トップページ⇒linux
1001コメント407KB

おい、iptablesの使い方を具体的に詳しく教えろ！

レス数が1000を超えています。これ以上書き込みはできません。
0001初心者01/09/18 21:50ID:vcHWxUb2
家庭内ＬＡＮのルーターとして使いたい。
web, ftp, mailサーバーをうごかしつつ、ＩＰマスカレードして
ＬＡＮのＰＣをそとにつなげたい。
コネクションはＡＤＳＬ、ＩＰはグローバルひとつだけ。

具体的なiptablesのコマンドを教えろ。
それと、/etc/sysconfig/iptablesって何なの？これについてもね。

急いでいるのですばやい解答を求む
0002login:Penguin01/09/18 21:56ID:X8EZ40rQ
人に物を聞く時にはなあ
0003login:Penguin01/09/18 21:57ID:Wpuaf.G2
急いでいるなら本屋に行って調べろ！
その程度の事もするつもりが無いなら
市販のルータを買ってきてやれ！
あきらめろ！ヴォケ！
0004さあね ◆RnL1X.BA 01/09/18 21:59ID:rxOqmxAQ
modprobe ipchains
でipchainsコマンドが使えるYO
0005login:Penguin01/09/18 22:13ID:L4ldV6Io
1って初心者なのに偉そうに答えてるスレがあるな
0006login:Penguin01/09/18 22:13ID:Wpuaf.G2
学習意欲（と能力）が著しく欠ける人は
LINUXを使うのを諦めたほうがいいです。
これは嫌味ではなく、事実です。
この先もっと分からない事が出てくるでしょうし
その度にここでこんな事をすると
いつも罵詈雑言を浴びる事になるでしょう。
例えば，アメリカに行くから英語を教えてくれ、と言って
果たして何人が一からただで教えてくれるでしょうか？
あなたは税関の通り方から、電話のかけ方、レストランでの
注文の仕方、etc・・・全部教えてあげられますか？
途中までは付き合っても、いい加減にしろ！と
思いませんか？そんな事、本でも買って勉強しろ・・・
そう思いませんか？
0007login:Penguin01/09/18 22:20ID:8g9dksvQ
>6
これ、いただき。
0008　　01/09/18 22:37ID:vcHWxUb2
おまえら、みんなえらそうなこといって
本当はわかんないんだろ！

チンカスどもが。

特に 6 とかって、自分の誇れることは、Linuxのハックだけ。
スポーツ、音楽、人間関係すべて駄目。

唯一人に誇れることがLinuxのハックだけというとっても
可愛そうな、人格の曲がった変態オタクです。

どこの共同体にいっても社会から阻害される
仲間はずれの気持ち悪い奴です。

一生linuxいじってるだけの人生で満足しましょうね。
0009　　01/09/18 22:39ID:vcHWxUb2
それにしても、俺の予想通りのチンカスレスかえしてくれる
オタク野郎が多くて嬉しいぜ。

おまえら、意味のないレスつけるひまあったらもうすこし何か有意義なこと
したほうがいいよ。
人生時間は無限にあるんじゃないから。

Linuxの設定いじりもいいけど、ほかにやるべきことあるんじゃないのかな？
0010login:Penguin01/09/18 22:48ID:zlrh0B22
>>8が言う通りの人でなしですが十分満足です。
ほかにするべきことを教えてくさい。
iptables以外に
0011login:Penguin01/09/18 22:48ID:/YagzL8Y
オマエモナー(´ー｀)
00121101/09/18 22:49ID:/YagzL8Y
↑は>>9にね。
0013login:Penguin01/09/18 23:06ID:iqF.zvTg
コピペネタが大漁の名スレ
0014login:Penguin01/09/18 23:43ID:EgwjezQw
マジレスすると
freshmeat で昨日かおととい tutorial の紹介があったような
なかったような
0015login:Penguin01/09/19 00:18ID:SlcMD5nY
癌ばれ翻訳チ～ム age
http://people.unix-fu.org/andreasson/iptables-tutorial/iptables-tutorial.html
0016login:Penguin01/09/19 00:58ID:fo/XHH6M
#/bin/sh
IPTABLES="/sbin/iptables"

$IPTABLES -t filter -F
$IPTABLES -t nat -F

$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT

$IPTABLES -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 25 -j ACCEPT

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT
$IPTABLES -A INPUT -p icmp -j ACCEPT

$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -d 192.168.1.0/24 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.1.0/24 -j ACCEPT
$IPTABLES -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

eth0が内部向けインターフェース、ppp0が外向けインターフェースの場合。
他にも色々やらなきゃいけないこともあるだろうがとりあえずはこれで
動くだろ。あとは自分で調べろ。
00171601/09/19 01:00ID:fo/XHH6M
追記。

見りゃわかると思うが内部が192.168.1.0/24の場合。
0018101/09/19 11:33ID:b.58q32Y
>>16

うひゃ！ 1です。
こんな失礼な質問にもまじめに答えてくれるひといるんですね

びっくりくりくりくーりくりくりくり！クリトリス！

ちなみにiptablesのコマンドを生成してくれるシェルスクリプトとか
たくさんあるんだね。
だけどそれをちゃんと使えるようになったころには、
自分でiptablesのコマンド作れるわ。

ほんとおまえ全員死んだほうがいいよ。
生きている価値なし！　はやく消えろや！
0019101/09/19 11:38ID:b.58q32Y
IPTABLES="/sbin/iptables"

は `which iptables`としたほうが賢いな。
0020login:Penguin01/09/19 13:32ID:y.71jlhM
1の母とか1の主治医とか1の妹とかはまだか?
0021101/09/19 15:17ID:b.58q32Y
おい！
>>16
ふざけんな！

いま、おまえのスクリプトをそっくり実行したぞ！

そしたら、防火壁の内側のマシンから外に繋がらなくなったばかりか、
内側のマシン（windows）から防火壁へのsshまで切断されたぞ！

スクリプトを実行してから３０秒くらいはsshは繋がっていた。

そのあとはまったくだめ。

仕方ないので、コンソールでiptablesを初期化した。

そしたらまたsshでつなげられるようになった。
0022101/09/19 15:19ID:b.58q32Y
明らかにおまえのスクリプトのせいだ！！！

もう１回猶予をやる！

下のiptables-saveの出力をよんでどこが悪かったのか反省しろ！

$ sudo /sbin/iptables-save

# Generated by iptables-save v1.2.1a on Wed Sep 19 15:11:06 2001
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o ppp0 -j MASQUERADE
COMMIT
# Completed on Wed Sep 19 15:11:06 2001
# Generated by iptables-save v1.2.1a on Wed Sep 19 15:11:06 2001
*mangle
:PREROUTING ACCEPT [48:2540]
:OUTPUT ACCEPT [35:4644]
COMMIT
# Completed on Wed Sep 19 15:11:06 2001
# Generated by iptables-save v1.2.1a on Wed Sep 19 15:11:06 2001
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [35:4876]
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 20 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.255.0 -i eth0 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 192.168.0.0/255.255.255.0 -j ACCEPT
COMMIT
# Completed on Wed Sep 19 15:11:06 2001
[tomo@dell firewall2]$ sudo /sbin/iptables-save >temp
[tomo@dell firewall2]$ Last login: Wed Sep 19 14:57:06 2001 from 192.168.0.60
[tomo@dell tomo]$ sudo /sbin/iptables-save
# Generated by iptables-save v1.2.1a on Wed Sep 19 15:18:20 2001
*nat
:PREROUTING ACCEPT [54:2840]
:POSTROUTING ACCEPT [4:480]
:OUTPUT ACCEPT [5:520]
-A POSTROUTING -o ppp0 -j MASQUERADE
0023101/09/19 15:20ID:b.58q32Y
COMMIT
# Completed on Wed Sep 19 15:18:20 2001
# Generated by iptables-save v1.2.1a on Wed Sep 19 15:18:20 2001
*mangle
:PREROUTING ACCEPT [969:219880]
:OUTPUT ACCEPT [53:5394]
COMMIT
# Completed on Wed Sep 19 15:18:20 2001
# Generated by iptables-save v1.2.1a on Wed Sep 19 15:18:20 2001
*filter
:INPUT ACCEPT [65:7978]
:FORWARD ACCEPT [422:178331]
:OUTPUT ACCEPT [53:5394]
-A FORWARD -i eth0 -j ACCEPT
COMMIT
# Completed on Wed Sep 19 15:18:20 2001
0024101/09/19 15:21ID:b.58q32Y
192.168.0.0/24のＬＡＮのホストは全部信用というか、
eth0からのパケットは全部家族だから完全信用してＯＫ！

だからeth0からのsshとかtelnetとかそういうのは何も切らなくていいんだけどね。

大至急解答せよ。
0025101/09/19 15:23ID:b.58q32Y
1の主治医です。
以下省略。

1の母です。
以下省略。

ラディンです。
以下省略。

ブッシュです。
以下省略。
0026Anonymous ◆True/7Po 01/09/19 15:42ID:fzf17DHc
近頃まったりしてたLinux板に久々の大物新人ハッケソ（藁
00271の妹01/09/19 17:11ID:W6JW1RGY
お兄ちゃんをもっといじめてあげて！！
それから舐めてあげて！！
0028101/09/19 17:58ID:R0.PPNAU
おい！
俺様はおまえらチンカスの解答を待っているぞ。

おいおい、せっかく俺様はlinuxを使ってやってるだぞ。
それなのにこの対応は何だ！

いったいユーザーサポートはどうなってるんだ！

早く解答しろ！

俺様はお客様だぞ。
0029101/09/19 18:00ID:R0.PPNAU
まじな話なんですが、iptablesって設定したあと
実際に運用してみる以外に方法はないんですか？

なんかチェインをデバッグするためのビジュアルツールとか
ないんですかね？

とくにファイヤウォールだと、実際にアクセスが遮断されたかどうかって、
外部からのアタックを待つ以外にないんですかね。

もっと簡単にシミュレートしてチューニングできるような
コマンドないですかね。

俺様は、tcpdumpつかってやってるんだけどいまいちで。

なんとかマンコ　チンコ　クリトリス。
0030login:Penguin01/09/19 18:08ID:qEEz2x9s
>>16
こういう奴に教えないで欲しい、
中学レベルの思考力があればファイアーウォールくらい作れるはずだ、
マニュアルの日本語訳も探せば見つかる、
0031デーモン01/09/19 18:09ID:YHY9eRco
ヲレ　ペンギンは嫌いだけど1みないた奴好きだ（藁
0032login:Penguin01/09/19 18:12ID:ugf7WlQ2
雲丹板にスレたてたのだれだ？
0033101/09/19 18:13ID:R0.PPNAU
>>30

うるせえな。
TOEIC 960点の俺様に何か用か？！

おまえみたいに文句いうけど何も情報提供できない
チンカスは生きている価値ないよ。

アフガニスタン逝ってラディンいっしょに死んでくれ。
0034101/09/19 18:15ID:R0.PPNAU
>>31

おまえなんか大嫌いだ！

ほんとにここに居る奴は役立たずばかりだな。

ほんとに脳みそあるのか？？？？？？？

早く答えろ！

俺様は忙しいんだ
0035login:Penguin01/09/19 18:23ID:R0.PPNAU
こんにちは。

こんなスクリプトはどうでしょう？

# chain policies
# set default policies
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD DROP

# flush tables
/sbin/iptables -F
/sbin/iptables -F INPUT
/sbin/iptables -F OUTPUT
/sbin/iptables -F FORWARD
/sbin/iptables -F -t mangle
/sbin/iptables -X
/sbin/iptables -F -t nat

# create DUMP table
/sbin/iptables -N DUMP > /dev/null
/sbin/iptables -F DUMP
/sbin/iptables -A DUMP -p tcp -j REJECT --reject-with tcp-reset
/sbin/iptables -A DUMP -p udp -j REJECT --reject-with icmp-port-unreachable
/sbin/iptables -A DUMP -j DROP

# Stateful table
/sbin/iptables -N STATEFUL > /dev/null
/sbin/iptables -F STATEFUL
/sbin/iptables -I STATEFUL -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A STATEFUL -m state --state NEW -i ! ppp0 -j ACCEPT
/sbin/iptables -A STATEFUL -j DUMP

# loopback rules
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A OUTPUT -o lo -j ACCEPT

# drop reserved addresses incoming
/sbin/iptables -A INPUT -i ppp0 -s 127.0.0.0/8 -j DUMP
/sbin/iptables -A INPUT -i ppp0 -s 192.168.0.0/16 -j DUMP
/sbin/iptables -A INPUT -i ppp0 -s 172.16.0.0/12 -j DUMP
/sbin/iptables -A INPUT -i ppp0 -s 10.0.0.0/8 -j DUMP

# allow certain inbound ICMP types
/sbin/iptables -A INPUT -i ppp0 -p icmp --icmp-type destination-unreachable -j AC
CEPT
/sbin/iptables -A INPUT -i ppp0 -p icmp --icmp-type time-exceeded -j ACCEPT
/sbin/iptables -A INPUT -i ppp0 -p icmp --icmp-type echo-reply -j ACCEPT

# opened ports

# Set up NAT for internal network
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE

# push everything else to state table
/sbin/iptables -A INPUT -j STATEFUL
0036ひとりごと01/09/19 18:24ID:R0.PPNAU
ＩＤかわってないぞ。なんでだ？
ＩＰかえなきゃだめか。
0037ひとりごと01/09/19 18:26ID:R0.PPNAU
恥ずかしい。

おい！早く俺様の質問に解答しろ！

いいかげんに切れるぞ。
逆切れ　プチーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーン
0038login:Penguin01/09/19 18:30ID:ugf7WlQ2
ここは1の自作自演スレか！？
0039login:Penguin01/09/19 18:38ID:kL5j0/mE
わらた
0040ひとりごと01/09/19 18:39ID:R0.PPNAU
>>38

うるせえ！

ここは俺様の質問におまえらチンカスlinux板住人が誠心誠意こめて
解答するためのスレだ。

おまえも何か有益な情報をもってこい！　これは命令だ
0041login:Penguin01/09/19 18:46ID:814WaFq6
虚空に一人でしゃべりながら命令するのか、、、
傍から見たらかなり危険な人だな、

http://www.toseikyo.or.jp/
0042Anonymous ◆True/7Po 01/09/19 18:59ID:fzf17DHc
強制IDを導入いて貰って良かったと思うこのごろ・・・
0043login:Penguin01/09/19 19:09ID:kL5j0/mE
セキュリティフォーカスのメーリングリストにあなた>>1が
ほっする情報がながれていたような気がします。

