おい、iptablesの使い方を具体的に詳しく教えろ！

1 名前：初心者 [01/09/18 21:50 ID:vcHWxUb2] 家庭内ＬＡＮのルーターとして使いたい。 web, ftp, mailサーバーをうごかしつつ、ＩＰマスカレードして ＬＡＮのＰＣをそとにつなげたい。 コネクションはＡＤＳＬ、ＩＰはグローバルひとつだけ。 具体的なiptablesのコマンドを教えろ。 それと、/etc/sysconfig/iptablesって何なの？これについてもね。 急いでいるのですばやい解答を求む 560 名前：login:Penguin [03/03/09 20:25 ID:QuvhghEb] RedHat8.0でsamba鯖立てたんですが、それ以来linux機のport445 向けにやたらとアクセスがあります。 (samba鯖を立てるのと同時にlan内のwindows2000のファイル/プリンタ の共有をonにしました) dport または sportが137,139,445番のものは外に出て行かない 設定(outputチェーンとforwadチェーン)にしてあるんですが、 どうやってファイル・プリンタの共有を使っていることが外に 漏れているのでしょうか？ InterNet--Linux(ルータ、samba鯖)--Windows2k という状態です。 #445番ポートへのアクセスはルータではじいているので #問題は無いんですが気持ち悪くて。。 561 名前：login:Penguin mailto:sage [03/03/09 21:17 ID:kMk9l5b4] >>560 世の中には全世界に自分のPCを公開されている方もいらっしゃるのです。 562 名前：login:Penguin mailto:sage [03/03/10 13:25 ID:Hsw7n9Nw] >>561 あれ、じゃぁsamba機立てて以来っていうのは気のせいかなぁ #と思ってlog確かめてみたら以前から結構ありました（鬱 #他のを一部log取らなくしたから、相対的に目立っただけみたい。 563 名前：login:Penguin [03/03/11 10:20 ID:Ehfs/+kN] ポリシーを $IPTABLES -P INPUT DROP $IPTABLES -P OUTPUT DROP $IPTABLES -P FORWARD ACCEPT にしてるルータ＆サーバ機で，up2dateできるようにするには， どのポートをACCEPTすればいいの？ 564 名前：login:Penguin [03/03/11 10:22 ID:Ehfs/+kN] やっぱりup2dateするときには 毎回iptablesを止めるしかないのかな？ 565 名前：login:Penguin mailto:sage [03/03/11 23:44 ID:P57qZN4D] IPマスカレードするために # iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE とすると iptables: Invalid argument となるんですが、何か間違ってるでしょうか？ (iptables v1.2.7a) 566 名前：login:Penguin [03/03/12 02:40 ID:aCzumorg] # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE ではどうですか？ 見当違いでしたらすみませんが。。。 567 名前：login:Penguin mailto:sage [03/03/12 03:10 ID:prfBeMqO] saveってどこに保存してるんだよ 568 名前：login:Penguin [03/03/12 09:38 ID:ND3bGnDV] FORWARD,INPUT,OUTPUTのポリシーをDROPにしてSYNフラグのたってるパケットはACCEPT、FORWARDチェインで80,53,110,25,443をACCEPTにしてるのですが、MSNメッセンジャーのポートをあけても接続できません。 iptables -A FORWARD -o ppp0 -p udp --dport 2001:2120 -j ACCEPT iptables -A FORWARD -o ppp0 -p udp --dport 6801 -j ACCEPT iptables -A FORWARD -o ppp0 -p tcp --dport 6891:6900 -j ACCEPT iptables -A FORWARD -o ppp0 -p tcp --dport 6901 -j ACCEPT iptables -A FORWARD -o ppp0 -p udp --dport 6901 -j ACCEPT iptables -A FORWARD -o ppp0 -p udp --dport 3389 -j ACCEPT iptables -A FORWARD -o ppp0 -p tcp --dport 3389 -j ACCEPT iptables -A FORWARD -o ppp0 -p udp --dport 1503 -j ACCEPT iptables -A FORWARD -o ppp0 -p tcp --dport 1503 -j ACCEPT と追加したのですが、接続することができません。 他に何かしなければならないことがあるのでしょうか？ 569 名前：565 mailto:sage [03/03/12 14:20 ID:TnW6KHA7] >>566 > # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE かわらず、Invalid argument 570 名前：login:Penguin [03/03/12 15:09 ID:5yowNZZq] test 571 名前：login:Penguin mailto:sage [03/03/12 15:31 ID:BmzHoCqU] >>568 FORWARDってインタフェイス指定するの？ 