈夫なんでしょうか？
893 名前：login:Penguin [03/12/19 20:05 ID:isFHMIRt]: 済みません。どうしても分らないので知恵をお貸しください。
IPT=/sbin/ip6tables
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
といったことがやりたいのですが、ip6tablesには--stateオプションはありません。
この場合、外部からのTCP接続を断つにはどうしたらいいでしょうか？

>>892
どうしてWebサーバに対して接続しにくるパケットのポートが気になるんですか？
894 名前：login:Penguin [03/12/19 20:16 ID:1c/uBN01]: >>893
SYNフラグが立っていなければIPv6パケットは通過させる
SYN ACKフラグが立っていればIPv6パケットは通過させる
それ以外はDROP
895 名前：893 mailto:sage [03/12/19 20:17 ID:isFHMIRt]: 自己レスです。
IPT=/sbin/ip6tables
IPT -P INPUT DROP
$IPT -A INPUT -p tcp ! --syn -i sit1 -j ACCEPT
とやるだけでした。すみません。。。
896 名前：login:Penguin mailto:sage [03/12/19 20:23 ID:isFHMIRt]: >>894
ありがとうございましたm<(　)>m
897 名前：login:Penguin [03/12/26 22:15 ID:WOBAFjIh]: iptable について知りたいやつは下のサイト逝け

www.page.sannet.ne.jp/f-mizuno/linux/iptables.html
898 名前：arisa ◆QaHT6HayjI mailto:modamepo@infoseek.to [03/12/28 11:13 ID:bq8ZJgQ3]: >>892
あくまで宛先ポートが80ってだけで、元ポートで縛るかそうでないかの違いじゃないのか？
考えればわかると思われ。ipchainsはシラネ
899 名前：login:Penguin [04/01/12 18:27 ID:F75/NQJ0]: iptablesのフロントエンドで細かく設定できて(･∀･)ｲｲ!!のはどれだ？
900 名前：arisa ◆QaHT6HayjI mailto:modamepo@infoseek.to [04/01/13 18:28 ID:QW+Jw00v]: >>899
開発ｶﾞﾝ(　ﾟдﾟ)ｶﾞﾚ。ｗ
900(σ・∀・)σゲッツ！
901 名前：login:Penguin mailto:sage [04/01/14 10:12 ID:uEpFbmkH]: ログを /var/log/message とは別ファイルに出力
させることはできますかね？
902 名前：arisa ◆QaHT6HayjI mailto:modamepo@infoseek.to [04/01/14 17:02 ID:Pl50Ut2+]: www.google.co.jp/search?hl=ja&ie=UTF-8&oe=UTF-8&q=iptables+syslog&btnG=Google+%E6%A4%9C%E7%B4%A2&lr=lang_ja
>>901 このへんみてうまくいったら教えて。というか漏れが知りたいヨロ指呼
903 名前：login:Penguin mailto:sage [04/01/15 00:45 ID:+ufbu8Y7]: kern.info を別ファイルに。
これで妥協しる。
904 名前：login:Penguin mailto:sage [04/01/15 16:14 ID:9lkUl6eQ]: ULOGD使えば良いじゃん。
905 名前：login:Penguin [04/01/29 10:25 ID:RwxKCNx4]: ACCEPT
906 名前：login:Penguin [04/01/29 17:26 ID:GtwwfVhK]: 文法なかなか覚えられない・・・
iptablesの文法使った戦争ゲームとかどっかに無い？
907 名前：login:Penguin mailto:sage [04/01/29 17:42 ID:2uXbuLxE]: ひとつひとつの意味が理解できれば
大丈夫じゃないですか？
908 名前：login:Penguin mailto:sage [04/01/30 01:04 ID:kWHwzrG8]: >>906
iptables 自体が戦争ゲームの防御機能みたいなものだよ。
>>907の言う通り文法を暗記するのではなく理解した方がいいと思う。
あとはたまに man すればばっちり。
909 名前：login:Penguin mailto:sage@vine2.0def [04/01/30 01:15 ID:QKcC6u2+]: www.google.com/search?hl=ja&inlang=ja&ie=Shift_JIS&q=%2Fetc%2Fsyslog.conf+iptables+%2Fvar%2Flog&btnG=Google+%8C%9F%8D%F5&lr=
lists.ze-linux.org/2003-05/msg00150.html
これかなぁ
warnで取った時のみっぽいんだけど
他にwarnのlevelで取ってるlogが入る？
910 名前：login:Penguin mailto:sage [04/01/30 01:43 ID:fxnx4e7o]: あ、903に書いてあった･･･
しかもulogdでこのスレ出てるわ
911 名前：login:Penguin [04/02/03 22:25 ID:C5BhcL2G]: iptablesコマンドが使えなくて困り果てています。
原因をわかる方お教えください。
Vine2.6r3です