>>41
クリックしてしまった。ワラタ。
0044101/09/19 19:11ID:R0.PPNAU

#/bin/sh
IPTABLES="/sbin/iptables"

/etc/init.d/iptables stop
$IPTABLES -t filter -F
$IPTABLES -t nat -F

$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT

$IPTABLES -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 25 -j ACCEPT

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i eth0 -s 192.168.0.0/24 -j ACCEPT
$IPTABLES -A INPUT -p icmp -j ACCEPT

$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -d 192.168.0.0/24 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.0.0/24 -j ACCEPT
$IPTABLES -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
0045101/09/19 19:13ID:R0.PPNAU
おい、チンカスども！

おまえらが有益な情報をもってこないので、
俺様は独自に改良したスクリプトを大発明した。

ただいま特許申請中！

すばらしいポイントは、デフォルトのチェインのルールが
すべて ACCEPT　になった！！！

これで ssh はきれなくなったし、
マスカレードも効くようになった。

しかし、全部ACCEPTにしてしまうと防火壁の意味があるのか？！

いいんだ！そんなことは。俺様が使えればそれで十分！！
0046101/09/19 19:15ID:R0.PPNAU
上のスクリプトだ。

どうだ！　俺の発明したスーパースクリプト！

実用新案申請中！

実用新案ってきえたっけ？

いいんだ！そんなこと。俺様のスクリプトだ。

おまえらは、拝んでから使うように。
0047login:Penguin01/09/19 19:23ID:cQrCo80s
最後の２行と最初の数行以外無駄じゃん・・・・
0048101/09/19 19:32ID:R0.PPNAU
>>47

目の付け所がシャープだね。

よしよし。いい点に気づいた。

それは次回までの宿題としよう。
0049101/09/19 19:34ID:R0.PPNAU
ちなみに、いまのは笑うべきところだからね。
ちゃんと笑ったかな？

つまんなくても笑うんだよ
0050101/09/19 19:43ID:R0.PPNAU
スクリプトがほぼ完成した。

#/bin/sh
IPTABLES="/sbin/iptables"

/etc/init.d/iptables stop
$IPTABLES -t filter -F
$IPTABLES -t nat -F

$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -A INPUT -i eth0 -j ACCEPT

$IPTABLES -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 25 -j ACCEPT

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i eth0 -s 192.168.0.0/24 -j ACCEPT
$IPTABLES -A INPUT -p icmp -j ACCEPT

$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -d 192.168.0.0/24 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.0.0/24 -j ACCEPT
$IPTABLES -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
00511601/09/19 19:50ID:x93r2q2g
eth1とeth0間違ってたりしないか?
0052101/09/19 19:54ID:R0.PPNAU
不思議だな。でもなんで３０秒たつと切れるのか。
0053101/09/19 19:59ID:R0.PPNAU
>>51

それはない！！！！

$ /sbin/ifconfig
eth0 Link encap:Ethernet HWaddr hoge
inet addr:192.168.0.50 Bcast:192.168.0.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:473769 errors:0 dropped:0 overruns:0 frame:0
TX packets:432147 errors:0 dropped:0 overruns:0 carrier:18
collisions:0 txqueuelen:100
Interrupt:11 Base address:0xdc00

lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:34538 errors:0 dropped:0 overruns:0 frame:0
TX packets:34538 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0

ppp0 Link encap:Point-to-Point Protocol
inet addr:hoge P-t-P:hoge Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
RX packets:19809 errors:7 dropped:0 overruns:0 frame:0
TX packets:18775 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:3
0054101/09/19 20:01ID:R0.PPNAU
それって、パケットのルーティングかなにかを
カーネルが覚えているあいだはつながるけど、
その時間がすぎると接続不能になるのか。
0055101/09/19 20:04ID:R0.PPNAU
英語の文献に大きなヒントがあった
引用する

Now you might be compelled to just close all ports to incoming traffic, but remember, after your computer talks to another computer, that computer must talk back. If you close all of your incoming ports, you'll essentially render your connection useless.
00561601/09/19 20:04ID:x93r2q2g
うちは ppp0 -- eth1 -- Linux -- eth0 -- 192.168.1.0/24
なんだが、16のスクリプトで間違いなく動くんよ。

ppp0とeth0間でのルーティングで何かこけてんのかなあ。
すまん、これ以上はわからん。
0057101/09/19 20:07ID:R0.PPNAU
いまsyn フラグのこと勉強中
0058101/09/19 20:09ID:R0.PPNAU
thank you for your cooperation
0059101/09/19 20:10ID:R0.PPNAU
その通りだと思う。

16のスクリプトでうごくはず
manでコマンドをしらべて解析していくと
まさに俺がやりたいことが書いてある。

デフォルトではフォワードと入力をdropにして、
順番に穴をあけてゆく。

あっているんだよね。やり方は。
0060101/09/19 20:12ID:R0.PPNAU
コマンドを実行したすぐあとは、ちゃんと動く！

マスカレードもsshもちゃんとＯＫ

だけど１０秒か３０秒後くらいに突然通信不能に。

tcpdumpかけてみたけど、なんかちょうどそのくらいになると
なぜかパケットが無視されるようになる。。。。

Kondara MNU/Linux 2.0 (Mary)
Kernel 2.4.4-18k on an i686

を使用中
0061login:Penguin01/09/19 20:15ID:2jgzMVuU
マジレスばっかでつまらんな。
もっとネタやってよ。>1
00621601/09/19 20:18ID:x93r2q2g
奇遇だがうちもKondara 2.0だ。ディストリビューションが
原因ではなさそう。
0063101/09/19 20:31ID:R0.PPNAU
おう！俺様だ！

チューニングして、なんとかスクリプトが動くようになった。
元になるスクリプトを提供してくれた１６に感謝

残りの奴らはアフガニスタンに逝ってくれ。

$ cat firewall2.sh
#/bin/sh
IPTABLES=`which iptables`

/etc/init.d/iptables stop
#$IPTABLES -t filter -F
#$IPTABLES -t nat -F

$IPTABLES -P FORWARD DROP　　←これはやっぱりacceptにしないと、しばらくするとマスカレードが死ぬ　これはいまだに謎
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
#$IPTABLES -A INPUT -i ppp0 -p tcp --syn -j DROP

$IPTABLES -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 25 -j ACCEPT

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -i eth0 -s 192.168.0.0/24 -j ACCEPT
$IPTABLES -A INPUT -i eth0 -p icmp -j ACCEPT

#$IPTABLES -A INPUT -i ppp0 -p icmp -j DROP
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -j DROP

$IPTABLES -A FORWARD -i ppp0 -d 192.168.0.0/24 -j ACCEPT
$IPTABLES -A FORWARD -i eth0 -s 192.168.0.0/24 -j ACCEPT
$IPTABLES -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
0064101/09/19 20:33ID:R0.PPNAU
デフォルトのポリシーはACCEPTだが、INPUTの最後に
「ppp0からのパケットはドロップ」
という一行を入れた。

このために、一応防火壁としての役目は果たしていると思う。

このスクリプトではすでに接続中のコネクションは許可という記述になっているが、
synパケットのみを不許可にするという方法もあるらしい。

このiptablesのチューニングはまじ面白い　はまる！！！！

ヒッキーの俺がさらにヒッキーになる　悪魔の　プログラムだ！！
0065101/09/19 20:35ID:R0.PPNAU
基本的なことで申し訳ないが、
192.168.0.0/32 ＝　192.168.0.0
192.168.0.0/24 ＝　192.168.0.0/255.255.255.0
192.168.0.0/16 ＝　192.168.0.0/255.255.0.0

でよろしいよね？？

俺の解釈はまちがってないよね？
0066login:Penguin01/09/19 20:37ID:UG.2C4Bw
そ、
0067101/09/19 20:38ID:R0.PPNAU
おいおい！ほかの奴らはだれもiptables和姦ないのか？

情けないな。

マンコ！

まさかおまえらは、全部ポリシーをacceptにして、

iptables --table nat --append POSTROUTING --out-interface ppp0 -j MASQUERADE
iptables --append FORWARD --in-interface eth0 -j ACCEPT

とだけしている　大穴　設定になっているのか？

そういう設定にしているといつの日か、俺のチンコが隙間から侵入するぞ！
0068101/09/19 20:48ID:R0.PPNAU
だいたい
俺のトラブルの原因が推測できた。

$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

のあたりか、

-s でＩＰのレンジを指定している部分。

ＩＰのレンジを指定すると、そのルールがうまくいってないもよう。

192.168.0.0/24

としてもＬＡＮのなかからのパケットをうまく指定できていない模様。

もうちょっと調べてみるわ！
0069101/09/19 21:15ID:R0.PPNAU
原因解明！

crontab　で２分後ごとに自動でiptablesを設定するスクリプトが
動いていた。それが邪魔していた模様。

お騒がせしました。

すべては1が悪いことが判明しました。

1の母より。
0070サイキックNo.9 ◆2bkNKsR. 01/09/19 21:27ID:Xn0tTfEE
>>1
もっとしてー
0071101/09/19 21:52ID:WqIJWYNk
これとは関係ないけど以下のスクリプトでまちがっているところを指摘してくれ

エラーがでる

TUN=`ifconfig |grep ppp | awk '{ print $1 }'`

while [ "${TUN}" = "" ] && [ ${COUNT} -le 1000 ]

do
TUN=`ifconfig |grep ppp | awk '{ print $1 }'`
COUNT=$[$COUNT + 1]
done

pppがあらわれるまで待ちたい！


./mylocal: [: -le: unary operator expected

というエラーがでる
0072login:Penguin01/09/19 21:55ID:2jgzMVuU
最初 ${COUNT} が空っぽ。
つーか、くだ質で聞け。
0073俺01/09/20 01:35ID:PTcQUJdA
>>72

その通り！
いい解凍だ。

COUNT=0
while [ ${COUNT} -le 1000 ] ;

にしたらＯＫでした。
0074login:Penguin01/09/20 02:59ID:TXLnG25g
>>63
> IPTABLES=`which iptables`

こらあかんやろ。
0075俺01/09/20 04:04ID:b2EmCtdY
ところでIPマスカレードってipfwdmからipchains、iptablesにつぎつぎとかわって面倒だね。
覚えるのが。
せっかくコマンドを丸暗記したのに、また覚えなおしだよ。なあ。

で俺が聞きたいのは、コンダラつかっている奴は、
ipchainsとiptablesのどっちつかってるかってーことだよ。

ipchainsもkernel2.4で互換性のために残してあるらしいけど、
ipchainsのコマネチじゃなくてコマンド叩くとインコンパチブルとかエラー吐いてくるんだわ。


おまえらkondara使っているマニア野郎は、
iptablesとipchainsのどっち使ってんだ？
0076名無しさん＠Ｅｍａｃｓ01/09/20 04:09ID:lvYPzRDU
ん？
なんか見たことあるフレーズだ・・・

以前こきおろされたドキュソでしたか
0077login:Penguin01/09/20 04:20ID:1qduSuYA
ipchainsってkondara2.0で使えない？
http://cocoa.2ch.net/test/read.cgi?bbs=linux&key=1000021207
これか
0078login:Penguin01/09/20 04:35ID:wVZVoRuM
★　おい！　iptablesの使い方を教えろ！★
http://cocoa.2ch.net/test/read.cgi?bbs=unix&key=1000890418
これもか
00791の妹01/09/20 07:24ID:L7at3hL.
うちの馬鹿息子がすいません。
この子ったらあたしにまで
「穴があいてるぞ、塞いでやる」
なんて言うんです。
はぁ・・困った
0080-01/09/20 07:36ID:1ieJzHSQ
モロ、無修正画像サイト発見！

http://www.sex-jp.net/dh/01/
http://www.sex-jp.net/dh/02/
http://www.sex-jp.net/dh/03/
http://www.sex-jp.net/dh/04/
0081ラディン01/09/20 11:41ID:PTcQUJdA
>>79

おまえつまんない。

>>74

は？なにいってんだ？このチンカスは。
ちゃんと動くぞそのスクリプト。

検証もせず口だけのチンカスが！

死ね
0082ラディン01/09/20 11:42ID:PTcQUJdA
俺様のスレッドのけちをつけるチンカスが多い。

おまえら俺様の求めている有益な情報をすぐにもってこい。

俺は短期だ。いいかげんにしろ。
0083login:Penguin01/09/20 15:51ID:W2dPe0IU
>>82
そりゃあ、ビンラディンの残りの寿命は短期でしょうなぁ。
0084 01/09/20 17:58ID:4J9ZsTOQ
LAN内のクライアントで鯖立てて外部から接続させるにはどうすればいいんだ
0085login:Penguin01/09/20 18:03ID:FnOBm5BA
ヒント：
-t nat
0086ビンラディン01/09/20 18:04ID:L7at3hL.
俺は短小だ。いいかげんにしろ。
0087login:Penguin01/09/20 18:08ID:AMNBGWQ2
-t nat -A PREROUTING -p tcp --dport **** -j DNAT --to-destination ***.***.***.***
0088俺01/09/20 23:25ID:PTcQUJdA
>>84

そんなことするな！

固定のＮＡＴっていうやつか。

>>84

でも俺様のスレッドで勝手に俺の許可無く質問するとは太いやつだな。
おれもぶちきれ寸前だ。

むかむかむかむか。
0089login:Penguin01/09/20 23:58ID:5DNzIkXs
>>88
氏ね、キチガイ。
00908401/09/21 10:08ID:/WnHfjic
>>87
ありがとうございます
大変助かりました

>>88
勝手に質問して申し訳ありません
諸事情によりLinuxのCD叩き割りましたのでもう来ません
私の分まで頑張ってください
0091login:Penguin01/09/21 15:23ID:NKB.AnvU
sage
0092login:Penguin01/09/23 22:57ID:Z2eLKb56
ｼﾏｯﾀ、84=1
じゃなかったのか、、、、
バグの原因がわからずにイライラするの想像してたのに
0093俺01/09/25 02:02ID:bekFG.Jk
>>92

バーカ
0094login:Penguin01/09/25 03:33ID:atqL0X8A
質問。

PINGスイープ対策としてICMPパケットを全て拒否する設定にした。
でもこれだとリモートからホストが生きてるかどうか確認できない
ので、特定のホストに対してだけPINGを許可した。

$IPTABLES -A INPUT -i ppp0 -p icmp -s 192.168.1.0/24 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p icmp -j DROP

てな具合で。でも、これだともう一つ弊害があって、このホスト
から 192.168.1.0/24 以外への ping が通らないっつーか、
ICMP reply まで受け取れなくなってまうんです、当然ですが。

