おい、iptablesの使い方を具体的に詳しく教えろ！

1 名前：初心者 [01/09/18 21:50 ID:vcHWxUb2] 家庭内ＬＡＮのルーターとして使いたい。 web, ftp, mailサーバーをうごかしつつ、ＩＰマスカレードして ＬＡＮのＰＣをそとにつなげたい。 コネクションはＡＤＳＬ、ＩＰはグローバルひとつだけ。 具体的なiptablesのコマンドを教えろ。 それと、/etc/sysconfig/iptablesって何なの？これについてもね。 急いでいるのですばやい解答を求む 586 名前：山崎渉 mailto:（＾＾） [03/03/13 16:26 ID:sbQU2y5R] （＾＾） 587 名前：login:Penguin [03/03/13 19:23 ID:oP0VE8Dk] 2箇所の離れたLAN同士をSSH使ってＶVPN構築しました。 PPP接続されたマシン同士はPing通りますが その他マシンへ一切アクセスできません。なぜでしょう。 588 名前：login:Penguin mailto:sage [03/03/13 19:58 ID:RWF2N4O5] ほーら、はーるさきこーべにー みーにみーにーみにきてーねっ ひーだまーり、かげろっおう ゆーらゆーら、はるのゆーめ 589 名前：login:Penguin mailto:sage [03/03/14 22:33 ID:5+fozj0J] >>587 （ﾟ∀ﾟ）ルーティング追加すりゃいいじゃん？ iptables関係ないべ？ 590 名前：login:Penguin [03/03/15 00:25 ID:Bx6SnnUJ] eth0がLAN側で、 eth1がルーターに繋がっているLinixホストで、 LAN側のWindowsからインターネット上のフリーメールの pop3に接続するのには、どんな設定したらいいでしょう？ 現在、こんな風ですが、DNSはなんとか引けて、squidでなら ホームページは読めるのですが、メールが受信できません。 591 名前：590 [03/03/15 00:26 ID:Bx6SnnUJ] EXTIF="eth1" ANY="0.0.0.0/0" LOCALIF="eth0" LOCALNE="192.168.1.0/24" MYHOST="192.168.1.1" # 初期化 /etc/init.d/iptables stop ##### すべてのルールを削除する ##### /etc/init.d/iptables stop ##### すべてのルールを削除する ##### /sbin/iptables -F INPUT /sbin/iptables -F FORWARD /sbin/iptables -F OUTPUT ##### すべてのアクセスを拒否する ##### /sbin/iptables -P INPUT DROP /sbin/iptables -P FORWARD DROP /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -P PREROUTING DROP /sbin/iptables -P POSTROUTING DROP 592 名前：590 [03/03/15 00:26 ID:Bx6SnnUJ] # LAN側からの入力、ループバックへの入力を無条件に許可 /sbin/iptables -A INPUT -i $LOCALIF -s $LOCALNE -j ACCEPT /sbin/iptables -A INPUT -i lo -j ACCEPT # 内部から発生した接続に関連するパケットを許可 /sbin/iptables -A INPUT -i $EXTIF -m state --state ESTABLISHED,RELATED -j ACCEPT /sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE 593 名前：login:Penguin mailto:sage [03/03/15 02:52 ID:xci716Xt] FORWARDに穴開けないとMASQUERADEが動けない。 さらに echo 1 > /proc/sys/net/ipv4/ip_forward を確認。 /sbin/iptables -P PREROUTING DROP /sbin/iptables -P POSTROUTING DROP はtable違いで意味なし。っていうかエラー出ない？ どっかからサンプル拾って来て手直しするのが早いんでないかと。 がんばて。 594 名前：login:Penguin [03/03/15 20:36 ID:nzpsL4hj] ここを参考に作りました。 他の人の参考になるかもなので晒しときます。 #もし穴があったら指摘キボンヌ #!/bin/sh ################# #### 初期設定 #### アドレスのaliasを設定 IPT="/sbin/iptables" MP="/sbin/modprobe" LAN="192.168.3.0/24" LOCAL="127.0.0.0/8" #### テーブルの初期化。 $IPT -t filter -F $IPT -t filter -X $IPT -t nat -F $IPT -t mangle -F #### policy を全て DROP にする。 $IPT -P FORWARD DROP $IPT -P INPUT DROP $IPT -P OUTPUT ACCEPT #### module を組み込む $MP ip_nat_ftp $MP ip_conntrack_ftp 595 名前：login:Penguin [03/03/15 20:38 ID:nzpsL4hj] ################## #### 目的別チェーンの作成 ### chain to LOG ant then DROP $IPT -N LOG_AND_DROP $IPT -A LOG_AND_DROP -j LOG --log-level warning --log-prefix "iptables:" #-m limit $IPT -A LOG_AND_DROP -j DROP $IPT -A LOG_AND_DROP -j RETURN #### chain for the packet from WAN $IPT -N WANIN #とりあえず問答無用でDROPな奴 $IPT -A WANIN -s 192.168.0.0/16 -j DROP # 接続が確立しているパケットは許可する( but limit not well-known ports) $IPT -A WANIN -p tcp --dport 1024: \ -m state --state ESTABLISHED,RELATED -j ACCEPT $IPT -A WANIN -p udp --dport 1024: \ -m state --state ESTABLISHED,RELATED -j ACCEPT $IPT -A WANIN -p icmp \ -m state --state ESTABLISHED,RELATED -j ACCEPT $IPT -A WANIN -j RETURN 596 名前：594 [03/03/15 20:38 ID:nzpsL4hj] #### chain for the packet to WAN $IPT -N WANOUT # SMB プロトコルが外に洩れない様にする。 $IPT -A WANOUT -p tcp --dport 137:139 -j DROP $IPT -A WANOUT -p tcp --sport 137:139 -j DROP $IPT -A WANOUT -p udp --dport 137:139 -j DROP $IPT -A WANOUT -p udp --sport 137:139 -j DROP # Windows 2000 がローカルに存在すれば以下の設定 $IPT -A WANOUT -p tcp --dport 445 -j DROP $IPT -A WANOUT -p tcp --sport 445 -j DROP $IPT -A WANOUT -p udp --dport 445 -j DROP $IPT -A WANOUT -p udp --sport 445 -j DROP # ローカル IP が外に洩れない様にする。 $IPT -A WANOUT -d 10.0.0.0/8 -j LOG_AND_DROP $IPT -A WANOUT -d 172.16.0.0/12 -j LOG_AND_DROP $IPT -A WANOUT -d $LOCAL -j LOG_AND_DROP $IPT -A WANOUT -d $LAN -j LOG_AND_DROP $IPT -A WANOUT -j RETURN 597 名前：594 [03/03/15 20:40 ID:nzpsL4hj] ################## #### link each chains #### INPUT #### # loopback $IPT -A INPUT -i lo -j ACCEPT # from LAN $IPT -A INPUT -i eth1 -s $LAN -j ACCEPT # from WAN $IPT -A INPUT -i eth0 -j WANIN # allow the tcp packets using the particular ports $IPT -A INPUT -p tcp --dport 22 -j ACCEPT #ssh $IPT -A INPUT -p udp --sport 67 --dport 68 -j ACCEPT #dhcp #### FORWARD #### # from WAN to LAN $IPT -A FORWARD -i eth0 -o eth1 -j WANIN # from LAN to WAN $IPT -A FORWARD -i eth1 -o eth0 -j WANOUT # from LAN $IPT -A FORWARD -i eth1 -j ACCEPT #### OUTPUT #### $IPT -A OUTPUT -o eth0 -j WANOUT # ACCEPT されなかったパケットをLOG_AND_DROPチェーンへ $IPT -A INPUT -j LOG_AND_DROP $IPT -A FORWARD -j LOG_AND_DROP #################### # IP Masquerade $IPT -t nat -A POSTROUTING -o eth0 -s $LAN -j MASQUERADE # enable the system ip-forwarding echo 1 > /proc/sys/net/ipv4/ip_forward 598 名前：594 [03/03/15 20:42 ID:nzpsL4hj] 改行つめて貼ったら汚くなっちゃたよ(ノ_<。) 599 名前：login:Penguin [03/03/16 02:55 ID:eE7j3f7z] おおお、すごいね 600 名前：login:Penguin mailto:sage [03/03/16 04:47 ID:Y6J28mzl] >>595 spoofing パケットをステるんなら、クラス C だけでなく、 127.0.0.0/8 169.254.0.0/16 192.0.2.0/24 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 224.0.0.0/4 240.0.0.0/5 248.0.0.0/5 255.255.255.255/32 0.0.0.0/8 くらいまとめて指定してもいいかも。クラス A や B からの結構 くるからさ。でもそれ以外は見た事ないけど。 