# routeを力すると以下のように表示されます。赤色の部分を確認してください。

# route Kernel routing table Destinnation Gateway Genmask Flages Metric Ref Use Iface 123.234.123.45 * 255.255.255.240 U 0 0 0 eth0 localnet * 255.255.255.0 U 0 0 0 eth0:0 （カードが２枚の場合はeth1) loopback * 255.255.255.0 U 0 0 1 lo default 123.234.123.46 0.0.0.0 UG 1 0 0 eth0

トップへ戻る

◆Firewallルールの設計

以上で、Firewaallの環境設定は完了です。
これから、Firewallを円滑に運用するためにルールの設計をしなければなりません。
ルールの設計が不十分だと、Firewallも無意味になってしまいます。また、ルールが強すぎると
必要なサービスまで使えなくなってしまい不便な環境となってしまいます。
何を何から守るべきか、必要なものと不必要なものを明確にする必要があります。
hero-islandのルールは、以下のとおりです。

★フィルタリングのルール

1. PORT80のwebサーバは、誰にでも、どこからでもアクセスを許可する。

2. PORT53のDNSサーバは、誰にでも、どこからでもアクセスを許可する。

3. PORT25のMailサーバは、誰にでも、どこからでもアクセスを許可する。

4. 各サーバからのFirewallを介したSYNパケットのみでは外部に出さない。

5. 各サーバは同一セグメント上のホストに直接アクセスできない。必ずFirewallを通過させる。

6. 上記以外は、全て許可しない。

トップへ戻る

◆iptablesの設定

1. 基本的な説明
   赤字の部分を実際に入力してください。
   

   vi /etc/iptables.sh ←/etc/iptables.shを開きます。 #!/bin/bash iptables -P INPUT ACCEPT　←INPUT は、全てを許可( ACCEPT)します。 iptables -P FORWARD DROP　←FORWARD は使わないので放棄(DROP)します。 iptables -P OUTPUT ACCEPT ←OUTPUT は、全てを許可(ACCEPT)します。 # iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT ←loopback自分自身は許可(ACCEPT) iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT ←loopback自分自身は許可(ACCEPT) iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j ACCEPT ←eth1(内部)からのアクセスはすべて許可します。 iptables -A OUTPUT -o eth1 -d 192.168.0.0/24 -j ACCEPT ←eth1(内部)からのアクセスはすべて許可します。 # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ←接続が確立したパケットの応答は許可します。 # iptables -A INPUT -p udp --sport 53 -j ACCEPT ←DNSへの問合せはすべて許可します。 iptables -A OUTPUT -p udp --dport 53 -j ACCEPT ←DNSへの問合せはすべて許可します。 # iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE ←マスカレードを定義します。 echo 1 > /proc/sys/net/ipv4/ip_forward # echo 1 > /proc/sys/net/ipv4/tcp_syncookies iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT ←SYN FLOOD攻撃対策 # echo 1 > /proc/sys/net/ipv4/conf/default/rp_filter ←IP Spoofing防御用 # echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts ←BroadcastへのPingの無視 # echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ←偽のエラーレスポンスを無視 # iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j ACCEPT ←PORT-SCAN対策 # iptables -A FORWARD -p icmp --icmp-typep echo-request -m limit --limit 1/s -j ACCEPT ←ping of death対策 # iptables -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset ←113PORTのレスポンス低下防止 # iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT ←接続が確立したパケットの応答は許可します。 # iptables -A FORWARD -i eth1 -p icmp -j ACCEPT ←外部へのpingを許可します。 # iptables -A FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT←wwwの通過および応答を許可します。 iptables -A FORWARD -i eth0 -p tcp --dport 25 -j ACCEPT←mail(smtp)の通過および応答を許可します。 iptables -A FORWARD -i eth0 -p tcp --dport 110 -j ACCEPT←mail(pop3)の通過および応答を許可します。 iptables -A FORWARD -i eth0 -p tcp --dport 143 -j ACCEPT iptables -A INPUT -i eth1 -p udp --dport 137 -j ACCEPT←ローカルネットワーク内からのSAMBAへのアクセスをすべて許可します。 iptables -A INPUT -i eth1 -p udp --dport 138 -j ACCEPT iptables -A INPUT -i eth1 -p tcp --dport 139 -j ACCEPT iptables -A INPUT -i eth1 -p tcp --dport 445 -j ACCEPT iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 10000 -j ACCEPT←ローカルネットワーク内からのWebmin（10000番ポート）への接続を許可します。 iptables -P INPUT DROP←上記以外のパケットは全て無視します。 #iptables -A FORWARD -i eth0 -j LOG←うまくサービスが動作しない時には、コメントを外し/var/log/messages を見ます。 wqでセーブします。