なんとかしてこちらからはICMP replyは受け取れて、かつリモート
からのICMPを弾くような設定にできませんかね。無理かなあ。
0095login:Penguin01/09/25 03:42ID:8yqm0krk
ここは、俺が立てた電波オナニースレだから
質問スレで聞けよ
0096login:Penguin01/09/25 03:43ID:B6kXvahw
俺Redhat7.1J(Kernel-2.4.5)でiptables使ってたけど
大量のデータをやりとりするとLinuxがフリーズしてた。
理由はわからんけど今はipchains使ってます。
0097login:Penguin01/09/25 04:41ID:9NpLtvnQ
--icmp-type echo-reply を ACCEPT してみたら?
0098俺様01/09/25 11:35ID:bekFG.Jk
>>96

へえそうなんだ。
# cat /etc/issue

Kondara MNU/Linux 2.0 (Mary)
Kernel 2.4.4-18k on an i686

で安定しているよ。iptablesで。
っていうか、iptablesでもipchainsでも最終的にパケットをいじるのは
カーネルでしょ。

iptablesもipchainsもたんにカーネルに指示をだすためのツールだから
設定したあとはけっきょくおんなじなんじゃないのかな。
0099俺様01/09/25 11:35ID:bekFG.Jk
/sbin/iptables -A INPUT -i ppp0 -p icmp --icmp-type destination-unreachable -j ACCEPT
/sbin/iptables -A INPUT -i ppp0 -p icmp --icmp-type time-exceeded -j ACCEPT
/sbin/iptables -A INPUT -i ppp0 -p icmp --icmp-type echo-reply -j ACCEPT
0100俺様01/09/25 11:36ID:bekFG.Jk
>>94

特定のpingの応答パケットだけを通すようにする。
01019401/09/25 12:22ID:atqL0X8A
ICMPパケットのタイプのオプションがあったんだね。
サンクス!
0102犬2.4房01/10/09 07:27ID:d9bMRyJ6
1でも俺様でもない新種だが、
お前ら、iptables(というよりは
netfilter?)の使い方教えてください。
長文でｽﾏｿが、みなさん読め。

ここ数日の格闘でだいぶiptablesの飼い慣らしは
できてきたんだけど、どうしてもわからないことが
ある。もしかするとできない??

http://www.linux.or.jp/JF/JFdocs/NAT-HOWTO-9.html

たぶんこの問題だと思うんだけど、ローカルどうしでの
折り返しNATがどうしてもうまく設定できないのだ。
具体的には、グローバル・ローカルの対が、
xxx.xxx.xxx.1 192.168.0.1
xxx.xxx.xxx.2 192.168.0.2
のとき、192.168.0.2が xxx.xxx.xxx.1に対して
コネクションを張りたい場合。192.168.0.1から見て、
xxx.xxx.xxx.2 と喋ってるように見せたい。つまり
192.168.0.1 は、xxx.xxx.xxx.2 と喋って
192.168.0.2 は、xxx.xxx.xxx.1 と喋ってるようにしたいのだ。

ふつーに PREROUTING, POSTROUTINGを
設定した限りでは、ping xxx.xxx.xxx.1 やっても
192.168.0.1 には全くパケットが飛んでこない。

iptablesの動作そのものに関して深く突っ込んだ
文書を発見できてないんだが、PREROUTING,
POSTROUTINGは、複数マッチすることがない?
それとも、PREROUTINGで書き換えられて内側に
向かおうとするパケットは、POSTROUTINGが
適用されない?

ちなみに、お前らの忌み嫌う*BSDでは、ルールを一つ
追加するだけで、この動作ができるようになった
(BSDI4.2でやってみた)

教えろ、みなさん。
010310201/10/14 07:04ID:t3/qnPyQ
俺の設定ミスだった。
Policy routingと併用してて、
それが悪さをしてるようだった。
すまん。

ところで、複数インタフェイスのNAT boxを
立てたんだが、こいつがローカルセグメントを
2つ持ってると、やっかいなことに
素直に折り返しNATが設定できなかったんだ。
でも、どうにかあらゆるケースでまっとうな
変換を行わせることができるようになったぜ。

お前ら、わたくしの話を聞いていただけませんか?
0104login:Penguin01/10/14 08:27ID:XaJ/Yh7o
>>103
＞お前ら、わたくしの話を聞いていただけませんか?
この気持ちよく分かるよ。sageでなら聞いてあげます。
0105login:Penguin01/10/30 03:34ID:xBC2pQDX
iptables性格悪りぃ。
ipchainsの方が良かった、つうか、ツールをコロコロ変えるんじゃねぇ!!
その度に使い方を調べなきゃいけない方の身にもなってみやがれ。
あの糞OSですら、マンインターフェースの互換性は維持しようとしてるって
えのによ。そんな事をやっているから腐れOSなんかに遅れをとるんだよ。

・・・・と思ってしまうのは私だけでしょうか？
私だけですね、ごめん。疲れてるんだ。俺。
0106login:Penguin01/10/30 12:28ID:cVXdZ/n7
この「俺様」ってなに？かなり頭悪そうだな（ﾜﾗ

iptablesなんか初めてさわって３０分でマスターできたんだけどなにか？
TOEICで高得点とれるなら付属の英語ドキュメントよめばいいじゃん。
そこに全部書いてあるんだけど（ｹﾞﾗ
0107login:Penguin01/11/17 09:00ID:gbhN7wrh
ipchains→iptablesでIRCが全く出来なくなってしまいました・・・
ip_masq_irc.oの変わりのものというか探してもないみたなので
通し方など教えてもらえませんか？
0108login:Penguin01/11/17 09:46ID:2yWe0wAf
かーねるコンポイルするときさー。ipchane選択すればいいんだよ～。
0109login:Penguin01/11/18 03:56ID:ygRARmu7
>>107
これといって設定しなくてもIRCは大丈夫っぽいけど。

ただ接続というかサーバメッセージが出てくるのに時間がかかるようになったかも。
identかな？
0110login:Penguin01/11/18 05:43ID:Pd9lw8zI
>>107
たぶんdccだと思うがNetfilterのあたらしめのものにirc
モジュールが入っているのでそれを使っとけ。
最近のカーネルにも入ったぞ。
0111login:Penguin01/11/18 07:33ID:0BZ/DjyK
MSNメッセンジャー でファイル送りができないぞ ボケっ！！！

と、クライアントに言われた、、、、、、、、、、、、
そんなん知らんもん。誰か教えてください！
0112login:Penguin01/11/18 10:11ID:1QrpcR/L
誰か、>>111を翻訳してください！
0113login:Penguin01/11/18 12:07ID:vqsBki7q
>>111
ポート空けたら?
どこを使ってるかMSに聞いてさ。
0114login:Penguin01/12/02 04:26ID:Cl8EFR0X
>>111
遅レスでごめん。
http://www.watch.impress.co.jp/pc/docs/article/20011120/wm.htm
この記事に載ってるUPnPだけどこっちを参考にしてみるといいかも
http://upnp.sourceforge.net/
だけど現状のMSNMessengerがUPnPに対応してるかどうかは分からない。
これは調べてみて。
0115login:Penguin02/01/01 04:29ID:ejrqaPWQ
NIC を二枚挿して一つは CATV で外に、もう一つはローカルになってるんだけど、
iptables でいろいろ設定して確認のために nmap で CATV 側を確認。
そしたら閉じたはずのポートが空いてるから tcpdump で調べてみたら、
eth1 (外)向けのはずのパケットが lo で送受信されてるんだけどなぜ？
全く意味が分かんないんすけど。
0116login:Penguin02/01/01 11:11ID:AwJCMs1f
バグリーなテーブル使うより、チェーン使う方がよっぽどいい。
0117login:Penguin02/01/01 11:12ID:AwJCMs1f
>>115
もうアホかとバカかと内から調べて何が分かるかと。
0118login:Penguin02/01/01 14:44ID:r7sTWuuO
>>116
バグリー age
0119login:Penguin02/01/01 16:39ID:by5M4GGB
>ポート空けたら?
>どこを使ってるかMSに聞いてさ。

ログ取りゃわかるじゃん
012011502/01/01 17:28ID:V47sv5gD
>>117
あ、そうなんだ。ありがと。
で、ついでにもう一つなんだけど、
ping で eth1 に向けて打っても lo で送受信なんだけどなぜ？
0121login:Penguin02/01/01 19:00ID:HMncwPCe
route or netstat -nr
で調べろよ
012211502/01/01 20:12ID:pBWE9tS7
>>121
えー、それも確認してるんですよ。route の内容が間違ってると
外にもつながらないって事でしょ？でもつながってる。
結局、 インタフェースが eth0 , eth1 , lo ってあって
自マシンからの ping はどこに打っても自動的に lo に振り分けられるって事でよろしいでしょうか？
0123login:Penguin02/01/01 20:22ID:BcEtv31+
>>120 そういうもんだ。自ホスト宛のパケットは常に lo を通る。
>>121 君は誤解している。ルーティングテーブルは関係ない。
012411502/01/01 20:30ID:pBWE9tS7
>>123
おー、なるほど。ありがとさん。
>>121
いやー、初心者に嘘教えないでくださいよーほんとに(笑。
ま、さ、か、知ったかじゃないよね？よね？
0125login:Penguin02/01/01 23:38ID:dWB3ESFy
初心者ウザイ。
man読んで理解できないようだったらあきらめろ。
0126login:Penguin02/01/02 20:54ID:zeUklSlP
>>125
おまえだって最初は初心者だったはず。
そして、時代が変わったということを少しだけ
容認してやれ。
0127age02/01/02 21:00ID:p99z4gED
初心者がウザイというのはどうかと思うが、最近はただのｵｼｴﾃ厨房が蔓延してるからウンザリ来てるんじゃないのか？
実際自分はそうだが。
0128login:Penguin02/01/02 21:16ID:c8UqFjQr
いや、確かに115は×っぽい。
0129login:Penguin02/01/02 21:53ID:ej/Tkm+f
http://www.geocities.co.jp/Milano-Cat/1568/i575.swf?phrase1=%82%B1%82%CC%83X%83%8C%82%CD&phrase2=%90%8F%95%AA%83%8C%83x%83%8B&phrase3=%92%E1%82%A2%82%CC%82%CB
0130login:Penguin02/01/02 21:59ID:iOB2rYJz
でもさ、自ホスト宛パケットがどうのって話しはmanで何とかなるような問題でもなくない？
俺なにげ知らなかったし。初心者だからこその質問もいいとこついてる。
俺が無知なだけ？
0131login:Penguin02/01/02 22:09ID:rMEytr9H
>>130
質問より、>>115の>>124の書き方が気になる
0132age12702/01/02 23:10ID:p99z4gED
>>131
同意。
ﾔﾊﾟｰﾘ聞き方という物もあるし、ｵｼｴﾃもらった情報が参考になったかならなかったかは別にしても礼儀という物があるだろう。

つうか>>115はただの独り言の文に見える。

つまり、

－－－－－－－－－－放－－－－－－－－－－置－－－－－－－－－－
0133login:Penguin02/01/02 23:47ID:OrD9yYLQ
なんだかんだ言ってもここって２ちゃんねる。
そーいうのが許されてるって言うか、面白い面白くないは別としてギャグの一つだと思ってるんだけど。
あくまで俺はね。
0134login:Penguin02/01/03 00:27ID:sxe5Fjhz
>> 1
いますぐ氏ね
0135login:Penguin02/01/16 04:09ID:/9xE5614
お前ら、どうか教えてくださいませんか？

iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

としているときに、ACK FIN フラグのたっているパケットが --state NEW と
みなされて DROP されてしまうことがあります。 LOG ターゲットに残すと次
のようになりました。

IN=eth0 OUT= MAC=XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
SRC=XXX.XXX.XXX.XXX DST=XXX.XXX.XXX.XXX LEN=52 TOS=0x00 PREC=0x00 TTL=61
ID=64159 DF PROTO=TCP SPT=8080 DPT=8311 WINDOW=8760 RES=0x00 ACK FIN
URGP=0

Web で調べてみると、次の二件が見つかりましたが、どちらも解決に至ってい
ないようです。

http://www.uwsg.iu.edu/hypermail/linux/kernel/0110.1/0414.html
http://archives.neohapsis.com/archives/sf/linux/2001-q2/0049.html

Back Orifice のための scan だとかいう人もいるのですが、BBS を読むと、
どうも timeout 関係らしいとまで分かりました。しかし、どうやって修正す
るか全く分からず、ここに泣きついてしまいました。
0136login:Penguin02/01/22 08:07ID:XFXkO4Vc
ログ出力するときって、いちいち
iptables -A .... -j DROP
iptables -A ... -j LOG
みたいに-jの先以外が同じ行を2行ずつ書いていくのですか?
ipchainsの-lだけで指定できる方が簡単だったような。
0137login:Penguin02/01/22 13:13ID:UXXt0yTf
ログ出力専用チェインをつくるみたい。
JFにもそうあった。
あと、逆だよね。
iptables -A ... -j LOG
iptables -A .... -j DROP
0138login:Penguin02/01/23 05:33ID:MpfwbTB/
MS NetMeeting とか、、やっぱり無理でしょうか？
0139login:Penguin02/01/23 08:18ID:I0GwTZYN
>>138
このへんは読んだか？
http://www.microsoft.com/japan/support/kb/articles/JP158/6/23.asp
http://oscar.as.wakwak.ne.jp/win/voip.shtml
0140login:Penguin02/01/23 09:30ID:wwyOHTAl
>>139
レスどうもです

上のリンクは見てなかったんですが、数社ルータメーカーが掲示している
“NetMeetingを通す方法”の元？なんでしょうか
＞動的に割り当てられるポート (1024 ～ 65535) で、セカンダリ UDP 接続を通す。
これがちょっと、、です。。

下のほうはチェックしてました(というかリンクが紫になってただけ、、)
IPMasqueradeでは他サイトでも安定してるというか実用例があるみたいなんですけど、
できたらIPMasquerade用のモジュールを読み込まないで、というので考えています
サイト内リンクのH323(netmeeting) protocol helperもやっては見たのですが
英語が××で、ぶっちゃけ成功していません。。
あ、なんか前よりバージョンがあがってるみたいなので、もっかいやってみます
(正直日本語解説がないと無理なのかも、とは思ってはいるんですが、、)