root@nel root]# cd /sbin
[root@nel sbin]# ./modprobe iptable_nat
[root@nel sbin]# lsmod
Module Size Used by Tainted: P
iptable_nat 25012 0 (unused)
ip_conntrack 30868 1 [iptable_nat]
ip_tables 15712 3 [iptable_nat]
ppp_synctty 6144 0 (unused)
　・
　・
[root@nel sbin]# iptables -L
bash: iptables: command not found
912 名前：login:Penguin mailto:sage [04/02/03 22:26 ID:qlVudEuZ]: ./sbin/iptables
913 名前：913 [04/02/04 00:42 ID:t9kcWz6B]: すみません、パッケージインストールしてませんでした（^^;;;
914 名前：login:Penguin mailto:sage [04/02/04 01:07 ID:7e4mKWxh]: だめだこりゃ
915 名前：　 [04/02/04 03:33 ID:F+Z9Z/4t]: iptablesに関してはいつまでも疑問、質問が尽きないと思います。
それもこれも全部これから覚えようという矢先に立ちすくんでいる
コマンドだから。慣れてないしね。
ということで安易な提案です。アルファベットのコマンド郡は
すべて日本語表記とします。標準化した単語にし羅列しましょう。
そしてフィルターにかけるのです。少々のパラメータ違いは
フィルターで修正してください。誰か作ってくだされ。
eth0からeth1へは：元が：事務所のアドレスだったら：すべて通す　とか。
916 名前：login:Penguin mailto:sage [04/02/04 03:37 ID:aLiPA/XT]: >>915
なんとなく微妙。
917 名前：age mailto:age [04/02/04 04:10 ID:DbzlYo5+]: age
918 名前：login:Penguin mailto:sage [04/02/04 21:02 ID:swx+Xtgw]: >>915
その割にはこのスレのスピード遅くないか？
919 名前：　 [04/02/06 16:27 ID:fz+aop2Z]: 微妙でしたね。
突起したスレッドへ質問するんじゃなくて、縦横無尽に
iptablesの質問が投げられている気がするんです。2chに
かぎりません。検索して調べ自力でするにしても他人のを
テンプレートにしてシコシコ編集している感じでしょうか。
まぁそれでもいいのですが、やりたいことはこの中にある！
って感じのテンプレでもあれば最高なんですが、各行が何を
あらわしているのか初心者には？？かも。
ラベル説明も入れてのテンプレート、それもeth0とeth1と
２枚NICでのスルーフィルターなテンプレートって少ないんですよね～。
920 名前：login:Penguin mailto:sage [04/02/06 17:12 ID:04ULX46k]: >>919
んじゃ作ってみてよ。
921 名前：login:Penguin mailto:sage [04/02/06 22:15 ID:UT6SDYh9]: >>919
> 突起したスレッドへ質問するんじゃなくて、縦横無尽に
> iptablesの質問が投げられている気がするんです。2chに
> かぎりません。検索して調べ自力でするにしても他人のを
ほぅ。。。

> かぎりません。検索して調べ自力でするにしても他人のを
> テンプレートにしてシコシコ編集している感じでしょうか。
そうなの？
漏れは普通にマニュアル読んでスクリプト書いてゲートウェイマシンに適用した。
何も問題なかった。
いじょ。

つか、iptablesがわからないんじゃなくて、そもそもTCP/IPの知識がない奴が
ハマってるだけでは？
いわゆる馬鹿の壁っつーかなんつーか。。。
922 名前：login:Penguin mailto:sage [04/02/07 02:34 ID:VzjK3kpe]: >>921
最後の一行以外は完全に同意。
本やサイトで「iptables を使おう」みたいな記事を読んで
iptables を使いたくなったが基本は分かってない感じ。

>>915
ひまわりに見えますw
923 名前：login:Penguin mailto:sage [04/02/07 11:10 ID:Zq5GnRyj]: >>922
ん？