601 名前：594 [03/03/16 14:30 ID:6euDQuYk] >>600 LoopBack: 127.0.0.0/8 RFC1918 private network: 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 Class D multicast: 224.0.0.0/4 broadcast: 255.255.255.255/32 Link Local Networks 169.254.0.0/16 Historical Broadcast: 0.0.0.0/8 TEST-NET: 192.0.2.0/24 Class D Reserved: 240.0.0.0/5 Unallocated: 248.0.0.0/5 602 名前：594 [03/03/16 14:35 ID:6euDQuYk] >>601 調べて、まとめてみた。 どれもネットワークを超えて利用されることはないはずのパケットですね。 っつーわけでspoofing対策に落としといてよさそうです。 >>600 ご指導ありがとうございまっす！！ 603 名前：login:Penguin mailto:sage [03/03/17 04:16 ID:fopxZgKq] どうでもいいことだが、 240.0.0.0/5 248.0.0.0/5 は、まとめて 240.0.0.0/4 とできる。いずれにしろこんなパケットやって きたことはないが(w >>602 255.255.255.255/32 は、IP レベルのブロードキャストだからネットワーク を越えても当然。でも、運用上 LAN 外には出さないし、入れさせもしない のが普通というだけで。内部にサブネットがいくつかあるときに、これを落とす と困る場合もある 604 名前：login:Penguin mailto:sage [03/03/17 08:52 ID:h5R/6c/p] >>603 255.255.255.255/32 を何に使うのか 具体例きぼん。 605 名前：login:Penguin mailto:sage [03/03/17 11:59 ID:XTt7yZAl] DHCP(BOOTP) DISCOVER 606 名前：594 [03/03/17 14:46 ID:pEk7m8rB] ブロードキャストパケットってネットワークを越えんですか？ マスタリングTCP/IPの入門編とか見ると同一ネットワーク内のみってなってるんで 単純に越えないもんだと思ってました(鬱 でもspoofingを防ぐっていう意味だと sportが240.0.0.0/5みたいなパケットは別に特権与えてる(信頼できるホストにしている） わけでもないので、特に効果はないですかね？ sportが192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 127.0.0.0/8 の奴は落としておくのを推奨ってことでOKかな。 607 名前：login:Penguin mailto:sage [03/03/18 03:09 ID:p+lGsR21] お前が土浦ペドの西村か？返事しろ、 素人童貞で、幼女のポルノ写真集めが趣味のクソ野郎、 てめえのＰＣにどれだけの写真があるんだ、 何回それでマスかいた？飽きるとＹＢＢ叩きか 返事しろ、キチガイ 現在の土浦のペド西村のＩＤ ↓↓↓↓↓↓↓ 　ID:XrjhRpOa T.Nishimura 　omurin@hamal.freemail.ne.jp　 収容局は土浦荒川沖局 www5.wisnet.ne.jp/~hotta9/main/menu01.html 児童ポルノ法改正案反対サイト　のオーナーだよ。 幼児とセックスしたい畜生にも劣るペド野郎 はコイツです。 土浦のペド　西村いるか？返事しろ。 このＹＢＢなんとかの糞スレは、またおまえが作ったのか？ 毎度、毎度の病的粘着質、おまえ、はやく市ねよ。 608 名前：login:Penguin [03/03/19 09:49 ID:ht64CtnN] ↑誤爆か？ 609 名前：login:Penguin mailto:sage [03/03/19 23:28 ID:PHGjwlCH] >>608 糞プロバイダー Yahoo!BBの解約に踏み切れ！ pc3.2ch.net/test/read.cgi/isp/1043055118/ への着弾が…こっちへ、 610 名前：login:Penguin [03/04/04 00:20 ID:GX3ZXYFI] ﾆﾔﾆﾔ(･∀･) 611 名前：login:Penguin [03/04/08 10:25 ID:gXTQqR0I] ﾆﾔﾆﾔ(･∀･) 612 名前：login:Penguin [03/04/10 22:46 ID:gj/nF9SC] iptables使いたくて本見ながらやってるんですけど、なぜかうまくいきません。 ちょっと見てください。 -A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 22 -i eth0 -j ACCEPT -A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 80 -i eth0 -j DROP デフォルトでINPUTをDROPにしてsshとwwwを通すために上の二行をiptablesを追加しようとしたら 一行目はうまくいくのに、二行目で args --dport はunknownだっていうエラーが出るんです。 これはいったいどういうことなんでしょうか？？ iptablesのヴァージョンは1.2.6aとなってます。 613 名前：login:Penguin [03/04/10 22:49 ID:gj/nF9SC] なんかまちがってますね、二行目もACCEPTでした。すいません 614 名前：login:Penguin mailto:sage [03/04/11 04:42 ID:e37xfRgZ] >>612 本当に本を見ながら設定しているのかと問い詰め（ry 615 名前：山崎渉 mailto:（＾＾） [03/04/17 12:01 ID:KRn99/cy] （＾＾） 616 名前：login:Penguin [03/04/17 17:11 ID:QgET5h2K] ﾆﾔﾆﾔ(･∀･) 617 名前：山崎渉 mailto:（＾＾）sage [03/04/20 05:51 ID:xFRXxEWb] 　　 ∧＿∧ 　　（　　＾＾ ）＜ ぬるぽ（＾＾） 618 名前：login:Penguin [03/04/24 19:02 ID:t7W9/H4z] できるだけシンプルにIPマスカレードができるよう設定してみました。 