失礼しました。。
0141login:Penguin02/01/30 18:38ID:yyaVmfbc
あるドメインからのパケットを丸ごとdropしたいんですが、どういう指定に
すればよいのでしょう？
manを見たところ、-sとか-dの引数としては、単一のホスト名、単一IPアドレス、
IPアドレスによる範囲指定が使えるようなのですが、名前では無理なのでしょうか？

最悪、IPアドレスの範囲指定でゴリゴリやるのも手なのですが、あるISPが持ってる
IPアドレスのリストって調べられるものでしょうか？
host -l だとちょっと辛い感じです。
0142iptable使ったことない馬鹿厨房02/02/01 19:07ID:DP/uyWNH
http://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
に、iptableのmanの日本語翻訳版が有るから参考にどうぞ

一応ドメインでも指定できるみたいだね・・・
でも、(確証はないが)逆引きに失敗した場合にすり抜ける可能性が有ることに注意
あるドメインのIPアドレスの範囲を知りたければwhoisを使いましょう。

安全を期するなら、IPアドレスの範囲指定＆ドメイン名で弾くべきか？
いつ新しいIPアドレスが追加されるかわからないしね・・・
# ドメインで弾くほうには -l を付けとけば
# 新しいIPアドレスが追加されたってのに気づきやすいよね。

0143iptable使ったことない馬鹿厨房02/02/01 19:18ID:DP/uyWNH
>>142 の補足＆訂正。

すまぬ、やっぱ厨房だ・・・
まず、>>141って付け忘れた(笑)

で、重要なのだが
-l は iptable では使えないかもしれない。
というわけで
--log-prefix Check the range of an IPAddr.
みたいにしとけば、メッセージ付きでsyslogに残るらしい

詳しくは下記URLをっと。
http://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html#lbAX
014414102/02/01 19:41ID:sjAwGCQI
>>142
わざわざありがとうございます。…実は、
ttp://www.a-tone.com/taky/os/linux/iptables.html
を見つけて、ここのスクリプトとdynfw(developerworks)
を使って処置し、様子を見ているところです。

whoisの使い方が今一わからないので、ここはもちっと
調べてみるつもりですが、当初の目的は達成できたかな、
と思ってます。
0145iptable使ったことない馬鹿厨房02/02/01 19:58ID:DP/uyWNH
>>109
ident(113)へのをDROP(DENY)にすると異常に接続までに時間がかかることが有る
IRC鯖からのみREJECT or ACCEPTに変更するとスムーズになるかもしれない。

まぁ、上の投稿のように「嘘」とか「間違い」の可能性は大だけど・・・
0146/usr/sbin/sage02/02/02 01:23ID:5AIXSyU3
そうかここで質問に答えてもらうにはこういう書き方をすればいいのか勉強になったとても勉強に感謝しています
0147login:Penguin02/02/10 11:46ID:+SdcoApJ
iptableじゃなくて、ipchainsだけど便乗質問。
telnetやircの接続を速くするためにipchainsでauthやsocksをREJECTする設定にしたのですが、DENYにするのと変わりません。
ACCEPTにすると速いんだけど、何が原因なんだろう。
もちろんauthやsocksポートには何も待機していません。ので、REJECTとどうちがうんだろう。

0148login:Penguin02/02/10 11:57ID:9HqpzYwu
>>147

-j REJECT --reject-with tcp-reset
-j REJECT --reject-with icmp-port-unreachable

0149login:Penguin02/02/10 12:15ID:+SdcoApJ
>>148
--reject-withはipchainsには無いのでした(;_;
015014802/02/10 12:23ID:9HqpzYwu
ごめん iptablesじゃなくてipchains... だったのね．
0151login:Penguin02/02/10 18:15ID:l9WkUBSt
iptables か ipchains で arp を無視するってできないの？
ICMP は無視できるから arp はどうかなって思って。
0152login:Penguin02/02/10 18:35ID:aNFiZsxi
明日の「教えてクン」を目指す、若き戦士達に以下の文章を捧げる。
日々精進し、パソコンヲタクどもの親切を蹂躙してやれ。

１．努力を放棄すること
　　いやしくも「教えてクン」たるもの、努力をしてはならない。
　過去ログを読んだり、検索してはいけない。
　「英語は苦手なので、分かりません。」は、高く評価できる。
　辞書片手にマニュアルやReadMeを読むなど、決してしてはならない。
　他力本願と言われようと、自分で調べたり試行錯誤したりせず、
　他人の努力の結果を搾取するのが、正しい「教えてクン」である。
　また、「もう何が悪いのかサッパリ分かりません。」と言って
　ふてくされるのも有効である。「サッパリ」という単語が
　「やる気の無さ」を効果的に表現している。
　「原因を特定するには、何をすべきでしょうか？」と訊いてしまうと
　自己の積極性が現れてしまうので、「教えてクン」失格である。
0153login:Penguin02/02/10 18:35ID:aNFiZsxi
２．情報を開示しないこと
　　使用ＯＳや、機器構成などの必須の情報を知らせてはならない。
　マザーボード名やＢＩＯＳのバージョンも同様だ。
　具体的なアプリ名やバージョンも隠蔽すべきだ。
　「ＤＶＤ再生ソフト」のように曖昧に表記しておけばよい。
　反対に「前から欲しいと思っていた○○」とか「安売りされていた
　○○」　等の「どうでもいい情報」は、どんどん書いてやれ。
　　トラブルの場合は、状況を正確に記述してはならない。
　「なんだかうまく動きません。」とか「エラーが出ます。」等と
　具体的なことは何も書かないことが重要である。
　また、自分の試してみた事も具体的に書いてはいけない。
　考えられる組合せのマトリックスを作成し、状況を整理するなど
　もってのほかである。最悪の場合、それだけで問題が解決してしまう
　こともあるのだ。
　「いろいろやってみたけど、動きません。」が理想的だ。
0154login:Penguin02/02/10 18:35ID:aNFiZsxi
３．答える人間のことを考えないこと
「教えてクン」は、孤高の戦士である。相手のことを考えるようでは
　教えてクン失格というものだ。
　以下のような行動が、望ましい。
　　初心者であることを高らかに宣言し、初心者向けの丁寧で
　分かりやすい説明を強要する。専門用語の使用を禁じておくと
　さらに効果的である。簡潔な説明を禁じられたヲタクどもは、
　同じ内容を説明するのに、何倍もの労力を強いられる。
　自分は努力せず、相手には多大な努力をさせることこそが
　「教えてクン」の真骨頂である。
　　マルチポストも有効である。そのＢＢＳを信用していないことを
　明確に示せる。「どうせ、お前らじゃ分からんだろう。」という
　意志表示として高く評価できる。もちろんマルチポストの非礼を
　あらかじめ詫びてはならない。それでは、単なる「急いでいる人」
　になってしまう。それは、教えてクンではない。
　　質問のタイトルは、「教えてください。」で良い。
　タイトルを読んだだけでは「何に関する質問」か全く分からない。
　そういう努力は、答える人間にさせれば良いのだ。
　とにかく、答える人間が答えやすいように気を使って質問しては
　ならない。傲慢で不遜な態度が必須である。
　「聞きたいことがあります。」など、プロの仕事であろう。

最後に、言うまでも無いことだとは思うが、答えてくれた人達に
お礼の言葉を返すなど言語道断である。
せっかく「教えてクン」を貫いてきたのに、最後にお礼を言っている
ようでは、臥竜点睛を欠いていると言わざるを得ない。
質問だけしておいて、後はシカトが基本である。
上級テクニックとして、「そんなことはもう試しました。」とか、
「そこまで初心者じゃありません。」などと言って、回答者の
神経を逆なでしておけば完璧である。

以上のことを踏まえて質問すれば、君も立派な「教えてクン」である。
ビバ！教えてクン！　教えてクンに栄光あれ！！
015515102/02/10 18:51ID:l9WkUBSt
>>152-154
俺のこと？
0156棄教者 ◆witdLTi2 02/02/10 22:31ID:j1lOk64t
>>152-154
では, ぼくはあなたの価値判断に照らしてだめな人間になろうと思います.
0157login:Penguin02/02/11 01:48ID:XQAN99IG
>>147
ipchains すてれば良いじゃん。

iptables の方が、何をやるにも簡単だよ。
0158login:Penguin02/02/17 16:37ID:UTkS9MnU
今月のUNIX USER買ったら、iptables 動いたー
嬉しい・・
0159159?02/03/04 16:49ID:kx52FFMm
はじめまして。まずは下のスクリプトを見てください。

# /bin/sh


IPTABLES="/sbin/iptables"


# Initialize
$IPTABLES -F


# Policy
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP


# Input
$IPTABLES -A INPUT -p tcp --sport 80 --dport 1024: -j ACCEPT
$IPTABLES -A INPUT -p udp --sport 53 --dport 1024: -j ACCEPT

$IPTABLES -A INPUT -p tcp --dport 80 --sport 1024: -j ACCEPT

$IPTABLES -A INPUT -p tcp --sport 110 --dport 1024: -j ACCEPT
$IPTABLES -A INPUT -p tcp --sport 25 --dport 1024: -j ACCEPT

$IPTABLES -A INPUT -p tcp --dport 6000 -j DROP
$IPTABLES -A INPUT -p tcp --dport 9010 -j DROP


# Output
$IPTABLES -A OUTPUT -p tcp --dport 80 --sport 1024: -j ACCEPT
$IPTABLES -A OUTPUT -p udp --dport 53 --sport 1024: -j ACCEPT

$IPTABLES -A OUTPUT -p tcp --sport 80 --dport 1024: -j ACCEPT

$IPTABLES -A OUTPUT -p tcp --dport 110 --sport 1024: -j ACCEPT
$IPTABLES -A OUTPUT -p tcp --dport 25 --sport 1024: -j ACCEPT


# Forward

これだと1024以上のポートがフィルタリングされないんですよね？。
でも、クライアント用に使うにはこうしないといけないんです。
だから、２ｃｈのみなさんにクライアントに使うポート以外を
フィルタリングする方法を聞きに来ました。
よろしくおねがいします。
（Webサーバー兼用です。）
0160login:Penguin02/03/04 18:25ID:tqDAEMfs
省略されてしまうﾚｽにマトモに答える気にはなかなかならないが、
とりあえずlocalhostに対してMASQUERADEしてみては？
0161login:Penguin02/03/04 18:42ID:LzqnkBou
>>159
ねえねえ、iptables 使っているなら、ステートフル
ファイアウォールが使えるよ。この機能を使えば、
1024以降を明示的に空けっぱなしにしなくても、
良いんだよ。



016216102/03/04 18:47ID:LzqnkBou
基本はこうだ

iptables -P INPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT --dport www -m state --state NEW -j ACCEPT

016316102/03/04 18:49ID:LzqnkBou

ごめん最後の行間違えました。

iptables -A INPUT -p tcp --dport www -m state --state NEW -j ACCEPT
0164login:Penguin 02/03/04 18:50ID:eqpRMDR5
何気にこのスレの１は好きだｗ
016515902/03/04 20:18ID:kx52FFMm
>>160
すみませんでした。これからは、気をつけるようにします。

>>161-163
ありがとうございます。さっそく試してみます。
0166login:Penguin02/03/04 20:35ID:vBnpQMfX
最近、iptablesのlogをとるようにしました。
たまに自分あてでないのが来るんですけど、
なぜですか？
0167login:Penguin02/03/04 22:17ID:vEEs1eqc
>>166

どんなログ?
016815902/03/06 18:28ID:Y3qblAn4
>>160様
localhostへのマスカレードってどうやってやるんですか？。

>>161-163様
ありがとうございました。
おかげで問題が解決しました。
0169login:Penguin02/03/06 22:14ID:5IiaRQ6B
>>166 routed とか zebra とか うごいてない？
017016602/03/06 23:53ID:OInjMMbB
よく見ると
dhclient: bound to XXX.XXX.XXX.XXX ... と
ifup: bound to XXX.XXX.XXX.XXX...が、ありました。

そこは、以前あたえられたアドレスでした。
そこにいけといってたんでしょうか？
017116602/03/06 23:56ID:OInjMMbB
>>169
こちら側では動いてません。
0172login:Penguin02/03/10 14:06ID:OvV6rlUg
デスクトップ機(192.168.0.3)からサーバ機(192.168.0.4)への接続に失敗する。
sshへの接続はうまくいくのに、プロキシサーバ(8080port)への接続ができない。
iptablesを外すと、プロキシへも接続できるからおかしいのはiptabelsの設定だと
おもけど、これのどこが悪いんでしょうか？

↓サーバ機のiptables用スクリプト
#!/bin/sh
IPTABLES="/sbin/iptables"

# flush tables chians
$IPTABLES -F
$IPTABLES -X

# chain policies
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT

# loopback rules
$IPTABLES -A INPUT -i lo -d 127.0.0.1 -j ACCEPT
$IPTABLES -A OUTPUT -o lo -s 127.0.0.1 -j ACCEPT

# network rules
$IPTABLES -A INPUT -p tcp -s 192.168.0.3 --dport 8080 -i eth0 -j ACCEPT
# ↑こいつが通らない。
$IPTABLES -A INPUT -p udp -i eth0 -j ACCEPT
$IPTABLES -A INPUT -p tcp -s 192.168.0.3 --dport 22 -i eth0 -j ACCEPT
# ↑こっちは通る。
0173 02/03/11 03:49ID:lNNe1lrw
>172
port80から8080へのREDIRECTチェインがない。
squid使ってるなら、ドキュメントに思いっきり書いてあるはずだが...。
0174 02/03/11 03:55ID:lNNe1lrw
あと、INPUTのtcp --sport 80もないか...。
0175login:Penguin02/03/12 14:32ID:E+SuNJC1
>>173-174
ありがとうございます。もう１度squid関連調べに逝って来ます。
0176login:Penguin02/04/20 19:21ID:rohCWPRw
便乗で悪いんですけど、firewall内に自鯖があって、NATで外から読めるようにしつつ
増すカレー度処理する時はどうすればいいんでしょ？
0177login:Penguin02/04/20 19:39ID:oxFqc4ZZ
>>176
まず普通にmasqueradeの設定をする。そこにDNATの設定を追加する。
017817602/04/21 07:40ID:Yr+atmvA
どうもです。
やっぱりなんか調子悪いんで、設定ファイルコピペします。
誰かご指南を。
#!/bin/sh