572 名前：login:Penguin [03/03/12 18:26 ID:FZ//L828] iptablesを勉強するのによい本ってありますか?(日本語で) 本屋で「絵でわかるLinuxセキュリティー」という本をパラパラと みたらiptablesの解説があったけど、それ以外で解説してある本を 見たことありません。 573 名前：login:Penguin mailto:sage [03/03/12 20:30 ID:CW8h+DPK] >>567 /etc/sysconfig/iptables 574 名前：login:Penguin mailto:sage [03/03/12 20:42 ID:CW8h+DPK] メッセンジャーって動的NATじゃなくて静的NATでないと出来ないんでない？ 俺自身は使ってないから、わからんのだけど。 575 名前：名無しさん＠カラアゲうまうま mailto:sage [03/03/12 21:05 ID:hPzcJVgX] ネットワークやセキュリティは日進月歩いや秒進分歩の世界なので、 本として出版してもあっという間に時代遅れになってしまいます。 雑誌で特集組むことがあると思うので、そういうのを参考にするか、 頑張ってネットで探すか、 最後の手段として＊ちゃ＊ねるで聞くといいでしょう。 576 名前：1 [03/03/12 21:27 ID:I7tMxUJU] おまえらチンカスども、まだこんなことでごちゃごちゃやってるのかよ 進歩がねー包茎やろうどもだ だから童貞君はいやだね さっさとくたばれ、チンカスやろう 577 名前：login:Penguin mailto:sage [03/03/12 21:40 ID:cboyNL6n] >>572 ないです。 それとその本間違いが多いから買わないほうがよいですよ！ 578 名前：login:Penguin mailto:sage [03/03/12 22:23 ID:2XyrGEWk] >>572 今売りのLinuxMagazineで特集してるが・・・ 579 名前：login:Penguin mailto:sage [03/03/13 00:47 ID:8BcSDQO4] www.geocities.co.jp/SiliconValley-Oakland/2901/ iptablesの初期化スクリプトを作成中。 改善案きぼん。 580 名前：login:Penguin mailto:sage [03/03/13 03:35 ID:CvrTDbSk] >>579 Webから設定できるようになるの？ 581 名前：579 mailto:sage [03/03/13 06:43 ID:8BcSDQO4] >>580 できるように・・・・・したいなぁ。 582 名前：login:Penguin [03/03/13 11:22 ID:NuUlbm/g] ADSLモデムでつないでるでつ LinuxBoxをルーターにしつつWeb鯖にしたいでつ おまいらのおすすめのiptablesおせーろや！おながいしますお代官様〜ぁ 583 名前：login:Penguin mailto:sage [03/03/13 11:23 ID:NuUlbm/g] ついでにNIC2枚なのでローカルIP振ってマスカレードさせたいんです…｡･ﾟ･(ﾉД`)･ﾟ･｡ 584 名前：login:Penguin mailto:sage [03/03/13 11:44 ID:HSLr/kVv] >>582-583 >>1-581 585 名前：login:Penguin mailto:sage [03/03/13 13:02 ID:NuUlbm/g] でけたでけた　>>584　ってかこの>>1はどこいっちゃったんだろう… 586 名前：山崎渉 mailto:（＾＾） [03/03/13 16:26 ID:sbQU2y5R] （＾＾） 587 名前：login:Penguin [03/03/13 19:23 ID:oP0VE8Dk] 2箇所の離れたLAN同士をSSH使ってＶVPN構築しました。 PPP接続されたマシン同士はPing通りますが その他マシンへ一切アクセスできません。なぜでしょう。 588 名前：login:Penguin mailto:sage [03/03/13 19:58 ID:RWF2N4O5] ほーら、はーるさきこーべにー みーにみーにーみにきてーねっ ひーだまーり、かげろっおう ゆーらゆーら、はるのゆーめ 589 名前：login:Penguin mailto:sage [03/03/14 22:33 ID:5+fozj0J] >>587 （ﾟ∀ﾟ）ルーティング追加すりゃいいじゃん？ iptables関係ないべ？ 590 名前：login:Penguin [03/03/15 00:25 ID:Bx6SnnUJ] eth0がLAN側で、 eth1がルーターに繋がっているLinixホストで、 LAN側のWindowsからインターネット上のフリーメールの pop3に接続するのには、どんな設定したらいいでしょう？ 現在、こんな風ですが、DNSはなんとか引けて、squidでなら ホームページは読めるのですが、メールが受信できません。 591 名前：590 [03/03/15 00:26 ID:Bx6SnnUJ] EXTIF="eth1" ANY="0.0.0.0/0" LOCALIF="eth0" LOCALNE="192.168.1.0/24" MYHOST="192.168.1.1" # 初期化 /etc/init.d/iptables stop ##### すべてのルールを削除する ##### /etc/init.d/iptables stop ##### すべてのルールを削除する ##### /sbin/iptables -F INPUT /sbin/iptables -F FORWARD /sbin/iptables -F OUTPUT ##### すべてのアクセスを拒否する ##### /sbin/iptables -P INPUT DROP /sbin/iptables -P FORWARD DROP /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -P PREROUTING DROP /sbin/iptables -P POSTROUTING DROP 592 名前：590 [03/03/15 00:26 ID:Bx6SnnUJ] # LAN側からの入力、ループバックへの入力を無条件に許可 /sbin/iptables -A INPUT -i $LOCALIF -s $LOCALNE -j ACCEPT /sbin/iptables -A INPUT -i lo -j ACCEPT # 内部から発生した接続に関連するパケットを許可 /sbin/iptables -A INPUT -i $EXTIF -m state --state ESTABLISHED,RELATED -j ACCEPT /sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE 593 名前：login:Penguin mailto:sage [03/03/15 02:52 ID:xci716Xt] FORWARDに穴開けないとMASQUERADEが動けない。 さらに echo 1 > /proc/sys/net/ipv4/ip_forward を確認。 /sbin/iptables -P PREROUTING DROP /sbin/iptables -P POSTROUTING DROP はtable違いで意味なし。っていうかエラー出ない？ どっかからサンプル拾って来て手直しするのが早いんでないかと。 がんばて。 594 名前：login:Penguin [03/03/15 20:36 ID:nzpsL4hj] ここを参考に作りました。 他の人の参考になるかもなので晒しときます。 #もし穴があったら指摘キボンヌ #!/bin/sh ################# #### 初期設定 #### アドレスのaliasを設定 IPT="/sbin/iptables" MP="/sbin/modprobe" LAN="192.168.3.0/24" LOCAL="127.0.0.0/8" #### テーブルの初期化。 $IPT -t filter -F $IPT -t filter -X $IPT -t nat -F $IPT -t mangle -F #### policy を全て DROP にする。 $IPT -P FORWARD DROP $IPT -P INPUT DROP $IPT -P OUTPUT ACCEPT #### module を組み込む $MP ip_nat_ftp $MP ip_conntrack_ftp 595 名前：login:Penguin [03/03/15 20:38 ID:nzpsL4hj] ################## #### 目的別チェーンの作成 ### chain to LOG ant then DROP $IPT -N LOG_AND_DROP $IPT -A LOG_AND_DROP -j LOG --log-level warning --log-prefix "iptables:" #-m limit $IPT -A LOG_AND_DROP -j DROP $IPT -A LOG_AND_DROP -j RETURN #### chain for the packet from WAN $IPT -N WANIN #とりあえず問答無用でDROPな奴 $IPT -A WANIN -s 192.168.0.0/16 -j DROP # 接続が確立しているパケットは許可する( but limit not well-known ports) $IPT -A WANIN -p tcp --dport 1024: \ -m state --state ESTABLISHED,RELATED -j ACCEPT $IPT -A WANIN -p udp --dport 1024: \ -m state --state ESTABLISHED,RELATED -j ACCEPT $IPT -A WANIN -p icmp \ -m state --state ESTABLISHED,RELATED -j ACCEPT $IPT -A WANIN -j RETURN 596 名前：594 [03/03/15 20:38 ID:nzpsL4hj] #### chain for the packet to WAN $IPT -N WANOUT # SMB プロトコルが外に洩れない様にする。 $IPT -A WANOUT -p tcp --dport 137:139 -j DROP $IPT -A WANOUT -p tcp --sport 137:139 -j DROP $IPT -A WANOUT -p udp --dport 137:139 -j DROP $IPT -A WANOUT -p udp --sport 137:139 -j DROP # Windows 2000 がローカルに存在すれば以下の設定 $IPT -A WANOUT -p tcp --dport 445 -j DROP $IPT -A WANOUT -p tcp --sport 445 -j DROP $IPT -A WANOUT -p udp --dport 445 -j DROP $IPT -A WANOUT -p udp --sport 445 -j DROP # ローカル IP が外に洩れない様にする。 $IPT -A WANOUT -d 10.0.0.0/8 -j LOG_AND_DROP $IPT -A WANOUT -d 172.16.0.0/12 -j LOG_AND_DROP $IPT -A WANOUT -d $LOCAL -j LOG_AND_DROP $IPT -A WANOUT -d $LAN -j LOG_AND_DROP $IPT -A WANOUT -j RETURN 597 名前：594 [03/03/15 20:40 ID:nzpsL4hj] ################## #### link each chains #### INPUT #### # loopback $IPT -A INPUT -i lo -j ACCEPT # from LAN $IPT -A INPUT -i eth1 -s $LAN -j ACCEPT # from WAN $IPT -A INPUT -i eth0 -j WANIN # allow the tcp packets using the particular ports $IPT -A INPUT -p tcp --dport 22 -j ACCEPT #ssh $IPT -A INPUT -p udp --sport 67 --dport 68 -j ACCEPT #dhcp #### FORWARD #### # from WAN to LAN $IPT -A FORWARD -i eth0 -o eth1 -j WANIN # from LAN to WAN $IPT -A FORWARD -i eth1 -o eth0 -j WANOUT # from LAN $IPT -A FORWARD -i eth1 -j ACCEPT #### OUTPUT #### $IPT -A OUTPUT -o eth0 -j WANOUT # ACCEPT されなかったパケットをLOG_AND_DROPチェーンへ $IPT -A INPUT -j LOG_AND_DROP $IPT -A FORWARD -j LOG_AND_DROP #################### # IP Masquerade $IPT -t nat -A POSTROUTING -o eth0 -s $LAN -j MASQUERADE # enable the system ip-forwarding echo 1 > /proc/sys/net/ipv4/ip_forward 598 名前：594 [03/03/15 20:42 ID:nzpsL4hj] 改行つめて貼ったら汚くなっちゃたよ(ノ_<。) 599 名前：login:Penguin [03/03/16 02:55 ID:eE7j3f7z] おおお、すごいね 600 名前：login:Penguin mailto:sage [03/03/16 04:47 ID:Y6J28mzl] >>595 spoofing パケットをステるんなら、クラス C だけでなく、 127.0.0.0/8 169.254.0.0/16 192.0.2.0/24 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 224.0.0.0/4 240.0.0.0/5 248.0.0.0/5 255.255.255.255/32 0.0.0.0/8 くらいまとめて指定してもいいかも。クラス A や B からの結構 くるからさ。でもそれ以外は見た事ないけど。 601 名前：594 [03/03/16 14:30 ID:6euDQuYk] >>600 LoopBack: 127.0.0.0/8 RFC1918 private network: 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 Class D multicast: 224.0.0.0/4 broadcast: 255.255.255.255/32 Link Local Networks 169.254.0.0/16 Historical Broadcast: 0.0.0.0/8 TEST-NET: 192.0.2.0/24 Class D Reserved: 240.0.0.0/5 Unallocated: 248.0.0.0/5 602 名前：594 [03/03/16 14:35 ID:6euDQuYk] >>601 調べて、まとめてみた。 どれもネットワークを超えて利用されることはないはずのパケットですね。 っつーわけでspoofing対策に落としといてよさそうです。 >>600 ご指導ありがとうございまっす！！ 603 名前：login:Penguin mailto:sage [03/03/17 04:16 ID:fopxZgKq] どうでもいいことだが、 240.0.0.0/5 248.0.0.0/5 は、まとめて 240.0.0.0/4 とできる。いずれにしろこんなパケットやって きたことはないが(w >>602 255.255.255.255/32 は、IP レベルのブロードキャストだからネットワーク を越えても当然。でも、運用上 LAN 外には出さないし、入れさせもしない のが普通というだけで。内部にサブネットがいくつかあるときに、これを落とす と困る場合もある 604 名前：login:Penguin mailto:sage [03/03/17 08:52 ID:h5R/6c/p] >>603 255.255.255.255/32 を何に使うのか 具体例きぼん。 605 名前：login:Penguin mailto:sage [03/03/17 11:59 ID:XTt7yZAl] DHCP(BOOTP) DISCOVER 606 名前：594 [03/03/17 14:46 ID:pEk7m8rB] ブロードキャストパケットってネットワークを越えんですか？ マスタリングTCP/IPの入門編とか見ると同一ネットワーク内のみってなってるんで 単純に越えないもんだと思ってました(鬱 でもspoofingを防ぐっていう意味だと sportが240.0.0.0/5みたいなパケットは別に特権与えてる(信頼できるホストにしている） わけでもないので、特に効果はないですかね？ sportが192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 127.0.0.0/8 の奴は落としておくのを推奨ってことでOKかな。 607 名前：login:Penguin mailto:sage [03/03/18 03:09 ID:p+lGsR21] お前が土浦ペドの西村か？返事しろ、 素人童貞で、幼女のポルノ写真集めが趣味のクソ野郎、 てめえのＰＣにどれだけの写真があるんだ、 何回それでマスかいた？