> つか、iptablesがわからないんじゃなくて、そもそもTCP/IPの知識がない奴が
> ハマってるだけでは？
これと

> いわゆる馬鹿の壁っつーかなんつーか。。。
これはイコールだぞ？
これまた馬鹿の壁か？ｗ
924 名前：login:Penguin mailto:sage [04/02/07 11:50 ID:ja1uYjiA]: (´∀｀)?
925 名前：arisa ◆QaHT6HayjI mailto:modamepo@infoseek.to [04/02/07 13:48 ID:UWh76jPU]: >>915
問題。
>eth0からeth1へは：元が：事務所のアドレスだったら：すべて通す
これをiptablesのコマンド使って翻訳し、コマンドとして表現せよ。
926 名前：login:Penguin mailto:sage [04/02/07 13:52 ID:QLNYA2hb]: iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
927 名前：login:Penguin [04/02/07 17:38 ID:udK8N3uQ]: 解説サイトでよくあるけどさぁ、
INPUTのルールでサービスを提供するポートのdportの指定があるのはわかるけど、sportの指定があるのはなぜ？
Webサーバーを提供するときにさぁ、INPUTでdportとsportに80番を指定して、REJECTしてる理由よ。
よくわからへんねんけどさぁ、俺が馬鹿なだけ？
928 名前：login:Penguin mailto:sage [04/02/07 17:41 ID:udK8N3uQ]: >>927
正誤表
正 ACCEPT
誤 REJECT
929 名前：login:Penguin mailto:sage [04/02/07 18:00 ID:Zq5GnRyj]: >>927-928
言ってることがよくわからん。
具体例示してくれ。
930 名前：login:Penguin mailto:sage [04/02/07 18:49 ID:U9qG3rAZ]: penguin.nakayosi.jp/linux/iptables.htmlこれを見ると

# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# iptables -A INPUT -p tcp --sport 80 -j ACCEPT

というようにTCPパケットの送信先、送信元が80番
というように二つずつACCEPTしてる。
これはどうしてなんでしょうか。--dportだけで
十分なのではないでしょうか。
931 名前：login:Penguin mailto:sage [04/02/07 19:01 ID:U9qG3rAZ]: 解説しよう。
上の--dportというのは見ての通りホストに対する80番ポートへの
パケット。Webサーバを起動したらこれをしないとパケットが
Webサーバに届かない。当たり前のこと。
そして下の--sport。これは"Webサーバとは関係ない"。これは
ホストが外部のWebサーバに接続したときに、サーバーから
帰ってくるパケットを許可する設定。これがないとWebサーバとしては
機能するが、ブラウザでのブラウジングができない。

ということ、です。
932 名前：login:Penguin mailto:sage [04/02/07 20:11 ID:udK8N3uQ]: >>930
代返ありがとう。

>>931
御回答ありがとうございます。
用途によると思うが、クライアントとして使う場合は状態をみてACCEPTした方がよろしいのかな？
# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
933 名前：login:Penguin mailto:sage [04/02/07 20:41 ID:U9qG3rAZ]: >>932
わたしもそれの方がいいと思いますがね。
--sportでわざわざポートを限定する意味が素人には
わかりません。
934 名前：login:Penguin mailto:sage [04/02/08 13:15 ID:hBU9GIC0]: 外からのpingに反応しないように、下の２行を追加したんだけど
自分から外へのpingもできなくなってしまった。

---
# 内部からのICMPのパケットは受け入れ、外部からのを拒否する
iptables -A INPUT -p icmp -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p icmp -s ! 192.168.1.0/24 -j DROP
---
$ ping www.yahoo.co.jp
PING www.yahoo.co.jp (202.229.198.216): 56 data bytes

--- www.yahoo.co.jp ping statistics ---
8 packets transmitted, 0 packets received, 100% packet loss
---

外へのpingができるようにするにはどうすればいいでしょうか？
935 名前：login:Penguin mailto:sage [04/02/08 13:29 ID:3CpldwhF]: -A INPUT -i 外部 -p icmp --icmp-type echo-reply -j ACCEPT
936 名前：934 mailto:sage [04/02/08 13:43 ID:hBU9GIC0]: >>935
外へのpingができるようになりました。
ありがとうございました。
937 名前：login:Penguin [04/02/08 16:28 ID:OgV6kuhw]: ﾏﾝﾄﾞｸｻけりゃfirestarter入れて、http/httpsだけokにしてみるとか...
後で変更できるしさ。
938 名前：login:Penguin [04/02/10 04:11 ID:HvsgswwF]: なんでiptablesコマンドから入力するの？
直接設定ファイルをviなんかで編集したほうが早くない？
939 名前：login:Penguin mailto:sage [04/02/10 05:38 ID:EKfBTiOO]: >>938
( ﾟдﾟ)ﾎﾟｶｰﾝ
(ﾟдﾟ)ﾎﾟｶｰﾝ
940 名前：login:Penguin mailto:sage [04/02/10 08:15 ID:ev+xTTzm]: ↓クマのAA
941 名前：名無しさん＠Ｅｍａｃｓ mailto:sage [04/02/10 08:25 ID:8ClRZTDp]: >>938
その程度の餌でこの俺様が釣られるとでもおもってクマー（ＡＡ略
942 名前：login:Penguin [04/02/10 20:54 ID:LYDwZlxW]: kernel2.6もiptables？
943 名前：login:Penguin mailto:sage [04/02/10 21:03 ID:L2A2eZa/]: YES /sbin/ip6tables
944 名前：login:Penguin mailto:sage [04/02/15 18:55 ID:/2jmpG91]: DNAT されたパケットに対する応答パケットの送信元アドレスの書き換えは、
同じく PREROUTING チェーンの中で行われるのでしょうか。それとも別の
タイミングなのでしょうか。
945 名前：login:Penguin mailto:age [04/02/23 02:01 ID:KDLbghqF]: ARP パケットを通す設定ってどうなるん？
iptables -A INPUT -p arp -s x.x.x.x/xx -j ACCEPT
としてもそんなプロトコルしらぬ、とiptables様はおっしゃる。