/sbin/modprobe iptable_nat
echo 1 > /proc/sys/net/ipv4/ip_forward
/sbin/iptables -t filter -F FORWARD
/sbin/iptables -t nat -F PREROUTING
/sbin/iptables -t nat -F POSTROUTING
/sbin/iptables -t filter -P FORWARD DROP
echo "filter reset"
/sbin/iptables -t nat -A POSTROUTING -j MASQUERADE
echo ":masqrade"
/sbin/iptables -t filter -A FORWARD -m state --state ESTABLISHE,RELATED -j ACCEPT
echo ":accept"
/sbin/iptables -t filter -A FORWARD -i eth1 -p icmp -j ACCEPT
/sbin/iptables -t filter -A FORWARD -i eth1 -p udp --dport 53 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -i eth1 -p tcp --dport 80 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -i eth1 -p tcp --dport 23 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -i eth1 -p tcp --dport 110 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -i eth1 -p tcp --dport 25 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -i eth1 -p tcp --dport 21 -j ACCEPT
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.0.2
/sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 21 -j DNAT --to 192.168.0.2
/sbin/insmod ip_nat_ftp
/sbin/insmod ip_conntrack_ftp
0179ﾄﾞ素人02/04/21 12:06ID:/RGp8aww
>>178
重箱の隅をつついて悪いけど、
＞/sbin/iptables -t filter -A FORWARD -m state --state ESTABLISHE,RELATED -j ACCEPT
は、
誤 : ESTABLISHE
正 : ESTABLISHED

では?
0180login:Penguin02/04/21 15:30ID:LZsNjgeb
>178
http://www.atmarkit.co.jp/flinux/rensai/security03/security03a.html
0181login:Penguin02/04/22 03:50ID:WsiHtJm9
/sbin/iptables -t nat -A POSTROUTING -j MASQUERADE
これだとこのマシンから出て行く全てのパケットをマスカレードしちまう。
/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
じゃないと駄目なんじゃないか?
0182login:Penguin02/04/22 22:23ID:UlaPXRyr
ログの放出先ってどうやって指定するの？

iptables -A logging -j LOG --log-level warning -m limit --modprobe=/sbin/modpr
obe

sysylog.conf　に
iptables.* /var/log/iptables.log

じゃぁ駄目？
0183login:Penguin02/04/22 23:22ID:5POPEszb
>>182 駄目。facility は kern で固定。
設定できるのは priority だけなので syslog では細かい設定は無理。
方法はある事はある。ulogd で検索してみれ。
もしくはメッセージの文字列を見て分類できる賢い syslogd を探すかだ。
0184login:Penguin02/04/25 16:53ID:usxeJJr6
>>183
　情報サンクス。
　駄目かぁ。しかしその前に、kernelいじらないと
　ログすら射出していないことに気づいた。
0185login:Penguin02/04/26 22:55ID:14T5vB2N
Xeroxネットワークスキャナから専用クライアントを用いて書類を取り出すときに、
クライアントは不定のポートからスキャナのポート1605にアクセスします。
書類を取り出そうとすると、スキャナはクライアントのポート1605に2つ目の
コネクションを作ろうとします。

iptablesのゲートウェイを通してアクセスすると、最初のコネクションは
FORWARDされますが、2つ目のコネクションはFOWARDされませんので、書類が
取り出せません。これをiptablesの設定で最初のコネクションを作ったホスト
にフォワードすることはできるでしょうか？
0186login:Penguin02/04/26 23:31ID:UqjpWVgK
>>185
ネットワーク環境が判らないので答えようがないぞ。
ネットワークスキャナとクライアントの間はアドレス変換(NAT)されているのかい？
0187login:Penguin02/04/26 23:36ID:GAEFUI6w
ステートフルにやりたいのなら自前で conntrack モジュールを書く。
それが嫌ならスキャナからクライアントのポート 1605 へのパケット
の forward を明示的に許可するルールを書くしかないじゃん。
いまいち何で悩んでるのかわからんな。
018818502/04/27 02:05ID:ElV/5Jg0
レスどうもありがとうございました。ゲートウェイの中はプライベートアドレス
でスキャナはグローバルアドレスですので、中から外への接続はNATされます。
ゲートウェイの中に複数のマシンがあって、スキャナにアクセスするのを
どれかひとつに決めれば、DNATルールでいいんですが、これだと、他のマシン
からスキャナが使えません。スキャナの1605にコネクションがあるときに、
スキャナから1605への接続要求があったときにゲートウェイ内の該当マシン
にFORWARDする、ということは不可能でしょうか？
0189login:Penguin02/04/27 14:04ID:TybU9eRm
結局 >>187 を読めとしか答えようが無い。
0190age02/05/29 15:51ID:XCO36owR
age
0191login:Penguin02/05/31 11:37ID:ufDGLsrG
ガッツ溢れる>>1記念age
0192login:Penguin02/06/03 08:55ID:z8IONuWA
wget で下記のようなエラーメッセージが出るんだけど
...
$ wget ftp://ftp.us.debian.org/debian/README.mirrors.txt
--07:59:52-- ftp://ftp.us.debian.org/debian/README.mirrors.txt
=> `README.mirrors.txt'
ftp.us.debian.org をDNSに問いあわせています... 完了しました。
ftp.us.debian.org[192.25.206.10]:21 に接続しています... 接続しました。
anonymous としてログインしています... ログインしました!
==> SYST ... 完了しました。 ==> PWD ... 完了しました。
==> TYPE I ... 完了しました。 ==> CWD /debian ... 完了しました。
==> PORT ...
無効なポート番号です。
再試行しています。
...
192.168.2.1(DNSサーバ兼NTPサーバ)では、下記のような設定になってて
wget は 192.168.2.6 で実行しています。(192.168.3.2 はWeb サーバ)
直し方教えて。
...
$ sudo iptables-save
# Generated by iptables-save v1.2.6a on Mon Jun 3 08:46:04 2002
*filter
:INPUT DROP [224:16115]
:FORWARD DROP [10:432]
:OUTPUT DROP [339:31838]
-A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 123 -j ACCEPT
-A INPUT -s 192.168.2.6 -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A INPUT -s 192.168.2.6 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A FORWARD -d 192.168.2.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -j ACCEPT
-A FORWARD -d 192.168.3.2 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -s 192.168.3.2 -p tcp -m tcp --sport 80 ! --tcp-flags SYN,RST,ACK SYN -m state --state ESTABLISHED -j ACCEPT
-A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 123 -j ACCEPT
-A OUTPUT -d 192.168.2.6 -o eth1 -p tcp -m tcp --sport 22 ! --tcp-flags SYN,RST,ACK SYN -j ACCEPT
-A OUTPUT -p udp -m udp --sport 1024:65535 --dport 53 -j ACCEPT
-A OUTPUT -d 192.168.2.6 -p icmp -m icmp --icmp-type 0 -j ACCEPT
COMMIT
# Completed on Mon Jun 3 08:46:04 2002
# Generated by iptables-save v1.2.6a on Mon Jun 3 08:46:04 2002
*nat
:PREROUTING ACCEPT [730:50671]
:POSTROUTING ACCEPT [51:3434]
:OUTPUT ACCEPT [467:31733]
-A PREROUTING -d 192.168.1.100 -i eth0 -j DNAT --to-destination 192.168.3.2
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Mon Jun 3 08:46:04 2002
0193login:Penguin02/06/03 12:19ID:AWppMUpu
>>192
wget --passive-ftp ftp://hoge/fuge
で、どーよ？
019419202/06/03 13:20ID:z8IONuWA
DNS/NTPサーバ設定あれこれ直したりしてたけど
>>193
で解消 thx
# Generated by iptables-save v1.2.6a on Mon Jun 3 12:38:22 2002
*filter
:INPUT DROP [446:41510]
:FORWARD DROP [10:432]
:OUTPUT DROP [604:49984]
-A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A INPUT -s 192.168.2.6 -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 192.168.2.6 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -i eth1 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 123 -j ACCEPT
-A INPUT -i eth1 -p udp -m udp --dport 123 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 53 -j ACCEPT
-A FORWARD -d 192.168.2.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 192.168.2.0/255.255.255.0 -j ACCEPT
-A FORWARD -d 192.168.3.2 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -s 192.168.3.2 -p tcp -m tcp --sport 80 ! --tcp-flags SYN,RST,ACK SYN -m state --state ESTABLISHED -j ACCEPT
-A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A OUTPUT -d 192.168.2.6 -o eth1 -p tcp -m tcp --sport 22 ! --tcp-flags SYN,RST,ACK SYN -j ACCEPT
-A OUTPUT -d 192.168.2.6 -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A OUTPUT -o eth1 -p udp -m udp --sport 53 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 123 -j ACCEPT
-A OUTPUT -o eth1 -p udp -m udp --sport 123 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 53 -j ACCEPT
COMMIT
# Completed on Mon Jun 3 12:38:22 2002
# Generated by iptables-save v1.2.6a on Mon Jun 3 12:38:22 2002
*nat
:PREROUTING ACCEPT [1251:92645]
:POSTROUTING ACCEPT [105:6734]
:OUTPUT ACCEPT [960:65072]
-A PREROUTING -d 192.168.1.100 -i eth0 -j DNAT --to-destination 192.168.3.2
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Mon Jun 3 12:38:22 2002

0195state02/06/03 23:10ID:AxNSLimH
はじめまして
iptables には ステートフル　インスペクション　という機能が追加されたのですが、
>>161-163 で使い方が紹介されているのですが、
具体的には NEW, ESTABLISHED, RELATED, INVALID のパケットとはどんな
パケットなのでしょうか？どのようにして判別し、どのようにして処理しているのでしょうか？

3-way　ハンドシェイクのように簡単な仕組みではないと思うのですが、いまいち理解できません。
詳しい方、いましたらご教授願います。詳しく説明しているwebなども紹介していただけたらうれしいっす。
（nfs関連の動き回るポートをうまく処理できたらいいな～なんて考えているのですが、
　とりあえずstateでそれができようと、できまいと、stateの仕組みを知りたいのです。）
よろしくおながいします　ヽ( *´ー`*)丿
019634002/06/05 19:48ID:4hxQLmqM
NEW=前戯
ESTABLISHED=真っ最中
RELATED=あれ？抜けちゃった
INVALID=いきなり

こんな感じ
0197_02/06/07 12:15ID:+8qkjCSy
iptablesdeでftpのpasvモード使いたいんだが

/sbin/insmod ip_nat_ftp
/sbin/insmod ip_conntrack_ftp

これらのモジュールはインストール時に入るんですか？
それともどこかからもらってくるんですか
入っている場合何処に入れられるんでしょう？
019819702/06/07 12:18ID:+8qkjCSy
追加
ですとリはターボ７です。
0199login:Penguin02/06/07 12:27ID:Konfj6z0
>>198
ターボの場合どうだったか確信が無いが、/etc/rc.d/rc.local か
/etc/rc.d/rc.modules に
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp
と書いてみたら?
0200login:Penguin02/06/07 14:44ID:dekGeI0n
１です。
自分のたてたスレッドが繁盛しているのを見るのはいいね。

でもしばらくたって自分の書き込みを読むとかなりＤＱＮでした。
ちょっとやばい。

でもまあ、まったりしたＬｉｎｕｘスレに電波乱入してすこしは
活気でたというものだから、結果的にはよかったかも。
0201login:Penguin 02/06/07 14:47ID:Un+oszzk
>>200
もっと楽しいこと書けよ、まんこ！
0202login:Penguin 02/06/26 10:31ID:DKIPFaEf
えと
16さんのスクリプトなんですが
$IPTABLES -A FORWARD -d 192.168.1.0/24 -j ACCEPT
$IPTABLES -A FORWARD -s 192.168.1.0/24 -j ACCEPT
これは何処からのFORWARDの許可なのでしょうか？
nic2枚さしてeth0にppp0もたせてeth1に192.168.1.0/24のLANがあるとき
$IPTABLES -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24 -j MASQUERADE
とeth1宛のマスカレードがあれば上の2つのFORWARDは特に必要ないんでしょうか？
eth0側のネットワークには何もないです。
0203login:Penguin02/06/26 13:32ID:uqb/DVYr
>>202
インタフェースを指定しなければ、全方向の forwarding が許可される。
オプション -i で入口、-o で出口のインタフェースを指定する。
POSTROUTING はその名の通りルーティングした後の処理なので、
FORWARD で許可されなければパケットはそこまでたどりつかない。
0204login:Penguin02/06/26 17:24ID:CssWagDV
ところで　>>1は？　どこへいった？
0205login:Penguin02/06/28 02:05ID:l6vDOI3u
FWとは別にLAN内にwebサーバーをおいたのですが、外からアクセスできません。
iptablesをこの様に記述したのですが
*nat
:PREROUTING ACCEPT [2451:150607]
:POSTROUTING ACCEPT [11:755]
:OUTPUT ACCEPT [11:755]
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.11
-A POSTROUTING -s 192.168.1.0/255.255.255.0 -o ppp0 -j MASQUERADE
COMMIT
# Completed on Fri Jun 28 01:57:26 2002
# Generated by iptables-save v1.2.5 on Fri Jun 28 01:57:26 2002
*filter
:INPUT DROP [56:2340]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [1303:157561]
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.1.0/255.255.255.0 -i eth1 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.1.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 192.168.1.0/255.255.255.0 -j ACCEPT
COMMIT
DNATの使い方がおかしいでしょうか？教えてください。
0206login:Penguin02/06/28 02:37ID:MLKUrxTN
>>205
見たところあってそうなんだけどな。どこがおかしいのかわかんねーや。
ところで FORWARD のルールがそれじゃスカスカだ。
もうちっと固くしたほうがよかねぇか?
0207login:Penguin02/06/28 03:00ID:PZu/eU54
>>205
--to-destination 192.168.1.11 → --to-destination 192.168.1.11:80 かなぁ．
うちもうまくいかなくて結局delegateで逃げたけど．
020820502/06/28 03:24ID:l6vDOI3u
>ところで FORWARD のルールがそれじゃスカスカだ。
すごい気になるんですけど、どんなパケットが通るか想像できません。
たとえばどんなのが通るのかおせーて。
>192.168.1.11:80
だめだった。
0209login:Penguin02/06/28 03:46ID:tXunBKNC
>>205=208
-A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT
を追加するとどう？
根拠は漏れの DNAT とは関係無いルールと
http://oggy.hn.org/conts/linux.html
から辿った
http://www.h4.dion.ne.jp/~juupp/pcunix/usage/linux/iptables-filter.html
だ。

FORWARD がスカスカなのは、
http://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO-6.html
とかの図を見れば解る筈。
0210login:Penguin02/06/28 21:38ID:KNsT/qza
>>205

> -A PREROUTING -i ppp0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.11
が
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.11:80