飽きるとＹＢＢ叩きか 返事しろ、キチガイ 現在の土浦のペド西村のＩＤ ↓↓↓↓↓↓↓ 　ID:XrjhRpOa T.Nishimura 　omurin@hamal.freemail.ne.jp　 収容局は土浦荒川沖局 www5.wisnet.ne.jp/~hotta9/main/menu01.html 児童ポルノ法改正案反対サイト　のオーナーだよ。 幼児とセックスしたい畜生にも劣るペド野郎 はコイツです。 土浦のペド　西村いるか？返事しろ。 このＹＢＢなんとかの糞スレは、またおまえが作ったのか？ 毎度、毎度の病的粘着質、おまえ、はやく市ねよ。 608 名前：login:Penguin [03/03/19 09:49 ID:ht64CtnN] ↑誤爆か？ 609 名前：login:Penguin mailto:sage [03/03/19 23:28 ID:PHGjwlCH] >>608 糞プロバイダー Yahoo!BBの解約に踏み切れ！ pc3.2ch.net/test/read.cgi/isp/1043055118/ への着弾が…こっちへ、 610 名前：login:Penguin [03/04/04 00:20 ID:GX3ZXYFI] ﾆﾔﾆﾔ(･∀･) 611 名前：login:Penguin [03/04/08 10:25 ID:gXTQqR0I] ﾆﾔﾆﾔ(･∀･) 612 名前：login:Penguin [03/04/10 22:46 ID:gj/nF9SC] iptables使いたくて本見ながらやってるんですけど、なぜかうまくいきません。 ちょっと見てください。 -A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 22 -i eth0 -j ACCEPT -A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 80 -i eth0 -j DROP デフォルトでINPUTをDROPにしてsshとwwwを通すために上の二行をiptablesを追加しようとしたら 一行目はうまくいくのに、二行目で args --dport はunknownだっていうエラーが出るんです。 これはいったいどういうことなんでしょうか？？ iptablesのヴァージョンは1.2.6aとなってます。 613 名前：login:Penguin [03/04/10 22:49 ID:gj/nF9SC] なんかまちがってますね、二行目もACCEPTでした。すいません 614 名前：login:Penguin mailto:sage [03/04/11 04:42 ID:e37xfRgZ] >>612 本当に本を見ながら設定しているのかと問い詰め（ry 615 名前：山崎渉 mailto:（＾＾） [03/04/17 12:01 ID:KRn99/cy] （＾＾） 616 名前：login:Penguin [03/04/17 17:11 ID:QgET5h2K] ﾆﾔﾆﾔ(･∀･) 617 名前：山崎渉 mailto:（＾＾）sage [03/04/20 05:51 ID:xFRXxEWb] 　　 ∧＿∧ 　　（　　＾＾ ）＜ ぬるぽ（＾＾） 618 名前：login:Penguin [03/04/24 19:02 ID:t7W9/H4z] できるだけシンプルにIPマスカレードができるよう設定してみました。 みなさんのようにプライベートアドレスやNetBIOSを防いだりとかして ないのですが、これではちょっとシンプルすぎるでしょうか…？ #!/bin/sh # Load kernel modules /sbin/modprobe ip_conntrack_ftp /sbin/modprobe ip_nat_ftp # Enable forwarding echo 1 > /proc/sys/net/ipv4/ip_forward # Set valiables IPTABLES=/sbin/iptables EXTIF=ppp0 # Initialize all chains $IPTABLES -Z $IPTABLES -F $IPTABLES -X # Setup default policy $IPTABLES -P INPUT DROP $IPTABLES -P FORWARD DROP # Create new chain "block" $IPTABLES -N block $IPTABLES -A block -m state --state ESTABLISHED,RELATED -j ACCEPT $IPTABLES -A block -m state --state NEW -i ! $EXTIF -j ACCEPT $IPTABLES -A block -m state --state NEW,INVALID -i $EXTIF -j REJECT $IPTABLES -A block -j DROP # Rules for INPUT chain $IPTABLES -A INPUT -j block # Rules for FORWARD chain $IPTABLES -A FORWARD -j block # IP Masquerade $IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE 619 名前：618 [03/04/24 19:13 ID:t7W9/H4z] 補足です。下記のような構成でルータ/サーバにするつもりですが、サーバとしての 設定はとりあえず後回しになっていて、しばらくはNAT箱としてのみ使用するつもりです。 [ADSLモデム]---[ppp0=eth0 ルータ/サーバ eth1]---[スイッチ]---[LANクライアント2台] 620 名前：覆面ライダー [03/04/25 20:12 ID:uphM47p+] Linuxをルータにもサーバにもしない場合の パケフィルの例ってどっかにありますか？ Linuxマシンをルータとして使う場合の例は ネット上にいくらでも見つかるんですけどね。 