>>454 の書き込みを見る限り　ARP　を通す設定があるようですが
どなたか知識人の方教えてくだされ
946 名前：login:Penguin mailto:sage [04/02/23 06:51 ID:BIDre0/I]: >>945
>>443 の人の設定を見る限り、ループバックアドレスは 127.0.0.1/32 だと思ってるらしい。
さらに arp はユニキャストだと思ってるらしい。
。。。てなわけで、回答としては、

ループバックは lo <-> lo の通信なので、無意味なアドレス指定を外せ。
鯖の eth1 インターフェイス側ではブロードキャストアドレスも許可汁。

ってことでそ？
947 名前：login:Penguin mailto:sage [04/03/04 14:34 ID:Fe5cC56v]: 備忘録

#/bin/sh
IPTABLES=`which iptables`

/etc/init.d/iptables stop
#$IPTABLES -t filter -F
#$IPTABLES -t nat -F

$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
#$IPTABLES -A INPUT -i ppp0 -p tcp --syn -j DROP

$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 22 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 25 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p udp --dport 53 -j ACCEPT
#---DNS in out
$IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -p udp --sport 53 -j ACCEPT
$IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 53 -j ACCEPT
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 137:139 -j DROP
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 137:139 -j DROP
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 445 -j DROP
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 445 -j DROP
$IPTABLES -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
$IPTABLES -A log_drop -j LOG --log-level warning --log-prefix iptables:
echo 1 > /proc/sys/net/ipv4/ip_forward
948 名前：login:Penguin mailto:sage [04/03/05 00:12 ID:4wkNrEoJ]: なんか中途半端。。。

つか、IPTABLES=`which iptables`って意味あるのか？
which で見つかるなら、最初から変数使わずに iptables って書いときゃいいじゃんか。
949 名前：login:Penguin mailto:sage [04/03/05 00:17 ID:3NF/yX0Q]: 本人の防備なんだろうが…ポート80ないね（ｗ
950 名前：login:Penguin mailto:sage [04/03/05 00:31 ID:DRThXmib]: >>949
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
951 名前：login:Penguin mailto:sage [04/03/05 20:36 ID:3NF/yX0Q]: そかそか
952 名前：login:Penguin mailto:sage [04/03/05 20:54 ID:UuOv6tA1]: >>947,>>951
途中のACCEPTはあんまり意味無いし．．
むしろ、穴だらけでは？
953 名前：login:Penguin mailto:sage [04/03/06 11:45 ID:4PFQWz/N]: >>949-952
いや、単なる加工前のベースサンプルみたいなもんだろ？
まさか自分が作ったスクリプト晒すわけないし。
それにしちゃ、ポータビリティが悪いなってのがオレ（>>948）の感想。
954 名前：login:Penguin mailto:sage [04/03/06 15:25 ID:3U7kIdoY]: 2ch流なふさぎ方ならどう書く？
955 名前：login:Penguin [04/03/06 17:19 ID:joVGMsO4]: 今月のSDでも読んどけや
956 名前：login:Penguin mailto:sage [04/03/06 19:10 ID:ec2h7riP]: なんとなく自分のスクリプトを貼ろうと思ったが、長すぎるからやめておこう。
957 名前：login:Penguin mailto:sage [04/03/07 23:05 ID:CwmvGaDa]: しかしスレ頭の方の飛ばしっぷりとは対照的な流れだな。
958 名前：login:Penguin mailto:sage [04/03/09 02:34 ID:MGL6T2CF]: >>954