みなさんのようにプライベートアドレスやNetBIOSを防いだりとかして ないのですが、これではちょっとシンプルすぎるでしょうか…？ #!/bin/sh # Load kernel modules /sbin/modprobe ip_conntrack_ftp /sbin/modprobe ip_nat_ftp # Enable forwarding echo 1 > /proc/sys/net/ipv4/ip_forward # Set valiables IPTABLES=/sbin/iptables EXTIF=ppp0 # Initialize all chains $IPTABLES -Z $IPTABLES -F $IPTABLES -X # Setup default policy $IPTABLES -P INPUT DROP $IPTABLES -P FORWARD DROP # Create new chain "block" $IPTABLES -N block $IPTABLES -A block -m state --state ESTABLISHED,RELATED -j ACCEPT $IPTABLES -A block -m state --state NEW -i ! $EXTIF -j ACCEPT $IPTABLES -A block -m state --state NEW,INVALID -i $EXTIF -j REJECT $IPTABLES -A block -j DROP # Rules for INPUT chain $IPTABLES -A INPUT -j block # Rules for FORWARD chain $IPTABLES -A FORWARD -j block # IP Masquerade $IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE 619 名前：618 [03/04/24 19:13 ID:t7W9/H4z] 補足です。下記のような構成でルータ/サーバにするつもりですが、サーバとしての 設定はとりあえず後回しになっていて、しばらくはNAT箱としてのみ使用するつもりです。 [ADSLモデム]---[ppp0=eth0 ルータ/サーバ eth1]---[スイッチ]---[LANクライアント2台] 620 名前：覆面ライダー [03/04/25 20:12 ID:uphM47p+] Linuxをルータにもサーバにもしない場合の パケフィルの例ってどっかにありますか？ Linuxマシンをルータとして使う場合の例は ネット上にいくらでも見つかるんですけどね。 621 名前：覆面ライダー mailto:sage [03/04/25 20:18 ID:uphM47p+] いちお市販のDSLルータで簡単なパケフィルは設定してんだけどね。 622 名前：覆面ライダー mailto:sage [03/04/25 20:22 ID:uphM47p+] ぜんぶ塞げってのはなしですよ。 とりあえずネットサーフィンとメールのやりとりくらいはやりたいですから。 できればメッセンジャーも使いたいですね。 623 名前：login:Penguin mailto:sage [03/04/26 09:45 ID:yy7AkdFn] >620 使ってないサービスは全て塞げ。 分かってるかもしれないけど、Port80 塞いだからって WEB見れないって訳じゃない。 DSLルータ使ってるって事は、プライベートネットワークでしょ。 クライアントとして使ってるなら、あまり気にしなくても良いと思うよ。 624 名前：覆面ライダー mailto:sage [03/04/28 13:40 ID:evYU0gW+] >>623 アドバイスどうもありがとうございます。 625 名前：login:Penguin mailto:sage [03/05/03 02:04 ID:+7/Jgwc/] iptables -N log-drop iptables -A log-drop -j LOG --log-prefix "Packet drop" iptables -A log-drop -j DROP # kick .kr iptables -A FORWARD -s 61.32.0.0/13 -j log-drop iptables -A FORWARD -s 61.40.0.0/14 -j log-drop iptables -A FORWARD -s 61.72.0.0/13 -j log-drop iptables -A FORWARD -s 61.80.0.0/14 -j log-drop iptables -A FORWARD -s 61.84.0.0/15 -j log-drop iptables -A FORWARD -s 61.96.0.0/12 -j log-drop iptables -A FORWARD -s 61.248.0.0/13 -j log-drop iptables -A FORWARD -s 202.6.95.0/24 -j log-drop iptables -A FORWARD -s 202.14.103.0/24 -j log-drop iptables -A FORWARD -s 202.14.165.0/24 -j log-drop iptables -A FORWARD -s 202.20.82.0/23 -j log-drop iptables -A FORWARD -s 202.20.84.0/23 -j log-drop iptables -A FORWARD -s 202.20.86.0/24 -j log-drop iptables -A FORWARD -s 202.20.99.0/24 -j log-drop iptables -A FORWARD -s 202.20.119.0/24 -j log-drop iptables -A FORWARD -s 202.20.128.0/17 -j log-drop