621 名前：覆面ライダー mailto:sage [03/04/25 20:18 ID:uphM47p+] いちお市販のDSLルータで簡単なパケフィルは設定してんだけどね。 622 名前：覆面ライダー mailto:sage [03/04/25 20:22 ID:uphM47p+] ぜんぶ塞げってのはなしですよ。 とりあえずネットサーフィンとメールのやりとりくらいはやりたいですから。 できればメッセンジャーも使いたいですね。 623 名前：login:Penguin mailto:sage [03/04/26 09:45 ID:yy7AkdFn] >620 使ってないサービスは全て塞げ。 分かってるかもしれないけど、Port80 塞いだからって WEB見れないって訳じゃない。 DSLルータ使ってるって事は、プライベートネットワークでしょ。 クライアントとして使ってるなら、あまり気にしなくても良いと思うよ。 624 名前：覆面ライダー mailto:sage [03/04/28 13:40 ID:evYU0gW+] >>623 アドバイスどうもありがとうございます。 625 名前：login:Penguin mailto:sage [03/05/03 02:04 ID:+7/Jgwc/] iptables -N log-drop iptables -A log-drop -j LOG --log-prefix "Packet drop" iptables -A log-drop -j DROP # kick .kr iptables -A FORWARD -s 61.32.0.0/13 -j log-drop iptables -A FORWARD -s 61.40.0.0/14 -j log-drop iptables -A FORWARD -s 61.72.0.0/13 -j log-drop iptables -A FORWARD -s 61.80.0.0/14 -j log-drop iptables -A FORWARD -s 61.84.0.0/15 -j log-drop iptables -A FORWARD -s 61.96.0.0/12 -j log-drop iptables -A FORWARD -s 61.248.0.0/13 -j log-drop iptables -A FORWARD -s 202.6.95.0/24 -j log-drop iptables -A FORWARD -s 202.14.103.0/24 -j log-drop iptables -A FORWARD -s 202.14.165.0/24 -j log-drop iptables -A FORWARD -s 202.20.82.0/23 -j log-drop iptables -A FORWARD -s 202.20.84.0/23 -j log-drop iptables -A FORWARD -s 202.20.86.0/24 -j log-drop iptables -A FORWARD -s 202.20.99.0/24 -j log-drop iptables -A FORWARD -s 202.20.119.0/24 -j log-drop iptables -A FORWARD -s 202.20.128.0/17 -j log-drop iptables -A FORWARD -s 202.21.0.0/21 -j log-drop iptables -A FORWARD -s 202.30.0.0/15 -j log-drop iptables -A FORWARD -s 202.189.128.0/18 -j log-drop iptables -A FORWARD -s 203.224.0.0/11 -j log-drop 626 名前：login:Penguin mailto:sage [03/05/03 02:07 ID:+7/Jgwc/] iptables -A FORWARD -s 210.80.96.0/19 -j log-drop iptables -A FORWARD -s 210.90.0.0/15 -j log-drop iptables -A FORWARD -s 210.92.0.0/14 -j log-drop iptables -A FORWARD -s 210.96.0.0/11 -j log-drop iptables -A FORWARD -s 210.178.0.0/15 -j log-drop iptables -A FORWARD -s 210.180.0.0/14 -j log-drop iptables -A FORWARD -s 210.204.0.0/14 -j log-drop iptables -A FORWARD -s 210.216.0.0/13 -j log-drop iptables -A FORWARD -s 211.32.0.0/11 -j log-drop iptables -A FORWARD -s 211.104.0.0/13 -j log-drop iptables -A FORWARD -s 211.112.0.0/13 -j log-drop iptables -A FORWARD -s 211.168.0.0/13 -j log-drop iptables -A FORWARD -s 211.176.0.0/12 -j log-drop iptables -A FORWARD -s 211.192.0.0/10 -j log-drop iptables -A FORWARD -s 128.134.0.0/16 -j log-drop iptables -A FORWARD -s 141.223.0.0/16 -j log-drop iptables -A FORWARD -s 143.248.0.0/16 -j log-drop iptables -A FORWARD -s 147.46.0.0/15 -j log-drop iptables -A FORWARD -s 155.230.0.0/16 -j log-drop ny で .kr と繋がらないようにするには、こんなとこなのかな。 