それから
:FORWARD に
-A FORWARD -d 192.168.1.11 -p tcp -m tcp --dport 80 -j ACCEPT

これでどーよ
0211login:Penguin02/06/29 22:52ID:lGZLhgIu
ここはLinux板で数少ない役に立つスレだな。
0212login:Penguin02/06/29 23:41ID:4nTRLABN
>>210
どっちも違うな。つじつまが合わん。
バグでなければ iptables とは別の所に原因があるのだろう。
0213login:Penguin02/06/30 23:32ID:rlUFjQVm
http://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
ここを丸暗記しなさい。
0214login:Penguin02/07/01 00:41ID:gHRp2b10
>>213
丸暗記じゃ応用が効かないでしょ。
0215どうしよう02/07/01 01:33ID:3KHQAxcX
暗記じゃなくて理解するのです。
0216わら02/07/01 11:29ID:+IzpsJsE
１です。

去年の９月にたてたこのスレッド見たら笑ってしまった。

俺ってすごいＤＱＮだなと思った。
0217 02/07/03 00:57ID:F+PSzLiB
You are DQN.
0218login:Penguin02/07/03 01:50ID:rn2Oo3wE
>>217
×are
○is
マジレスするなよ（藁
0219初心里奈坊02/07/03 19:17ID:xekDzak2
初心者里奈坊なんですが、どなたかお教えいただけないでしょうか？
ええと、NIC2枚刺しの赤帽さん7.3でFireWallを立てようとしています。
eth0側にローカルアドレスを、eth1側をグローバルと考えています。
１６さんのスクリプトとある雑誌のipchainsのスクリプトを参考にして、
下記のようなスクリプトを作ってみました。

#/bin/sh

IPT="/sbin/iptables"

$IPT -t filter -F
$IPT -t nat -F

# default policy
$IPT -P INPUT DROP
$IPT -P FORWARD ACCEPT
$IPT -P OUTPUT DROP

#Loopback Interface
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

# Step 1
$IPT -A INPUT -s 192.168.5.0/24 -d ! 192.168.5.1/32 -i eth0 -j ACCEPT
$IPT -A INPUT -p icmp -s 192.168.5.0/24 -d 192.168.5.1/32 -i eth0 -j ACCEPT

# Step 2

# Step 3
$IPT -A OUTPUT -p udp --dport 1024 -s AAA.BBB.CCC.DDD/32 -o eth1 -j ACCEPT
$IPT -A OUTPUT -p icmp -s AAA.BBB.CCC.DDD/32 -o eth1 -j ACCEPT

# Step 4
$IPT -A INPUT -p tcp ! --syn --dport 1024 -d AAA.BBB.CCC.DDD/32 -i eth1 -j ACCEPT
$IPT -A INPUT -p udp --dport 1024 -d AAA.BBB.CCC.DDD/32 -i eth1 -j ACCEPT
$IPT -A INPUT -p icmp -d AAA.BBB.CCC.DDD/32 -i eth1 -j ACCEPT
0220初心里奈坊02/07/03 19:18ID:xekDzak2
# Step 5

# Step 6
$IPT -A OUTPUT -s ! 192.168.5.1/32 -d 192.168.5.0/24 -o eth0 -j ACCEPT
$IPT -A OUTPUT -p icmp -s 192.168.5.1/32 -d 192.168.5.0/24 -o eth0 -j ACCEPT

$IPT -A INPUT -p ! icmp -d AAA.BBB.CCC.DDD/32 -i ! eth1 -j DROP

$IPT -A OUTPUT -d 10.0.0.0/8 -o eth1 -j DROP
$IPT -A OUTPUT -d 172.16.0.0/12 -o eth1 -j DROP
$IPT -A OUTPUT -d 192.168.0.0/16 -o eth1 -j DROP

$IPT -A INPUT -d 10.0.0.0/8 -i eth1 -j DROP
$IPT -A INPUT -d 172.16.0.0/12 -i eth1 -j DROP
$IPT -A INPUT -d 192.168.0.0/16 -i eth1 -j DROP

$IPT -A INPUT -s 127.0.0.0/8 -i ! lo -j DROP
$IPT -A INPUT -s 192.168.5.0/24 -i ! eth0 -j DROP
$IPT -A INPUT -d 192.168.5.1/32 -i ! eth0 -j DROP

$IPT -A FORWARD -d 192.168.5.0/24 -i eth0 -j ACCEPT
$IPT -A FORWARD -s 192.168.5.0/24 -i eth0 -j ACCEPT
$IPT -t nat -A POSTROUTING -o eth1 -s 192.168.5.0/24 -j MASQUERADE

echo 1 > /proc/sys/net/ipv4/ip_forward
0221初心里奈坊02/07/03 19:19ID:xekDzak2
で、$IPT -P FORWARD を DROPにするとうまく動作しないのですが、
どこがいけないのでしょうか？

どなたかご教授お願いいたします。
0222login:Penguin02/07/04 09:33ID:eEQBB8kC
質問ばかりで申し訳ないのですが、
拠点-本社間で　拠点からのみ本社のLAN内WWW鯖を閲覧できるようにしたいのです。

拠点はグローバル固定IPです。
通常のiptables文に何を継ぎ足せばよいのでしょうか？
ちなみにRedHat7.2を使用しております。　どなたかご教授ください。
0223login:Penguin02/07/04 21:00ID:VG4GbJfc
>>222
ネットワーク図と今の設定がないと誰にもアドバイスできんぞ。
0224login:Penguin02/07/07 22:41ID:sDkdyr13
RedHat 7.3 をルータにしてマスカレードしてるのですが
時々ローカルマシンからWEBが見れません
見れたり、見れなかったりという状態です
ipchains に戻しても やはり同様の症状がでます。
ルータをRedHat 6.2 や Debian potato に切替えると正常に作動するので
回線は問題ないようです。
ipchains は rmmod で停止できるのですが iptableはどうやって停止するのでしょう?
組みこんだモジュールをrmmodして pppや eth をダウンしてもrmmod
できないので、ipchains に切替えるのに再起動しています
0225login:Penguin02/07/07 23:52ID:kuDvTQSU
うちも切れるよ RedHat7.3でマスカレードが
ポリシーを全部 ACCEPT にしても切れる
pppd や pppoe に問題があるのかも
rh7.3でadsl-setup してもpppoe.confができないから
7.1 で作ったやつを持つて来たけど
0226login:Penguin02/07/08 00:10ID:XwJX3NzB
>>224
まずマスカレードが原因か PPP が原因か切り分けないと。
でも ipchains でもダメな所を見ると pppoe が原因っぽいね。
>>225
7.1 は知らんが 7.2 以降だと pppoe.conf ができないのが正しいよ。
/etc/sysconfig/network-scripts/ifcfg-ppp0 で全部やる。
pppoe.conf を持って来たせいでおかしくなった可能性は?
0227login:Penguin02/07/08 02:37ID:awNNfZrK
>>7.2 以降だと pppoe.conf ができないのが正しいよ。
>>ifcfg-ppp0 で全部やる。
>>pppoe.conf を持って来たせいでおかしくなった可能性は?
わー、ズバリそれっぽい
pppoe.conf を削除して adsl-setup やり直したら今のとこ快調
レスポンスも速くなった気が
今までrp-pppoe使ってたからてっきり要るものだとばかり。
ありがとうございました!






0228login:Penguin02/07/08 15:04ID:eFKiuOMg
>>225
俺もpppoeを使っているが、squidかましているので
webは特に問題なし。
022922402/07/08 19:36ID:awNNfZrK
私のところは rp-pppoe を導入したのがエラーの原因でした。
pppoe.conf があると
/sbin/adsl-start(pppoe) /usr/sbin/adsl-start(rp-pppoe)共に
/etc/pppoe.conf を参照してしまうようです
カーネル2.2で安定していた rp-pppoe 3.3 をコンパイルして入れたのがマズかったようです。
rp-pppoeを削除すると安定して動作しています
/sbin/adsl-status では相変わらず /etc/pppoe.conf が無いと文句を言lっていますが
青いペンギンさま、ありがとうございました
iptables とは話題がずれてしまいました。

0230　02/07/08 22:24ID:vi+kfEIM
mirrorでlocalにmirrorしたいんですけど、
20でDROPします。
wgetする時は、--passive-ftpでいいんですけど、
mirrorの場合、どうすればいいですか？
0231login:Penguin02/07/10 20:55ID:qf6t6/3T
# Generated by iptables-save v1.2.6a on Wed Jul 10 00:34:34 2002
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [946:110573]
:block - [0:0]
-A INPUT -j block
-A FORWARD -j block
-A block -m state --state RELATED,ESTABLISHED -j ACCEPT
-A block -i ! eth0 -m state --state NEW -j ACCEPT
-A block -j DROP
COMMIT
# Completed on Wed Jul 10 00:34:34 2002

一般人ですがこんなもんで十分ですか？
0232デフォルトの名無しさん02/07/17 19:33ID:BEY/5JhK
ip6tablesは使ってますか？
増カレー度の必要性はないから
フィルタリングにしか使って
ないのでしょうか？

今いちipv6におけるiptablesの
使い道がよく分かりません。
0233名無しさん＠Ｅｍａｃｓ02/07/18 00:41ID:SLqjV1Ug
IPv6って、基本的に全部グローバルサーバ
なんで、自分の身は自分で守ろうってこと
だろ。

それにIPsecがあるんだから、FireWallは
役にたたないので、自分で守るってこと
だろ
0234login:Penguin02/07/31 22:43ID:sepoqRm7
RedHat 7.3 (Xなし、iptables でフィルタ)で samba 動かしてます。普段は ssh でログイン。

iptables を稼動しているときに、samba を再起動すると Windows から見えなくなります。
iptables を止めて、samba を再起動すると、もちろん、再び見えるようになります。
そして、iptables を稼動させても、Windows から見えます。
（何をやっても、ssh の接続は問題ないです。）

nmap localhost すると必ず139は空いています。

なぜかわかりますか？

# デフォルトのチェインの初期化
$IPTABLES -F INPUT
$IPTABLES -F FORWARD
$IPTABLES -F OUTPUT

# 下記ルールにマッチしないパケット全部を拒否
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT DROP

# ループバックアドレスに関してはすべて許可
$IPTABLES -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
$IPTABLES -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# LAN 内での SSH 接続を許可
$IPTABLES -A INPUT -p tcp -s $LOCAL_NET -d $THIS_HOST --dport 22 -j ACCEPT
$IPTABLES -A OUTPUT -p tcp -s $THIS_HOST -d $LOCAL_NET --sport 22 -j ACCEPT
# LAN 内での SAMBA 接続を許可
$IPTABLES -A INPUT -p tcp -s $LOCAL_NET -d $THIS_HOST --dport 137:139 -j ACCEPT
$IPTABLES -A OUTPUT -p tcp -s $THIS_HOST -d $LOCAL_NET --sport 137:139 -j ACCEPT

よろしくお願いします。
0235login:Penguin02/08/01 12:34ID:88yj7yTC
>>234
それは漏れもかなり悩まされたよ！
$IPTABLES -A INPUT -ptcp -s $LOCAL_NET -d $LOCAL_NET --dport 137:139 -j ACCEPT
でいけると思う。理由はわからん。
0236名無しさん＠Ｅｍａｃｓ02/08/01 18:02ID:5wqD4t0I
>>234
http://www.samba.gr.jp/project/translation/2.2.2/textdocs/BROWSING.txt
あたりを読んで，NetBIOSについて理解するのが先でなかろうか？

$IPTABLES -A INPUT -p udp -s $LOCAL_NET --dport 137:139 -j ACCEPT
とすれば多分いけるだろうけど。
0237login:Penguin02/08/01 20:04ID:vHb59nH3
>>235-236 ありがとうございます。
Linux起動時点では大丈夫なんですけど、iptables を再起動したら、やっぱり見えなくなるんです。

まずは、NetBIOS を理解します。

あと、下の設定だと、WWWが見られないんですよね。間違いありますか？
# 外部ネットワークとの HTTP 接続を許可
${IPTABLES} -A INPUT -p tcp -s $ANY -d $THIS_HOST --dport 80 -j ACCEPT
${IPTABLES} -A OUTPUT -p tcp -s $THIS_HOST -d $ANY --sport 80 -j ACCEPT
0238login:Penguin02/08/02 11:51ID:+Y3htquK
>>237
Linuxマシンから外のWWWへアクセスするなら
${IPTABLES} -A OUTPUT -p tcp -s $THIS_HOST -d $ANY --dport 80 -j ACCEPT
のみで，
内部ネットワークからもアクセス許可するなら
${IPTABLES} -A FORWARD -o $ifwan -i $iflan -p tcp -s $int_net --dport 80 -j ACCEPT
では？

>${IPTABLES} -A INPUT -p tcp -s $ANY -d $THIS_HOST --dport 80 -j ACCEPT
だと自ホストWWWへのアクセス許可になると思うけど．
0239login:Penguin02/08/02 16:43ID:tT5xmltT
>>238
>Linuxマシンから外のWWWへアクセスするなら
>${IPTABLES} -A OUTPUT -p tcp -s $THIS_HOST -d $ANY --dport 80 -j ACCEPT
>のみで，

すんません。あかんでした。。。。
024023802/08/03 03:34ID:KJbpRFkM
>>239
ip_conntrackモジュールはロードしてる？
024123802/08/03 04:13ID:KJbpRFkM
>>234 のOUTPUTルールや >>237 のINPUTルールは
戻りパケットのことを考えて設定したんだと思うけど，ip_conntrackがロードされてれば
接続追跡をして戻りパケットも考慮してくれる．
これがなかったら1024番以降のポートも開けなきゃいけない．
FTPを使うならip_conntrack_ftpも必要．

もしモジュールがなかったら
Networking Options→Netfilter Configurationで
Connection tracking (required for masq/NAT)
FTP protocol support
を有効にしてmake
0242login:Penguin02/08/03 12:13ID:iu8kE8Ud
ip_conntrackとip_conntrack_ftpをmodprobeしてロードしてるのですが、
未だにpassiveでしかftpできないんです。
何か設定が必要でしょうか？
0243login:Penguin02/08/03 12:24ID:YvQoPcS4
>>242
man iptables して state モジュールを調べろ。
0244login:Penguin02/08/05 22:14ID:dkr4kunF
>>240
ip_conntrackモジュールをロードしましたが、、、駄目でした。。。

0245login:Penguin02/08/06 00:11ID:BvFZ+SuN
samba のブラウジングについては、
OUTPUT チェインをとって、INPUT チェインだけでフィルタリングすることで、

WWWブラウジングについては
${IPTABLES} -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
${IPTABLES} -A INPUT -i eth0 -j ACCEPT
これを追加することで、可能となりましたが・・・・

いいのか。。汗
0246login:Penguin02/08/06 06:55ID:qS7JWqe7
111番を塞ぐには
/etc/sysconfig/iptablesに
-A INPUT -p tcp -m tcp --dport 111 -j REJECT --reject-with icmp-port-unreachable
記述して、iptables再起動で大丈夫ですか？
0247login:Penguin02/08/06 10:16ID:ndQ8zSfZ
世の中には、webminってものがあるね。（webminで検索すらみつかんだろう）
つかってみようや。
0248通りがかり02/08/11 22:32ID:xCTEEf2D
>>247

Webmiｎは使ってるけど
ipchain,iptableのモジュールができてたとは知らなかった
つーか入れてみたけど
面白いほど簡単にプチプチ設定できる
つーかこれってある意味危険かもね
設定したらipchainの設定を改めて読むといいかもしれない･･･
0249login:Penguin02/08/23 09:10ID:21gyhjsj
LAN内の二台目のWebサーバを公開したいのですが
ポートフォワーディングで
ルータとサーバの二つで違うポートを設定する場合
どうすればいいのでしょうか？

httpdのポートを80のままで設定したいです。



クライアント->ルータ:10000->内部サーバ:80
クライアント<-ルータ:10000<-内部サーバ:80

この二つの設定が必要な気がするのですが

どう設定すればよいのでしょうか？
0250login:Penguin02/08/23 16:18ID:7hdXdLwi
>>249 iptables でやるの？できるよ．もっと具体的な構成描いて．
0251login:Penguin02/08/23 17:21ID:sgDuPlNi
>>249
iptables -t nat -A PREROUTING -i $IWAN -p tcp -m tcp --dport 10000
-d (ルータのIPアドレス） -j DNAT --to (内部サーバのIPアドレス):80
iptables -A FORWARD -d (内部サーバのIPアドレス) -p tcp -m tcp --dport 80 -j ACCEPT
025224902/08/23 20:16ID:21gyhjsj
>>250
どんな情報が必要なのですか?