iptables -A FORWARD -s 202.21.0.0/21 -j log-drop iptables -A FORWARD -s 202.30.0.0/15 -j log-drop iptables -A FORWARD -s 202.189.128.0/18 -j log-drop iptables -A FORWARD -s 203.224.0.0/11 -j log-drop 626 名前：login:Penguin mailto:sage [03/05/03 02:07 ID:+7/Jgwc/] iptables -A FORWARD -s 210.80.96.0/19 -j log-drop iptables -A FORWARD -s 210.90.0.0/15 -j log-drop iptables -A FORWARD -s 210.92.0.0/14 -j log-drop iptables -A FORWARD -s 210.96.0.0/11 -j log-drop iptables -A FORWARD -s 210.178.0.0/15 -j log-drop iptables -A FORWARD -s 210.180.0.0/14 -j log-drop iptables -A FORWARD -s 210.204.0.0/14 -j log-drop iptables -A FORWARD -s 210.216.0.0/13 -j log-drop iptables -A FORWARD -s 211.32.0.0/11 -j log-drop iptables -A FORWARD -s 211.104.0.0/13 -j log-drop iptables -A FORWARD -s 211.112.0.0/13 -j log-drop iptables -A FORWARD -s 211.168.0.0/13 -j log-drop iptables -A FORWARD -s 211.176.0.0/12 -j log-drop iptables -A FORWARD -s 211.192.0.0/10 -j log-drop iptables -A FORWARD -s 128.134.0.0/16 -j log-drop iptables -A FORWARD -s 141.223.0.0/16 -j log-drop iptables -A FORWARD -s 143.248.0.0/16 -j log-drop iptables -A FORWARD -s 147.46.0.0/15 -j log-drop iptables -A FORWARD -s 155.230.0.0/16 -j log-drop ny で .kr と繋がらないようにするには、こんなとこなのかな。 rule が多いけど処理が重くならないかしらん。 香港とか中国も登録するとこの数倍になってしまうけれど。 627 名前：login:Penguin [03/05/05 18:34 ID:x6zB6GKj] ながー 628 名前：login:Penguin mailto:sage [03/05/06 01:03 ID:7qHA9qoc] こんな感じ↓でLinuxをルータにもサーバにもしないで 使ってるな〜 もしかして、問題ありあり???……………………………ギャ〜!!! #eth0はインターネット iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP iptables -A INPUT -i eth0 -m state --state INVALID,NEW -j LOG iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -i lo -j ACCEPT iptables -A FORWARD -i eth0 -j LOG iptables -A OUTPUT -o eth0 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT 629 名前：login:Penguin [03/05/06 17:28 ID:5eBOzVs7] iptables -Z iptables -F iptables -X iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT iptables -A INPUT -p icmp -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 23 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT iptables -A INPUT -p tcp --dport 53 -j ACCEPT iptables -A INPUT -p udp --dport 53 -j ACCEPT iptables -A INPUT -p tcp --dport 25 -j ACCEPT iptables -A INPUT -p tcp --dport 110 -j ACCEPT iptables -A INPUT -p tcp --dport 123 -j ACCEPT iptables -A INPUT -p tcp --dport 1812:1813 -j ACCEPT ってやると、クライアントからこのサーバー（メールサーバー）を経由して他のメールサーバーへメールを送信できないのですがどうしてでしょう。 mailqに溜まってしまいます。 iptables -P FORWARD ACCEPT としてもダメです。 iptables -P INPUT ACCEPT とすれば、当たり前ですがうまくいきます。 630 名前：login:Penguin mailto:sage [03/05/06 22:17 ID:sa3eOmJ2] 返りパケット受け取れんだろ 631 名前：!=629だけど mailto:sage [03/05/06 23:59 ID:gf3c9ny0] ん? ACKも落としてないような。 