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward
959 名前：login:Penguin [04/03/12 18:44 ID:ege7RAN8]: lan内のマシンから外のマシンへのftpに接続できないので教えてください。
ルータマシン fedora 192.168.0.1
lan内のマシン winxp 192.168.0.2
です。
960 名前：login:Penguin mailto:sage [04/03/12 18:58 ID:Kq4KHqkq]: >>959
www.google.co.jp/search?num=100&hl=ja&ie=Shift_JIS&c2coff=1&q=iptables+ftp&lr=lang_ja
961 名前：login:Penguin [04/03/12 19:15 ID:ege7RAN8]: >>960
いや、もちろんぐぐりました。
よくわからなかったんでここで聞いてるのですが。
962 名前：login:Penguin mailto:sage [04/03/12 20:38 ID:YIAKmyge]: パソコンに、ルーターとかポートリダイレクトをさせるなら、
FreeBSDのほうが簡単だと思う。
カスタムカーネルをコンパイルしてrc.confを書き換えるだけでルーター化できた。
Linuxのiptablesは煩雑で使いにくい。
963 名前：login:Penguin mailto:sage [04/03/12 23:15 ID:zFmHxORE]: >>962
簡単便利だが、、、
964 名前：login:Penguin mailto:sage [04/03/13 08:56 ID:w20oMagl]: >>959
>>958
965 名前：login:Penguin mailto:sage [04/03/13 11:32 ID:5vRgI0LG]: >>962
> カスタムカーネルをコンパイルしてrc.confを書き換えるだけでルーター化できた。
Linuxならカーネルそのまんまで、超絶簡単なスクリプト書くだけでルーター化できるが？
966 名前：login:Penguin mailto:sage [04/03/13 12:17 ID:q6ERIOT5]: 「カーネルそのまんま」って、.config は誰がどうやって書いた？
967 名前：login:Penguin mailto:sage [04/03/13 14:35 ID:QbeWeuG5]: >>965
FreeBSDの場合、カーネル構築も簡単だと思う。その辺のまとまり具合は素晴らしい。
デフォルトのカーネルに余計な機能は無いほうがいい。
Linux, BSDに限らず、余計なドライバ、機能は削除したほうがいい。

↓妥当な意見だと思うが。

www.unreal-info.net/ut/linux/router.html
最近のディストリが採用しているカーネル2.4系では
iptablesというコマンドしかうまく使えないのだが
実は公式ドキュメントが凄く複雑な上に、明快な例が無い為、
全く分からない。しかも、web検索でも資料が見つからない。
968 名前：login:Penguin mailto:sage [04/03/13 21:54 ID:Qt/Mg50m]: 検索の仕方次第だと思われ
969 名前：login:Penguin mailto:sage [04/03/13 22:09 ID:NRLvqNcc]: iptablesは分り難い。慣れればなんてことはないけど。
慣れた後の人間が初心者を煽る構図はバッドノウハウ的だ。
970 名前：login:Penguin mailto:sage [04/03/13 23:45 ID:5vRgI0LG]: >>966
まさに馬鹿の代表意見だな。
喪前はディストロをフルスクラッチから構築してんのか？ｗ
971 名前：login:Penguin [04/03/13 23:49 ID:wo2zxqnL]: よくわかりませんが鳥インフルエンザおいときますね。
　　　　 , - ､, - ､
　　 , - ､i'･e･ヽ,,･ｧ, - 、
　 4 ･　ゝ - ､i'e･ヽ､･ｧ
　ゝ　　i e･　ヽ､ ,,.-''´|
　|｀"''-,,_i　　 ,,.-''´ 　　 |
　|　　　　"'''i"　　　 ,,.-'"
　｀"''-,,_.　　|　 ,,.-''"
　　　　 "'''--
972 名前：login:Penguin mailto:sage [04/03/13 23:55 ID:5vRgI0LG]: >>967
> FreeBSDの場合、カーネル構築も簡単だと思う。その辺のまとまり具合は素晴らしい。
焦点をボカす以外の目的で、カーネル構築の簡単さに主題を移す必要はない。
>>962 を読む限り、

FreeBSD＞カーネルの再構築をしなければルーターが作れない
Linux＞インスコしたら即ルーター化可能

ってことになる。
iptables に関しては、あくまでも個人のスキルの話で、システムとは一切関係ない。

> 実は公式ドキュメントが凄く複雑な上に、明快な例が無い為、
> 全く分からない。しかも、web検索でも資料が見つからない。
公式ドキュメントが何を指しているのかわからんが、前にも誰かが書いてた通り、
iptables の man 読めば普通に分かるはず。
分からないのは iptables がどうとかではなく、TCP/IP の知識がないからだろ。
たとえば、>>962 に合わせてオレも「ルーター」と書いてるが、ルータならまだしも、
ゲートウェイを「ルーター」とか書いてるような奴が、まともにドキュメント読めるとは
到底思えない。
973 名前：login:Penguin mailto:sage [04/03/14 00:00 ID:iIa6BLF1]: >分からないのは iptables がどうとかではなく、TCP/IP の知識がないからだろ。
これは確かにそうだけど、ものの試しに使おうとしている
初心者にとってはつらい意見ではあるね。
知識をつけるまでほったらかしって訳にも行かないからねぇ。