rule が多いけど処理が重くならないかしらん。 香港とか中国も登録するとこの数倍になってしまうけれど。 627 名前：login:Penguin [03/05/05 18:34 ID:x6zB6GKj] ながー 628 名前：login:Penguin mailto:sage [03/05/06 01:03 ID:7qHA9qoc] こんな感じ↓でLinuxをルータにもサーバにもしないで 使ってるな〜 もしかして、問題ありあり???……………………………ギャ〜!!! #eth0はインターネット iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP iptables -A INPUT -i eth0 -m state --state INVALID,NEW -j LOG iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -i lo -j ACCEPT iptables -A FORWARD -i eth0 -j LOG iptables -A OUTPUT -o eth0 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT 629 名前：login:Penguin [03/05/06 17:28 ID:5eBOzVs7] iptables -Z iptables -F iptables -X iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT iptables -A INPUT -p icmp -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 23 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT iptables -A INPUT -p tcp --dport 53 -j ACCEPT iptables -A INPUT -p udp --dport 53 -j ACCEPT iptables -A INPUT -p tcp --dport 25 -j ACCEPT iptables -A INPUT -p tcp --dport 110 -j ACCEPT iptables -A INPUT -p tcp --dport 123 -j ACCEPT iptables -A INPUT -p tcp --dport 1812:1813 -j ACCEPT ってやると、クライアントからこのサーバー（メールサーバー）を経由して他のメールサーバーへメールを送信できないのですがどうしてでしょう。 mailqに溜まってしまいます。 iptables -P FORWARD ACCEPT としてもダメです。 iptables -P INPUT ACCEPT とすれば、当たり前ですがうまくいきます。 630 名前：login:Penguin mailto:sage [03/05/06 22:17 ID:sa3eOmJ2] 返りパケット受け取れんだろ 631 名前：!=629だけど mailto:sage [03/05/06 23:59 ID:gf3c9ny0] ん? ACKも落としてないような。 IDENT はせいぜい反応遅くなる程度だし。 あー、もうメル鯖管理してないから忘れてしまった。 632 名前：629 [03/05/07 17:41 ID:wvh/G8hH] 返りパケット？ port25だけじゃダメなの？ 633 名前：!=629だけど mailto:sage [03/05/07 19:50 ID:IaE1EX1W] あー、わかった。 こっちのメル鯖から他所に出すとき、over 1000(あたり、記憶曖昧)の 非特権ポートから相手の 25 に接続するわけよ。 >>629 では、さらに iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT とかすればいいんでない? または非特権ポートへの接続を全部許可するという方法もあるけど…。 634 名前：login:Penguin mailto:sage [03/05/07 20:48 ID:Y3LR/VhU] 629 は iptables や ipchains の解説文書を読んで知識の整理をした方がいいだろ。 何故おかしいのかすぐ判らんようだから。このスレは曖昧な知識のままでは役に 立たんしな(w 635 名前：629 [03/05/08 17:55 ID:wpIU/tkn] MTA同士の通信でも25-25じゃなくover1000-25の通信になるということね。 ステートフルパケットインスペクションを使うわけね。ありがとう。 636 名前：login:Penguin mailto:sage [03/05/10 06:10 ID:ps9rcmzo] --dport --sport 637 名前：俺様って？ [03/05/12 20:23 ID:I3+5+FZb] いったい何様？？？ むしろウザイ死ね。 貴様のような人間はこの世界に必要ない。 逝ってよし！！ むしろ逝け！！ 638 名前：login:Penguin mailto:sage [03/05/12 20:39 ID:2vTb3rak] ただいま還りました〜 639 名前：login:Penguin [03/05/12 21:50 ID:mWgq7qBD] これ良さそうっす。 Red Hat Linux Firewalls IPTablesを使ったファイアウォールとNATの実装に関する内容は 読みごたえ十分である。ここまで機能を網羅し、実例を挙げて 説明してある書物は初めてだろう。 ttp://www.sbpnet.jp/books/review/art.asp?newsid=218 640 名前：_ mailto:ｓａｇｅ [03/05/12 21:50 ID:sDYaf/2W] 　　（●´ー｀●）/　＜先生！こんなのがありました！ www.yoshiwara.susukino.com/moe/jaz08.html yoshiwara.susukino.com/moe/jaz10.html www.yoshiwara.susukino.com/moe/jaz03.html yoshiwara.susukino.com/moe/jaz09.html www.yoshiwara.susukino.com/moe/jaz06.html yoshiwara.susukino.com/moe/jaz05.html www.yoshiwara.susukino.com/moe/jaz01.html yoshiwara.susukino.com/moe/jaz02.html www.yoshiwara.susukino.com/moe/jaz07.html yoshiwara.susukino.com/moe/jaz04.html 641 名前：login:Penguin [03/05/18 05:43 ID:bSBsOoui] iptablesなんかの自動設定ツールって使ってるやついるのかなあ 642 名前：login:Penguin mailto:sage [03/05/18 07:51 ID:lXSrMq3L] >>641 軟弱なLinuxユーザにならたくさんいるはずだ。 643 名前：login:Penguin mailto:sage [03/05/18 15:09 ID:3fVk0kaS] >>641 もれの会社の後輩は使うなといっても使う。 それでいていまだに思うとおりに設定できんと言っとる。 困ったもんだ。 644 名前：login:Penguin [03/05/18 18:57 ID:aZwyy8u1] >>643 ハクッたれハクッたれ、素人には挫折が一番（ｗ 645 名前：login:Penguin mailto:sage [03/05/18 19:32 ID:jH81YeVu] >>641 そんなものが存在するのですか？ 646 名前：login:Penguin mailto:sage [03/05/18 19:54 ID:DitB7FwD] 知らないなら知らないで別に困らないだろう。 647 名前：login:Penguin mailto:sage [03/05/18 19:55 ID:Y+BpJwSK] >>646 知ってたら便利じゃん 648 名前：login:Penguin mailto:sage [03/05/19 00:15 ID:5sCrBiuF] lokkitのことでしょ。 649 名前：login:Penguin mailto:sage [03/05/19 00:19 ID:DPaiI0na] Easy Firewall Generator for IPTables easyfwgen.morizot.net/gen/ こんなのもある 650 名前：login:Penguin mailto:sage [03/05/19 11:29 ID:agrIbUtz] webminでもあれこれできますな 651 名前：login:Penguin mailto:sage [03/05/19 15:56 ID:y7LYDyhh] pingに応答しないようにするスクリプトを教えていただけないでしょうか 652 名前：login:Penguin mailto:sage [03/05/19 16:45 ID:SRz0lKrH] #!/bin/sh halt 653 名前：login:Penguin mailto:sage [03/05/19 20:20 ID:WwFWHDXI] >>651 iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP だったっけ？ 654 名前：login:Penguin mailto:sage [03/05/21 18:39 ID:nL9KCPvu] >>651 echo 1 > /proc/sys/net/ipv4/icmp_ignore_all 655 名前：山崎渉 mailto:（＾＾） [03/05/22 01:54 ID:VfjbtMwi] ━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━― 656 名前：login:Penguin [03/05/22 14:54 ID:uAd57jrG] ﾆﾔﾆﾔ(･∀･) 657 名前：login:Penguin mailto:sage [03/05/24 08:31 ID:CD1FcCru] INPUTをDROPにして指定ポートだけ通してるんですけど、 DROPとREJECTってどう違うんですか？ 658 名前：login:Penguin mailto:sage [03/05/24 12:45 ID:lpqyp6ka] 発信元にエラーを返すか返さないか 659 名前：login:Penguin [03/05/25 17:48 ID:0DsBJvnF] 657ではないですけど、 INPUTは初めDROPにして個別のポートを許可していく、ってのはわかるんですけど、 OUTPUTは全部ACCEPTって解説してるとこが多いですよね。 これって帰りパケットがポートを指定できないからですか？ WINならNORTONとかでアプリケーションごとに許可、不許可を制御できますけど そういうことはできないんですか？ 660 名前：login:Penguin [03/05/25 23:21 ID:tNcj3C/f] >>659 ＞OUTPUTは全部ACCEPTって解説してるとこが多いですよね。 ＞これって帰りパケットがポートを指定できないからですか？ OUTPUTもINPUTと同じように設定できるよ。INPUTほどの需要はないだろうけど。 あと、-t nat で MASQUERADE とかをすれば、OUTPUT ってあまり意味がないことがけっこうある。

---

---

[ 続きを読む ] / [ 携帯版 ]

read.cgi ver5.27 [feat.BBS2 +1.6] / e.0.2 (02/09/03) / eucaly.net products.
担当:undef