IDENT はせいぜい反応遅くなる程度だし。 あー、もうメル鯖管理してないから忘れてしまった。 632 名前：629 [03/05/07 17:41 ID:wvh/G8hH] 返りパケット？ port25だけじゃダメなの？ 633 名前：!=629だけど mailto:sage [03/05/07 19:50 ID:IaE1EX1W] あー、わかった。 こっちのメル鯖から他所に出すとき、over 1000(あたり、記憶曖昧)の 非特権ポートから相手の 25 に接続するわけよ。 >>629 では、さらに iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT とかすればいいんでない? または非特権ポートへの接続を全部許可するという方法もあるけど…。 634 名前：login:Penguin mailto:sage [03/05/07 20:48 ID:Y3LR/VhU] 629 は iptables や ipchains の解説文書を読んで知識の整理をした方がいいだろ。 何故おかしいのかすぐ判らんようだから。このスレは曖昧な知識のままでは役に 立たんしな(w 635 名前：629 [03/05/08 17:55 ID:wpIU/tkn] MTA同士の通信でも25-25じゃなくover1000-25の通信になるということね。 ステートフルパケットインスペクションを使うわけね。ありがとう。 636 名前：login:Penguin mailto:sage [03/05/10 06:10 ID:ps9rcmzo] --dport --sport 637 名前：俺様って？ [03/05/12 20:23 ID:I3+5+FZb] いったい何様？？？ むしろウザイ死ね。 貴様のような人間はこの世界に必要ない。 逝ってよし！！ むしろ逝け！！ 638 名前：login:Penguin mailto:sage [03/05/12 20:39 ID:2vTb3rak] ただいま還りました〜 639 名前：login:Penguin [03/05/12 21:50 ID:mWgq7qBD] これ良さそうっす。 Red Hat Linux Firewalls IPTablesを使ったファイアウォールとNATの実装に関する内容は 読みごたえ十分である。ここまで機能を網羅し、実例を挙げて 説明してある書物は初めてだろう。 ttp://www.sbpnet.jp/books/review/art.asp?newsid=218 640 名前：_ mailto:ｓａｇｅ [03/05/12 21:50 ID:sDYaf/2W] 　　（●´ー｀●）/　＜先生！こんなのがありました！ www.yoshiwara.susukino.com/moe/jaz08.html yoshiwara.susukino.com/moe/jaz10.html www.yoshiwara.susukino.com/moe/jaz03.html yoshiwara.susukino.com/moe/jaz09.html www.yoshiwara.susukino.com/moe/jaz06.html yoshiwara.susukino.com/moe/jaz05.html www.yoshiwara.susukino.com/moe/jaz01.html yoshiwara.susukino.com/moe/jaz02.html www.yoshiwara.susukino.com/moe/jaz07.html yoshiwara.susukino.com/moe/jaz04.html 641 名前：login:Penguin [03/05/18 05:43 ID:bSBsOoui] iptablesなんかの自動設定ツールって使ってるやついるのかなあ 642 名前：login:Penguin mailto:sage [03/05/18 07:51 ID:lXSrMq3L] >>641 軟弱なLinuxユーザにならたくさんいるはずだ。 643 名前：login:Penguin mailto:sage [03/05/18 15:09 ID:3fVk0kaS] >>641 もれの会社の後輩は使うなといっても使う。 それでいていまだに思うとおりに設定できんと言っとる。 困ったもんだ。 644 名前：login:Penguin [03/05/18 18:57 ID:aZwyy8u1] >>643 ハクッたれハクッたれ、素人には挫折が一番（ｗ 645 名前：login:Penguin mailto:sage [03/05/18 19:32 ID:jH81YeVu] >>641 そんなものが存在するのですか？ 646 名前：login:Penguin mailto:sage [03/05/18 19:54 ID:DitB7FwD] 知らないなら知らないで別に困らないだろう。 647 名前：login:Penguin mailto:sage [03/05/18 19:55 ID:Y+BpJwSK] >>646 知ってたら便利じゃん 648 名前：login:Penguin mailto:sage [03/05/19 00:15 ID:5sCrBiuF] lokkitのことでしょ。 649 名前：login:Penguin mailto:sage [03/05/19 00:19 ID:DPaiI0na] Easy Firewall Generator for IPTables easyfwgen.morizot.net/gen/ こんなのもある 650 名前：login:Penguin mailto:sage [03/05/19 11:29 ID:agrIbUtz] webminでもあれこれできますな 651 名前：login:Penguin mailto:sage [03/05/19 15:56 ID:y7LYDyhh] pingに応答しないようにするスクリプトを教えていただけないでしょうか 652 名前：login:Penguin mailto:sage [03/05/19 16:45 ID:SRz0lKrH] #!