とりあえずこんな風にしとけよボケというドキュメントが
あるといいなぁと昔ipchainsと格闘してた時に思った漏れ。
974 名前：login:Penguin mailto:sage [04/03/14 00:19 ID:IKR6AkPH]: >>969
> iptablesは分り難い。慣れればなんてことはないけど。
問題は慣れじゃないだろ。

> 慣れた後の人間が初心者を煽る構図はバッドノウハウ的だ。
今までの流れが煽りに見えるとしたら、馬鹿の僻みにしか見えないからやめとけって。

iptables は、明らかに Linux における TCP/IP スタックの実装と、TCP/IP に関する
ある程度以上の知識を持っていることを前提として作られている。

それを慣れで克服した人間は「iptables は難しい」と言うが、元々想定されたレベル
以上の人間からは、「普通にわかるだろ？」という返事がくる。
これは iptables が難しいと思っていては解決できないことで、単に FreeBSD とは
ポリシーが違うだけの話だろ？
まぁ、その逆に、netfilter や iptables を作ってる側が、想定レベルが高すぎだと思えば、
今のこの状況も変わるかもしれんが。
975 名前：login:Penguin mailto:sage [04/03/14 00:30 ID:IKR6AkPH]: >>973
> 初心者にとってはつらい意見ではあるね。
これは正にその通りだと思う。
。。。けど、作ってる側はそういう事象を、まるで意識してないように見える。

>>974読めばもうちょっと分かると思うが、要するにターゲットとしてる層が違うんだろうな。
たとえば RHL の場合、単体のホストとして設定するなら、インスコの際の設定で十分なわけで、
ゲートウェイに仕立て上げるためには、使い方を理解した上で、自分でスクリプト書ける
ぐらいじゃないとダメ。

ゲートウェイ作る→それなりの人間→それなりのスキルを要求

前提条件がこんなんだから、難しい、難しくないに分かれる。
んで、当然この板においては、前提条件考慮するから、「難しくない」が正解なんだが、
「ホントにそうなの？」って聞かれると弱いってのが本音。
976 名前：login:Penguin mailto:sage [04/03/14 00:40 ID:2N5FBvtG]: いちど設定して、雛型ができたら、
それ以降は
なにか"困ったこと"が発生しない限り
設定をいじる必要はないし

複雑なことをしてる環境以外では
"困ったこと"は半永久的に発生しない。

修正も、IPアドレスの数字を書き換える程度で済む。

Linuxに iptables/ipchains があるように
FreeBSD にも ipf/ipfw のふたつがあったような...
natd.conf とかいじったような...

手間はどっちでも似たようなもんだと思う。

カーネルの再構築はFreeBSDの

cd /usr/src/sys/どこか/conf/どこか
cp GENERIC なにか
vi なにか
config なにか
cd ../どこか/compile/なにか
make && make install