>>251
やってみましたがうまくいきませんでした。
0253login:Penguin02/08/24 13:24ID:SGQFuuZp
Bフレッツ来たのでPPPoE使ってるんだけど(物理的にはeth1)、この場合、
光回線から来るパケットを制御するのは -i eth1 なの？ -i ppp0 ？

あと、両者の違いってあるのかなぁ…。
0254login:Penguin02/08/24 14:49ID:6iokQhcn
>>253
ppp0
0255login:Penguin02/08/24 21:02ID:VjbNnmX6
>>253
> あと、両者の違いってあるのかなぁ…。

実際に試してみたら、どうちがうか見えませんか？
ｱﾌｫが無理して使う必要ないと思いますが。
0256login:Penguin02/09/09 13:21ID:wYAUROhN
>>255
君は、喋らなくていいや。
0257login:Penguin02/09/09 14:30ID:n91if09/
>>253
ISDN の TA の場合、/dev/ttyS? の上で ppp0 が動く。
PPPoE の場合 eth0 の上で ppp0 が動く。そういう関係。
0258login:Penguin02/09/09 14:33ID:n91if09/
ていうか、大昔の質問じゃねぇか!!! 釣られたのか...
0259login:Penguin02/09/10 00:54ID:xQ11VH4g
iptablesの自動設定ツールはどうなんよ？
なんたらdogとかいうヤツ。
使ってみたヒトいる？
0260login:Penguin02/09/10 01:08ID:wYS5Cwmk
そんなん知らんぞ。shorewall なら知っとるが。
0261login:Penguin02/09/10 01:15ID:wYS5Cwmk
freshmeat で検索したら iptables のフロントエンドってすごくたくさんある。
Guarddog も出て来た。KDE 用なんだな。
0262login:Penguin02/09/22 09:29ID:mxN4BuDD
保守age
0263login:Penguin02/09/23 04:05ID:O2ZtdpqO
ipchainsでDMZっていう昨日はつかえるんですか？
0264login:Penguin02/09/23 04:18ID:i1naLSXm
>>263
それは ipchains や iptables の機能ではない。
しかし ipchains を使って DMZ を構成している人は居る。
余計に解らなくなったか? DMZ が何なのか理解してからまた来い。
0265login:Penguin02/09/23 17:41ID:EoJ1VfmY
南北朝鮮の間にあるヤツ
0266login:Penguin02/09/24 00:04ID:95UaHihC
>>264
なんのゲームの設定でもよいのでDMZを構成しているipchainsの内容を
UPしてくれませんでしょうか？

自分はAOK（エイジオブエンパイア2）のホストを立てて、友達数人でやろうと
してるのですが、いっこうに遊べないものです（汗
0267login:Penguin02/09/24 00:11ID:95UaHihC
>>265
DMZ=非武装地帯ってのはわかりますた！
0268login:Penguin02/09/24 00:17ID:wPxb6723
AOMにしようよ。
0269login:Penguin02/09/24 00:22ID:daUwfJ1X
エイジオブエンパイア 2 のサーバを建てたいのか?
それならまず Microsoft がどう言ってるのか調べないとな。
たいていは、このポートを開けろってちゃんと公開されてるよ。
自分が今どういう設定にしているかも晒せよ。
でないとコメントしようがない。
それから DMZ なんて言葉はとりあえず忘れろ。
ゲームに関係ない。いや、ゲームのジャンルによっては関係あるか(w
0270login:Penguin 02/09/25 13:11ID:TlezUfgf
RORのほうがおもしろいYO！
0271login:Penguin02/09/26 01:16ID:kOC+L6i4
>>268
AOMって３Dのやつですよね！？自分のパソコンは３DバリバリOKなんですが、
友達がノートパソコン集団なので無理なんです（涙
>>269
とりあえずAOKに必要なポート番号調べてきました
TCP/UDP：2300-2400
TCP/UDP：47624
TCP/UDP：28800-28830
みたいです。
自分の環境はちょっといまからしらべてまとめてあとで書きこみますね。
>>270
RORってのはAOKの一つ前でしたっけ？？


0272login:Penguin02/09/26 01:21ID:kOC+L6i4
AOKのホストにしたいPCのIPアドレスが 192.168.0.33
という設定で、ゲートウェイを 192.168.0.2　にしてます。
それで、ルータにしてるLinuxマシンの内向きNICのIPアドレスが
192.168.0.2で、外向きNICが192.168.0.1です。
んで、ipchainsの内容が
0273login:Penguin02/09/26 01:26ID:kOC+L6i4
input ACCEPT
forward ACCEPT
-A input -i eth0 -s 192.168.0.0/24 -j ACCEPT
-A input -p tcp -y -J ACCEPT -l
-A input -p udp -j ACCEPT -l
-A forward -s 192.168.0.0/255.255.255.0 -j MASQ
と設定しています。　ほかに足りない情報があったら調べますので
言ってください。
0274login:Penguin02/09/26 01:35ID:Y4pvorj5
-yオプションって何？
0275login:Penguin02/09/26 01:49ID:n3FPqE6z
--syn の間違いかと
0276login:Penguin02/09/26 01:55ID:er0QZLuy
>>273
ipchains じゃねぇか。スレが違うぞ。
0277　02/09/26 11:35ID:PTjYLwgE
1は御桜軟骨
0278卵02/09/27 18:03ID:iss81Dm4
はじめて書きます。いそいでます(泣)
例えば、iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
と入力し、iptables-saveで確認の後iptables saveで設定の保存を試みたのですが
うまくいきません。どなたか教えて下さい。宜しくお願いします。
0279login:Penguin02/09/27 18:41ID:Hrezziur
(´-`).｡ｏＯ(急ぐならなぜルータを買いに走らないのだろう…)
0280login:Penguin02/09/27 19:15ID:WTb24tRW
>>278
おう、急いでいるところを待たせて悪かったな。
その件は・・・おっと電話だ。ちょっと待ってくれ。
0281login:Penguin02/09/27 19:56ID:5gF2qiSb
>>273
ipchainsだぁ．．．
028227302/09/28 17:50ID:X6w6epjE
ipchainsじゃ無理っすか？（涙
0283login:Penguin02/09/28 17:55ID:GwqxHfPv
ipchainsはこちら。

あなたのipchainsを見せてください。
http://pc.2ch.net/test/read.cgi/linux/1017819588/
0284よろしくどうぞ02/09/28 23:21ID:PtRM+Wo9
以下のように、LAN外部からのsmbアクセスとsshアクセスを拒否しているのに
http://scan.sygate.com/quickscan.html
ここで、スキャンさせると 22 と 139 が開いてしまいます。

なぜでしょうか？
#########################################################################################
# デフォルトのチェインの初期化
${IPTABLES} -F INPUT
${IPTABLES} -F FORWARD
${IPTABLES} -F OUTPUT

#########################################################################################
# 各チェインのポリシー
${IPTABLES} -P INPUT DROP
${IPTABLES} -P FORWARD DROP
${IPTABLES} -P OUTPUT ACCEPT

# LAN 外からの SAMBA 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT
${IPTABLES} -A INPUT -p udp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT

# LAN 外からの SSH 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 22 -d ${LOCAL_NET} --dport 22 -j REJECT

0285login:Penguin02/09/29 00:04ID:y1eCLsd8
>>284
ルールがそれだけなら開いてはいない、まだ晒してない部分があるだろ。
それにそのルールはまちがってる。
028628402/09/29 00:22ID:KOduZhHX
#########################################################################################
#
#!/bin/sh
# iptable configration script
#
#########################################################################################

LOCAL_NET='192.168.0.0/24'
THIS_HOST='192.168.0.2'
ANY='0.0.0.0/0'
IPTABLES='/sbin/iptables'
IPTABLES_CONFIG='/etc/sysconfig/iptables'

#########################################################################################
# デフォルトのチェインの初期化
${IPTABLES} -F INPUT
${IPTABLES} -F FORWARD
${IPTABLES} -F OUTPUT

#########################################################################################
# 各チェインのポリシー
${IPTABLES} -P INPUT DROP
${IPTABLES} -P FORWARD DROP
${IPTABLES} -P OUTPUT ACCEPT

##########################################################################################
# ループバックデバイス以外で 127.0.0.1 が指定されていたら拒否。（spoofing 防止）
${IPTABLES} -A INPUT -s 127.0.0.1 -i ! lo -j DROP
${IPTABLES} -A INPUT -d 127.0.0.1 -i ! lo -j DROP
028728402/09/29 00:22ID:KOduZhHX

# LAN 外からの SAMBA 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT
${IPTABLES} -A INPUT -p udp -s ! ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j REJECT

# LAN 外からの SSH 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --sport 22 -d ${LOCAL_NET} --dport 22 -j REJECT

# NTP サーバー
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${ANY} --sport 123 -j ACCEPT

# DNS サーバーからの名前解決要求を許可
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${THIS_HOST} --sport 53 -j ACCEPT

# 全ホストからの名前解決要求を許可
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${THIS_HOST} --dport 53 -j ACCEPT
028828402/09/29 00:23ID:KOduZhHX

##########################################################################################

# LAN内外を問わず、echo reply を拒否
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP

# LAN内外を問わず、 echo request を拒否
${IPTABLES} -A INPUT -p icmp --icmp-type 8 -j DROP
${IPTABLES} -A INPUT -p icmp --icmp-type 8 -j DROP

# LAN 内での SSH 接続を許可
${IPTABLES} -A INPUT -p tcp -s ${LOCAL_NET} --sport 22 -d ${THIS_HOST} --dport 22 -j ACCEPT

# LAN 内での HTTP 接続を許可
${IPTABLES} -A INPUT -p tcp -s ${LOCAL_NET} --sport 80 -d ${THIS_HOST} --dport 80 -j ACCEPT

# LAN 内での SAMBA 接続を許可(source,destiantion ともに LAN 全体にしないと駄目)
${IPTABLES} -A INPUT -p tcp -s ${LOCAL_NET} --sport 137:139 -d ${LOCAL_NET} --dport 137:139 -j ACCEPT
028928402/09/29 00:23ID:KOduZhHX

##########################################################################################

# canna のポートを閉める(ローカルホストのみ開ける)
${IPTABLES} -A INPUT -p tcp -s ${THIS_HOST} --sport 5680 -d ${THIS_HOST} --dport 5680 -j ACCEPT

# X11 のポートを閉める(ローカルホストのみ開ける)
${IPTABLES} -A INPUT -p tcp -s ${THIS_HOST} --sport 6000 -d ${THIS_HOST} --dport 6000 -j ACCEPT

# 外部からの ping を拒否
${IPTABLES} -A INPUT -p icmp -s ! ${LOCAL_NET} -d ${THIS_HOST} -j REJECT

##########################################################################################
# LAN 側および loopback からの入力のデフォルトフリー設定
${IPTABLES} -A INPUT -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT
${IPTABLES} -A INPUT ${IPTABLES} -A INPUT -p tcp -s ${ANY} -d ${THIS_HOST} -j REJECT
${IPTABLES} -A INPUT -p udp -s ${ANY} -d ${THIS_HOST} -j REJECT
029028402/09/29 00:24ID:KOduZhHX
以上です。。。
029128402/09/29 00:42ID:KOduZhHX
↓これでいけました。どうもです。

# LAN 外からの SAMBA 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --dport 137:139 -j DROP

# LAN 外からの SSH 接続を拒否
${IPTABLES} -A INPUT -p tcp -s ! ${LOCAL_NET} --dport 22 -j DROP

0292login:Penguin02/09/29 00:47ID:y1eCLsd8
あー、レスしなきゃ良かったよ(w あっちこっち間違いだらけだなぁ。

>>289 の最後のほう
${IPTABLES} -A INPUT ${IPTABLES} -A INPUT -p tcp -s ${ANY} -d ${THIS_HOST} -j REJECT
がまず謎だねぇ。このへんに何か居そうなんだけど。

それから、UDP が開きっぱなしの状態だ。ソースポートを 123 か 53
にするだけでどのポートにもアクセス出来る。これはまずい。

Samba や SSH の接続を拒否する時にソースポートを指定する必要はない。
SSH に接続するのに 22 番ポートを使う奴は居ないから拒否した事にならない。
(22 -> 22 のアクセスは結構ログに残るけど、それは明らかに怪しいアクセス)
逆に canna や X11 は開いてない。これもソースポートの指定が不要。