2. 設定をSAVEする。
   以前は、全てコマンドで打ち込んでいましたが、入力ミスが多発した為にシェルを作成した次第です。

   以下の例ではシェルを実行してセーブをしていますが、面倒な場合は/etc/rc.d/rc.localでシェルを実行させても問題はありません。
   # chmod 755 /etc/iptables.sh

   # cd /etc

   /etc# ./iptables.sh

   /etc# iptables-save > /etc/iptables.rules

3. restoreの追加
   vi /etc/rc.d/rc.local

   /etc/rc.d/rc.localに以下の行を追加します。

   if [ -f /etc/iptables.rules ]; then echo "Starting IPTABLES: /etc/iptables.rules" /usr/sbin/iptables-restore < /etc/iptables.rules fi

   ここで、REBOOTをします。

4. iptablesの確認
   iptables -L
   

   Chain INPUT (policy DROP) target ACCEPT tcp -- anywhere anywhere tcp dpt:http ACCEPT tcp -- anywhere anywhere tcp dpt:domain ACCEPT udp -- anywhere anywhere tcp dpt:domain ACCEPT tcp -- anywhere anywhere tcp dpt:smtp ACCEPT tcp -- anywhere anywhere tcp spt:smtp ACCEPT tcp -- anywhere anywhere tcp dpt:pop3 ACCEPT tcp -- anywhere anywhere tcp spt:pop3 ACCEPT tcp -- localnet anywhere tcp dpt:10000 ACCEPT tcp -- localnet anywhere tcp spt:10000 ACCEPT tcp -- anywhere anywhere tcp flags:SYM,RST,ACK/SYM limit avg 1/sec burst 5 ACCEPT icmp -- anywhere anywhere limit: avg 1/sec burst 5 icmp echo-request Chain FORWADR (policy DROP) target prot opt source destination Chain OUPUT (policy ACCEPT) target prot opt source destination

   
   

5. lsmodによるmodulesの確認
   Iptablesを実行すると以下のmodulesの存在を確認します。
   lsmod ←lsmodコマンドを投入します。

   Module Size Use by Not trainted ipt_REJECT 3288 1 (autoclean) ←存在を確認します。 ipt_limit 888 3 (autoclean) ←存在を確認します。 ipt_MASQUERADE 2368 1 (autoclean) ←存在を確認します。 iptable_nat 26374 1 (autoclean) [ipt_MASQUERADE] ←存在を確認します。 ipt_state 536 2 (autoclean) ←存在を確認します。 ipt_conntrack 31256 0 (autoclean) [ipt_MASQUERADE iptable_nat ipt_state] ←存在を確認します。 iptable_filter 1708 1 (autoclean) ←存在を確認します。 ip_tables 15360 0 (autoclean) [ipt_REJECT ipt_limit ipt_MASQUERADE iptable_nat ipt_state iptable_filter] ←存在を確認します。

   
   私が作成したiptables.shを実行すると上記のmodulesがloadされる筈ですが、

   上記のmodulesが存在しない場合は、カーネルの再構築が上手くいっていないことになります。

   iptableが実行されていない状態では当然loadされていませんので勘違いしないでください。

   iptablesが動作しない！あるいは部分的に動作しない原因の多くは、これならの問題だと思います。

トップへ戻る

前ページへ戻る