/bin/sh halt 653 名前：login:Penguin mailto:sage [03/05/19 20:20 ID:WwFWHDXI] >>651 iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP だったっけ？ 654 名前：login:Penguin mailto:sage [03/05/21 18:39 ID:nL9KCPvu] >>651 echo 1 > /proc/sys/net/ipv4/icmp_ignore_all 655 名前：山崎渉 mailto:（＾＾） [03/05/22 01:54 ID:VfjbtMwi] ━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━― 656 名前：login:Penguin [03/05/22 14:54 ID:uAd57jrG] ﾆﾔﾆﾔ(･∀･) 657 名前：login:Penguin mailto:sage [03/05/24 08:31 ID:CD1FcCru] INPUTをDROPにして指定ポートだけ通してるんですけど、 DROPとREJECTってどう違うんですか？ 658 名前：login:Penguin mailto:sage [03/05/24 12:45 ID:lpqyp6ka] 発信元にエラーを返すか返さないか 659 名前：login:Penguin [03/05/25 17:48 ID:0DsBJvnF] 657ではないですけど、 INPUTは初めDROPにして個別のポートを許可していく、ってのはわかるんですけど、 OUTPUTは全部ACCEPTって解説してるとこが多いですよね。 これって帰りパケットがポートを指定できないからですか？ WINならNORTONとかでアプリケーションごとに許可、不許可を制御できますけど そういうことはできないんですか？ 660 名前：login:Penguin [03/05/25 23:21 ID:tNcj3C/f] >>659 ＞OUTPUTは全部ACCEPTって解説してるとこが多いですよね。 ＞これって帰りパケットがポートを指定できないからですか？ OUTPUTもINPUTと同じように設定できるよ。INPUTほどの需要はないだろうけど。 あと、-t nat で MASQUERADE とかをすれば、OUTPUT ってあまり意味がないことがけっこうある。 661 名前：login:Penguin [03/05/25 23:24 ID:+UFjIiBi] elife.fam.cx/ 662 名前：login:Penguin mailto:sage [03/05/25 23:37 ID:RjF4OPfs] ttp://www.amazon.co.jp/exec/obidos/ASIN/4822209318/ref%3Dlm%5Flb%5F7/249-1574439-8905158 663 名前：659 mailto:sage [03/05/26 01:07 ID:MWnWBy5f] >>660 なるほど、ありがとうございます。いじってみます。 664 名前：login:Penguin [03/05/27 21:00 ID:dUqN+tj1] iptablesを弄りはじめた者です。 参考に、技術評論社の「はじめてのファイアウォール」買いました。 192.168.1.0/255.255.255.0　 　 　 　 　 　 192.168.0.0/255.255.255.0 win2k -------------- eth0 RedHat8 eth1 ----- ダイヤルアップ 　 .101　 　 　 　 　 　 　.1　 　 　 　 　 　 　 .1　 　 .254　 　 ルーター こんな構成で、Win2kのpingで、192.168.0.254してもタイムアウト になってしまいます。 # /sbin/sysctl net.ipv4.ip_forward net.ipv4.ip_forward = 1 にはなっていて、 # /sbin/iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.0.1 もしてみました。 何か基本の設定でミスしてますでしょうか？ 665 名前：山崎渉 mailto:（＾＾） [03/05/28 16:41 ID:3t6i6zxR] 　　　 　∧＿∧ ﾋﾟｭ.ｰ　(　　＾＾ ） ＜これからも僕を応援して下さいね（＾＾）。 　　＝〔~∪￣￣〕 　　＝ ◎――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉 666 名前：login:Penguin mailto:sage [03/05/28 19:15 ID:TJoLXDe+] その質問には重大な欠陥があるため 誰も答えられません>>664 667 名前：664 [03/05/28 19:31 ID:HTjMuq1u] >>666 重大な欠陥‥‥‥‥‥‥‥‥？？ あ、OSが書いてないですね。 OSは、RedHat8.0です。 あとはなんだろう？iptablesのバージョンとか必要ですか？ RedHat8をインストールしたままなので、iptables-1.2.6a-2 になってます。 とにもかくにも、192.168.1.0ネットワーク側から、192.168.0.0側にPingを 通したいです。 668 名前：login:Penguin [03/05/28 21:11 ID:wAyGaDP6] >>667 いやそもそもroutingの設定は？ routeの結果を貼りなよ。 669 名前：動画直リン [03/05/28 21:13 ID:mI34jXYU] homepage.mac.com/hitomi18/ 670 名前：664 [03/05/28 22:19 ID:sTqi3jRG] >>668 routeの結果ですが、次のようになっています。 # route Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 192.168.1.0 * 255.255.255.0 U 0 0 0 eth0 192.168.0.0 * 255.255.255.0 U 0 0 0 eth1 127.0.0.0 * 255.0.0.0 U 0 0 0 lo default 192.168.0.254 0.0.0.0 UG 0 0 0 eth1 671 名前：login:Penguin [03/05/28 22:54 ID:wAyGaDP6] >>670 routeの設定は問題ないようだが そもそもredhat8からダイヤルアップルータにはpingは通っているの？ ダイヤルアップルータ自体のルーティングの設定は？ それとwin2kはDHCP？それとも固定で101を振ってるの？ 固定だとは思うけど、もしDHCPならdhcpd.confの内容を確認。 win2k-ルータLAN間、win2k-ルータWAN間でもpingが通っているのかなどを 試してまずどこの問題かを切り分けなよ。 672 名前：664 [03/05/28 23:11 ID:sTqi3jRG] >>671 それは大丈夫です。squidを入れてみたら、win2kからサイトは見れます。(3128に設定すれば) RedHat8 → Win2k や、RedHat8 → ルーター間pingは正常です。 Win2k → RedHat8 もping通ります。 ただ、192.168.1.101は、dhcpが振った結果です。 dhcpで、>>664の図の様な事をするには、なにか記述が必要でした でしょうか？ 手持ちの参考書(ネットワークサーバー構築ガイド等)では見付けら れませんでしたので、もしなにかありましたら教えてください。 673 名前：bloom [03/05/28 23:13 ID:mI34jXYU] homepage.mac.com/ayaya16/ 674 名前：login:Penguin [03/05/29 00:12 ID:1DRPv6wX] >>672 dhcpd.confの設定に option routers 192.168.1.1 は入ってますか。つまりwin2000のgwがどうなっていますか。 ipconfigで調べてください。 Win2k->Redhat8のWan側へのpingはどうですか。 # echo 1 > /proc/sys/net/ipv4/ip_forward とかやってからpingを打ってみたらどうですか。 675 名前：原田 [03/05/29 07:39 ID:5/9Q5GYM] iptablesで50代のPCをインターネットへマスカレードしてるんでつけど、 たまにインターネットに接続できなくなるPCが出ます。 ただし、他のPCからインターネットへは接続できてますし、 接続できなくなったPCでもすでにEstablishedなTCP接続は通信できてます。 つまり、新たなTCPセッションが張れないようなのです。 これって、マスカレードのテーブルとかがいっぱいになってしまっているのかな？ 特にカーネルのログには何も出てないのだけど。詳しい方お願いします〜 676 名前：login:Penguin [03/05/29 10:31 ID:1DRPv6wX] これはiptablesの問題ではなく カーネル自体の同時コネクション（セッション）数の問題ではないかと思います。 ゲートウェイ向けの適切なページが見つからなかったが この辺ですかね。サーバの事例ですけど ttp://www8.ocn.ne.jp/~diary/linux/tuning.html この辺を参考に同時コネクション（セッション）数を増やすようにカーネルの再構築を してやればいいんじゃないかと思います。 677 名前：login:Penguin [03/05/29 15:22 ID:5/9Q5GYM] なるほど・・・ そういうことが原因とも考えられるんですね。 ありがとうございます。 678 名前：_ mailto:sage [03/05/29 15:29 ID:yrkPpXVA] homepage.mac.com/hiroyuki43/hankaku10.html 679 名前：login:Penguin mailto:sage [03/05/29 19:32 ID:Gz1n6K9b] 192.168.0.*から外に出る窓系パケットを阻止するには？ 680 名前：664 [03/05/29 19:52 ID:WuQG5EFD] >>674 option routers 192.168.0.254 が設定してありました。 試しに、192.168.1.1にしたら、ping通りました。ありがとうございます。 >>664の図だと、ゲートウェイは192.168.0.254なのでそう設定したの ですが、LAN側から見れば、192.168.1.1がゲートウェイって事になる という理解で良いのでしょうか？ 681 名前：login:Penguin mailto:sage [03/05/29 21:35 ID:7ylBZWMl] っていうか常識 反省しる 682 名前：login:Penguin mailto:sage [03/05/29 21:36 ID:7ylBZWMl] ＬＡＮじゃないとＬＡＮ側のマシンから192.168.1.1にもpingが飛ばんはず 683 名前：664 [03/05/29 21:56 ID:WuQG5EFD] >>681 はぁ、すみません。 684 名前：login:Penguin [03/05/29 22:14 ID:qBOBeDWk] ありゃま。このスレまだあったんだ。 乙〜 685 名前：674 [03/05/29 22:17 ID:1DRPv6wX] >>680 というかGWというのはホスト側のルーティングテーブルで見つからない IPがある時にどこを通じて探しに行くかを指定するためのものなので 次のステップでたどるIPを指定します。今回の場合はルータのLAN側の IPになります。 ただ反省はしる 686 名前：_ mailto:sage [03/05/29 22:22 ID:AXKLPNQk] homepage.mac.com/hiroyuki43/jaz10.html

---

---

[ 続きを読む ] / [ 携帯版 ]

read.cgi ver5.27 [feat.BBS2 +1.6] / e.0.2 (02/09/03) / eucaly.net products.
担当:undef