がLinuxに比べて簡単とは思わない。
977 名前：login:Penguin mailto:sage [04/03/14 00:52 ID:P9TveHD/]: rule,policy,target,chain,table
これらの言葉を分りやすく説明してみて>>974
初心者が戸惑う用語だと思うので。
978 名前：名無しさん＠お腹いっぱい。 mailto:sage [04/03/14 00:56 ID:lRNzznp3]: >>972
ｷﾁｶﾞｲ登場
>焦点をボカす以外の目的で、カーネル構築の簡単さに主題を移す必要はない。
意味不明
>ゲートウェイを「ルーター」
ﾊｱ？
979 名前：名無しさん＠お腹いっぱい。 mailto:sage [04/03/14 01:33 ID:lRNzznp3]: >>972
FreeBSD＞カーネルの再構築をしなければルーターが作れない
Linux＞インスコしたら即ルーター化可能
カーネルに何でも詰め込んでおけばいいと思ってる馬鹿確定だな。
いちおう、とくべつにおしえてあげるけど、
genericカーネルのオプションをわざとはずしてあるんだよ。
980 名前：login:Penguin mailto:sage [04/03/14 01:35 ID:E+pTxKX6]: こんなところで宗教論争するのはやめてくれ。
981 名前：login:Penguin mailto:sage [04/03/14 01:37 ID:hpnpscsA]: つーかさ、スレタイも読めない馬鹿は消えろよ。
982 名前：login:Penguin mailto:sage [04/03/14 01:41 ID:SK2Hn/YY]: *BSD厨(一般ユーザーにあらず)はUNIX板では無視される．
ここではバカ扱いながらも相手をしてもらえる．
983 名前：login:Penguin mailto:sage [04/03/14 01:59 ID:NdiXnNkU]: Holy Wars
ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━ !!
984 名前：login:Penguin mailto:sage [04/03/14 02:29 ID:NdiXnNkU]: どうせ今日は日曜なんだしこれ見て勉強しよう！w
Manpage of IPTABLES
ttp://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
Linux・iptables・設定・ファイアウォール・セキュリティ
ttp://penguin.nakayosi.jp/linux/iptables.html
典型的(?)なパケットフィルタリングiptables の設定方法
ttp://tlec.linux.or.jp/docs/iptables.html
iptables でファイヤウォール - Linux で自宅サーバ
ttp://www.miloweb.net/iptables.html
第7回 Linux研究会セキュリティ対策 iptables
ttp://www.mtc.pref.kyoto.jp/linux-ken/2003/security6.htm
netfilter/iptables FAQ
ttp://www.linux.or.jp/JF/JFdocs/netfilter-faq.html
Linux のソフトウェアファイアウォール (iptables) の設定方法
ttp://www.astec.co.jp/products/ASTECX/FAQ/iptables.html
ルーター設定メモ (iptables)
ttp://www.servj.com/pc/howto/rh73_3.html
Linux 2.4 Packet Filtering HOWTO: iptables を使う
ttp://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO-7.html
Linux Security - iptablesによるパケットフィルタリング
ttp://cyberam.dip.jp/linux_security/iptables.html
Linuxで作るファイアウォール［NAT設定編］
ttp://www.atmarkit.co.jp/flinux/rensai/security04/security04a.html
iptables - Hiroshi Ichisawa Wiki
ttp://www.comm.soft.iwate-pu.ac.jp/ichisawa/pukiwiki/pukiwiki.php?iptables
985 名前：login:Penguin [04/03/14 11:28 ID:IKR6AkPH]: >>977
初心者はFedoraでもインスコして、ファイアウォール設定だけやってりゃいい。
勝手に自分の身の丈を越えた事をやろうとして失敗する奴は、己を知らない愚か者。

>>978
いくらなんでも馬鹿すぎだろ？ｗ

>>979
> カーネルに何でも詰め込んでおけばいいと思ってる馬鹿確定だな。
そのまま使ってもいいし、再構築してもいいし、そんなこたゲートウェイの構築とは
一切関係ない。

> いちおう、とくべつにおしえてあげるけど、
> genericカーネルのオプションをわざとはずしてあるんだよ。
だから何？
986 名前：login:Penguin mailto:/ [04/03/14 11:37 ID:Pn9w+vZW]: ('A`)
987 名前：login:Penguin [04/03/14 11:52 ID:P9TveHD/]: >>985
ごたくならべて役立つこと何一つ書かないおまえみたいなのが一番要らない。
988 名前：login:Penguin [04/03/14 12:25 ID:IKR6AkPH]: >>987
んじゃ、一番いらないのはお前だなｗ
989 名前：login:Penguin [04/03/14 12:31 ID:P9TveHD/]: もしかして、偉そうなこといってておきながら
>>977に答えられないのか？
990 名前：login:Penguin [04/03/14 12:35 ID:P9TveHD/]: IKR6AkPH
DQN晒し挙げ

初心者相手に上級者ヅラ。
無能なアホがハッタリかましてるだけ。
どっちにしてもろくなもんじゃねえな。死ねよ
991 名前：login:Penguin [04/03/14 12:46 ID:IKR6AkPH]: >>989
今更言うことじゃないから放置しただけなんだが、相当な粘着気質だねぇ。
偉そうも糞も、わかってることが前提で作られてるって何度も書いてんだから、
初心者持ち出す時点でお前の論点はズレている。

繰り返しになるが、初心者が iptables を明示的に使う必要はない。
fedoraでもrhlでもインスコして、ファイアーウォールの設定すればいいだけ。
なんで TCP/IP やセキュリティの知識のかけらもないような輩が、
わざわざゲートウェイ構築する必要がある？
どうしてもって言うなら、一から TCP/IP について勉強してからにすれば？
992 名前：login:Penguin [04/03/14 12:52 ID:IKR6AkPH]: あ、なんかふと見たらスゲー勢いで連カキしてたんだ？ｗ
なんか勘違いしてるみたいだが、何も中身がなく、ただただ他人のカキコに
噛み付いてるだけの寄生虫に存在意義があるんか？ｗ
993 名前：login:Penguin [04/03/14 13:09 ID:P9TveHD/]: >>991
>今更言うことじゃないから放置しただけなんだが、相当な粘着気質だねぇ。
>偉そうも糞も、わかってることが前提で作られてるって何度も書いてんだから、
>初心者持ち出す時点でお前の論点はズレている。
>
>繰り返しになるが、初心者が iptables を明示的に使う必要はない。
>fedoraでもrhlでもインスコして、ファイアーウォールの設定すればいいだけ。
>なんで TCP/IP やセキュリティの知識のかけらもないような輩が、
>わざわざゲートウェイ構築する必要がある？
>どうしてもって言うなら、一から TCP/IP について勉強してからにすれば？

さてあなたのネットワークに関する幅広い知識でも披露してもらおうか。
おれはしったか野郎が死ぬほど嫌いなんだよ。知ったかは死ね。
994 名前：login:Penguin [04/03/14 13:10 ID:P9TveHD/]: IKR6AkPH

たかだかiptablesぐらいで得意になってるアホ。痛すぎる。泣けて来るぜ
995 名前：login:Penguin mailto:sage [04/03/14 13:12 ID:RMQDgqmJ]: IKR6AkPHは痛いが、ムキになって相手をするP9TveHD/も痛いぞ。
996 名前：login:Penguin mailto:sage [04/03/14 13:18 ID:WcdQI0Gv]: >>993
何も知らない香具師が偉そうにしているのも嫌いだなぁ．．．
997 名前：login:Penguin [04/03/14 13:20 ID:LFBHTPZI]: 見苦しい。知識や経験は共有してこそ、はじめて価値がでるものだ。
知識の出し惜しみをするのなら、この板から去れ！
また、初心者のかたも多少聞き方に留意して欲しい。
中級、上級者も人間だ。多少、苛立つこともある。
そこのところはわかって欲しい。
998 名前：login:Penguin [04/03/14 13:22 ID:IKR6AkPH]: せっかく反面教師として ID:P9TveHD/　が名乗り出てくれたんで説明しとく。

世の中には、iptables がわからないって奴が結構沢山いる。
何度も書いたと思うが、これは大抵勘違いで、実は前提条件とされてる知識に欠けてるだけ。

必要なのは以下のようなもの。

1. 簡単な英語読解力（たぶん中学生程度？）
2. Linux kernel のパケットの扱い（必要なことはドキュメントに書いてある）
3. TCP/IP 一般に関する知識
4. ヴィジュアルな想像力

これらをどの程度持っているかによって、iptables の難易度は変化する。
man iptables すれば分かるって奴は、これらが必要十分な量に達しているってこと。

Q. rule、policy、target が分かりません。
　→英語の問題です。英和辞典で調べてください。
Q. INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING が分かりません。
　→netfilter の設定をするのに十分な説明はドキュメントにあります。
Q. 設定は間違いないのですが、DNSが引けません。またはftpの接続が出来ません。
　→TCP/IP に関する基礎知識を身に付けた上で、利用しているデーモンのドキュメントを
　　熟読してください。
Q. chain、table が分かりません。
　→想像力が欠落しているようです。もし難しいなら絵に描いてみてください。

この辺りのことを、なぜか「iptables がわからない」と表現する奴は一生分かるわけねーよな。
そもそも初心者＝初級者だと思って時点で、相当頭悪いんで気をつけたほうがいい。
初心者は大抵初級者でもあるが、例外もいるし、初級者が初心者とは限らない。
999 名前：login:Penguin [04/03/14 13:23 ID:P9TveHD/]: IKR6AkPH

何も知らない分際で、上級者の素振りだけはしたがるという
バッドノウハウを体現したような人間だな。今時こんな人間に
ものを尋ねたいなどと考える香具師はいないので、さっさと
質問スレから出ていってくれ。
1000 名前：login:Penguin [04/03/14 13:24 ID:LFBHTPZI]: おわり
1001 名前：１００１ [Over 1000 Thread]: このスレッドは１０００を超えました。
もう書けないので、新しいスレッドを立ててくださいです。。。

[ 新着レスの取得/表示 (agate) ] / [ 携帯版 ]

read.cgi ver5.27 [feat.BBS2 +1.6] / e.0.2 (02/09/03) / eucaly.net products.
担当:undef