厨房ほど ping を拒否したがるが、通常 ping を拒否する必要はない。
その指定では ICMP を全て拒否している。それは大変いけない事。
ICMP ECHO REQUEST は一般に無害で、逆に ICMP ECHO REPLY のほうが危険。
意味が解らないなら勉強しなおせ。ちなみに俺は両方とも通過させている。
029328402/09/29 00:50ID:KOduZhHX
>>292
ありがとうございます。精進します。
029428402/09/29 00:57ID:KOduZhHX
>>289 の最後のほう
${IPTABLES} -A INPUT ${IPTABLES} -A INPUT -p tcp -s ${ANY} -d ${THIS_HOST} -j REJECT

これは単なるコピペミスです。
0295 02/09/29 14:57ID:JmykEK0/
>>284
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP
${IPTABLES} -A INPUT -p icmp --icmp-type 0 -j DROP
INPUT が二つになってるけどひとつ OUTPUT だしょ？
0296login:Penguin02/09/30 01:20ID:t5CLIlq+
FletsADSLが2セッション張れるようになるらしいので、
図のようにppp0とppp1で別々のISPに接続して、
defaultはppp0を使い、
LANからのmasqueradeのみppp1で接続したいのですが、
これってiptableだけでは駄目なのでしょうか？
パケットがppp1に流れていってない感じなので、
iproute2とかいうものが必要なのかなあ。

+----------+
ISP1---|ppp0 |
| |
ISP2---|ppp1--eth1|---LAN
+----------+
linux-2.4
0297login:Penguin02/09/30 01:35ID:PRE+q7c8
>>296
そういう接続形態にすると、発信元 IP アドレスを見て、
ふたつのデフォルトルートを使いわけなければならない。
そうしないとプロバイダの ingress/egress フィルタにひっかかる。
一般に宛先 IP アドレス以外の情報を加味してルーティングしたい
場合、iproute2 が必要になる。

別の解としては UML や VMWare 等の仮想マシンを使って、
二台のマシンがそれぞれのプロバイダにつながっている状態にすれば、
この情况を回避出来る。
029829602/09/30 08:33ID:T8f//J7v
>>297
なるほど。iptablesではパケットの行き先を決定できるわけではないですね、
よく考えてみると。仕方がないのでkernel recompileしてiproute2使ってみました。
これで上手くいったみたいです。ありがとうございました。
0299login:Penguin02/10/06 21:47ID:0RDqM9Sn
>>297
routed ではだめなの？
0300login:Penguin02/10/06 21:56ID:kqhyD1Co
>>299
だめ。ていうか関係ない。走らせても無意味。
プロバイダでの ingress/egress フィルタ対策の事を話してるのさ。
こういうデュアルホームのマシン上で
厨房が routed 走らすなんてそもそも論外だけど。
0301ぷららマンセー02/10/09 20:59ID:R4la+IFX
おい、お前ら！　Linuxマシンをルータに使ってるんですが、
NATで「特定のIPアドレス」のみはじく方法教えてくだちい

#現在の設定
/usr/sbin/iptables -A PREROUTING -t nat -p tcp -i ppp0 --dport 7743 -j DNAT --to-destination 192.168.0.5:7743

現在こうなっているんだけど、plala.or.jpのアドレスだけはじくように
したい、しかし7743以外は通したい・・・というわがままな要望なんですが

参考スレ

ぷらら検閲開始？、電気通信事業法に抵触の可能性
http://pc3.2ch.net/test/read.cgi/isp/1033382486/
0302login:Penguin02/10/09 22:21ID:/ICav2VA
>>301
iptables にはドメイン名を使って拒否する機能は無い。
(単一のホストを拒否する機能ならある)

まず plala.or.jp が使っている IP アドレスの一覧を入手する必要がある。
それは whois 等を使うか、plala 自身に問い合わせるかしないといけない。
しかも随時新しいアドレスが追加される可能性があるので面倒。

IP アドレスの一覧が入手出来たら、
forward チェインにおいて発信元 IP アドレスが plala で、TCP で
宛先ポートアドレスが 7743 のものを拒否するルールを書けばいい。
0303login:Penguin02/10/13 09:39ID:DiMILE+J
Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*mangle
:PREROUTING ACCEPT [262442:109990189]
# Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*mangle
:PREROUTING ACCEPT [262442:109990189]
:OUTPUT ACCEPT [135225:8616464]
COMMIT
# Completed on Thu Sep 26 21:51:21 2002
# Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*nat
:PREROUTING ACCEPT [6393:307512]
:POSTROUTING ACCEPT [61571:3694917]
:OUTPUT ACCEPT [61569:3694821]
-A POSTROUTING -s 192.168.10.0/255.255.255.0 -o eth1 -j MASQUERADE
COMMIT
# Completed on Thu Sep 26 21:51:21 2002
# Generated by iptables-save v1.2.6a on Thu Sep 26 21:51:21 2002
*filter
:INPUT ACCEPT [134982:7257840]
:FORWARD ACCEPT [127355:102728219]
:OUTPUT ACCEPT [135224:8616628]
-A INPUT -p tcp -m tcp --dport 5680 -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -m tcp --dport 199 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o eth1 -p tcp -m tcp --dport 137:139 -j DROP
-A OUTPUT -o eth1 -p udp -m udp --dport 137:139 -j DROP
COMMIT
# Completed on Thu Sep 26 21:51:21 200

うちのiptables、これで大丈夫ですか？
0304&rle;02/10/20 22:55ID:iNvBWceH
保守age
0305login:Penguin02/10/20 22:58ID:7OS5ZMai
http://gooo.jp
無料掲示板
無料レンタル掲示板
0306login:Penguin02/10/21 00:18ID:IrigbI/B
>>303
全開ですねｗ
0307login:Penguin02/10/21 02:09ID:EZ2ktZfa
ポリシーはDROPでeth0がInternet、eth1がLANの環境で
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
と、その他諸々の設定をしています。
Yahoo!メッセンジャーを思う存分使いたいのですが
ファイル転送や声を聞いたりするにはどう設定すればいいでしょうか？
0308login:Penguin02/10/21 19:20ID:SFseX0l/
自分にPortscanかけて、変なの開いてなけりゃとりあえずOKってことで。
0309login:Penguin02/10/24 16:24ID:dz+eJia/
/proc/net/ip_conntrack の情報ってどのくらいで消えるの？
0310login:Penguin02/10/24 18:48ID:B3TTxskl
ポートスキャンしてくれるサイトもあるよ
ttp://scan.sygate.com/
0311login:Penguin02/10/27 06:35ID:H05H5cdm
iptableだけど、うまく特定のポート塞げないんだけど？
FreeBSDのipfwは分かり易かったのになぁ・・・・。
NICが二つあってeth0の80番ポートだけを塞ぐにはどうしたら
いいんでしょかっ？？
0312login:Penguin02/10/27 11:21ID:P4g23C7O
>>311
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
だけですが何か？
0313login:Penguin02/11/01 19:53ID:aLRuoZ8E
iptablesを使ってNATboxを作ってるんですけど、このマシンでup2dateを正常に動かすにはどうしたらいいでしょうか？
ポリシーはデフォルトDROP、OSはredhat8です。
0314login:Penguin02/11/01 20:05ID:9a+OYH6y
>>313
普通にマシンの中からHTTPが通るようにすればいいのではないかと。
0315login:Penguin02/11/01 20:09ID:aLRuoZ8E
>>314
w3m http://www.redhat.com/
とかちゃんと行けてるんでそこら辺は大丈夫だと。
service iptables stop
をやってからだと通るんでiptablesの設定が悪いのはわかってるんですけど。
031631302/11/01 20:15ID:aLRuoZ8E
[root@choge /root]# netstat -t
tcp 0 1 hoge:4291 xmlrpc.rhn.redhat:https SYN_SENT
で止まってるので、返事が受け取れてないのかな～
0317login:Penguin02/11/01 20:18ID:9a+OYH6y
>>316
w3m https://rhn.redhat.com/
も見れる？
031831302/11/01 20:37ID:aLRuoZ8E
>>317
あああ～
$IPT -A OUTPUT -p tcp --dport 443 -s $GW_OUT_IPADDR_1 -o $GW_OUT_INT -j ACCEPT
とすべき所を
$IPT -A OUTPUT -p tcp --dport 443 -d $GW_OUT_IPADDR_1 -o $GW_OUT_INT -j ACCEPT
にしてました～お恥ずかしい...
ありがとうございました。
0319login:Penguin02/11/01 21:18ID:9a+OYH6y
>>318
おめで㌧（笑。DROPするときにログ取るようにすればよかんべ。
0320login:Penguin02/11/03 04:53ID:G3JoEIER
特定IPからのアクセスを全て排除したいんですが、どうやればいいですか？
0321login:Penguin02/11/03 05:13ID:Vb8sy9bN
単に INPUT に -s そこ を DROP するのを add すれば?
なにか難しいこと考えてる??
0322login:Penguin02/11/03 10:31ID:G3JoEIER
それだけでよかったんですね、、、ありがとうございました。
いろんなもの読んでたからごっちゃになってた
0323-=-02/11/03 13:01ID:BxoxQO3I
>>321
なんか頭がくらくらする日本語だなぁ。
0324login:Penguin02/11/04 01:28ID:PU/4tXi9
WinMXが使えるようにするには
どう設定すればいいべ？
0325login:Penguin02/11/04 02:13ID:ADBnbWDA
>>324
しかたねーな。
こんかいだけだぞ↓

---ここから---
#/bin/sh
IPTABLES="/sbin/iptables"

$IPTABLES -t filter -F

$IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT
---ここまで---
0326login:Penguin02/11/04 02:23ID:d1MzMELP
わは。正しい。
0327login:Penguin02/11/04 04:13ID:m1UvyWOx
1行めは
#!/bin/sh
な。ここを直せば完璧。
032832402/11/04 06:15ID:PU/4tXi9
あー確かに正しいな。
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT
このあとどのポート開ければいい？
0329login:Penguin02/11/04 09:01ID:sAR73GwM
目的は達成しただろ
033032502/11/04 12:04ID:olVic91l
>>327
ワハハ、オチでtypoしてもーた。
0331login:Penguin02/11/04 12:25ID:1IQaPnUa
>>328
iptables winmx で検索すりゃ、いくらでも出てくるだろうに…
win厨はすっこんでろよ。
0332login:Penguin02/11/08 01:05ID:2dyMgnfp
ブリッジを使った透過型ファイアウォールを構築する場合、
例えば、eth1 から eth2 にブリッジングされるパケットは
FORWARD チェーンに引っかかるという認識でよろしいか？

＃ブリッジングはレイヤー２だからどうなんだべと思ったわけさ。
0333login:Penguin02/11/08 12:12ID:UFxBpD5o
eth0=内部LAN　　eth1=インターネット　にした場合
送信元アドレスがプライベートアドレスのパケットをeth1から入ってくるのを
拒否するには

$IPTABLES -A INPUT -i eth1 -d 192.168.0.0/16 -j DROP

などで拒否しているが、FORWARDチェーンにも同じように転送の拒否を記述
しなくてもいいのですか？
FORAWDチェーンの前にINPUTチェーンで弾かれるのでいらないですよね？
0334login:Penguin02/11/08 13:54ID:Mmy4aspR
>>328 それでいいはずだけど。「いい」の意味によるけど。やってみろ。
0335login:Penguin02/11/08 14:43ID:DQfNQY3o
>>332
違うと思うがブリッジを試したのは遠い過去の話なので確信はない。
ソース読むか実際にやってみれ。
>>333
違う。
ipchains の場合は forward の前に input で弾くが、
iptables の場合は forward しか通らない。
0336login:Penguin02/11/08 14:45ID:DQfNQY3o
>>332
ていうか、ブリッジを使った透過型ファイアウォールは
Linux と iptables では出来ないのでは?
最近のバージョンでは出来るつーのなら情報キボン。
俺は proxy-arp で擬似的に透過型ファイアウォール的動作をさせてる。
0337login:Penguin02/11/08 15:39ID:DQfNQY3o
>>336
なんか最近は出来るみたいだな。
http://bridge.sourceforge.net/ に情報があった。
0338login:Penguin02/11/08 16:00ID:DQfNQY3o
ebtables ってのを使うとブルータにも出来るみたいね。
033933202/11/08 18:29ID:2dyMgnfp
各人、情報ありがとう。
ちょっと調べてみた結果、どうやらカーネルにパッチを当てると可能になるようだ。
336がリンクしてくれたサイトの、
Firewalling for Free  というのが詳しげ。

これからちょっと頑張ってみます。
034033202/11/08 21:58ID:2dyMgnfp
言うまでもないかもしれないが、
そのままのカーネルでは実際にやってみたら、
ブリッジングしてるパケットは iptables では引っかからなかった。
0341login:Penguin02/11/10 11:04ID:FCe696gT
bridge.sourceforge.net から bridge-nf-0.0.7-against-2.4.19.diff
をダウンロード。

ringから、カーネルのソース
linux-2.4.19.tar.gz をダウンロード。

# cd /usr/src
# tar xzvf ~/linux-2.4.19.tar.gz

# cd linux-2.4.19
# patch -p1 < ~/brige-nf-0.0.7-against-2.4.19.diff
034233202/11/10 11:05ID:FCe696gT
# make menuconfig
まず、vineのデフォルトの設定を読み込む。
一番下から２番目の、"Load ～" で、元からあるバージョンの
デフォルト設定を読み込む。
/usr/src/linux-2.4.18/arch/i386/defconfig

次に必要なモジュールを組み込む。
Network Option --->
    "Network Packet filtering (replaces ipchains)"(CONFIG_NETFILTER) を yes
    "Network packet filtering debugging" は off にしないと大量のログがでる。
    "802.1d Ethernet Bridging" を yes。
    すぐその下の
    "netfilter (firewalling) support" を yes。
    この項目は上の２つを組み込むことにしないと現れない。


    次に、Netfilter Configuration ---> に入って、
    必要なオプションを組み込む。
    全部 y or m にしておいていいと思う。
034333202/11/10 11:06ID:FCe696gT
コンパイルなど。
# make dep
# make bzImage  
# cp arch/i386/boot/bzImage /boot/bzImage.bridge

# vi /etc/lilo.conf   で /boot/bzImage.bridge  を追加。
# lilo   で確認して。

リブート。
bridgeカーネルを選択。

ブートしたら、次にモジュールのインストール。
# cd /usr/src/linux-2.4.19
# make modules
# make modules_install
034433202/11/10 11:08ID:FCe696gT
>>341-343
これで、iptablesで透過型ファイアウォールができました。
ブリッジングされるパケットはFORWARDのみに引っかかります。
0345login:Penguin02/11/10 11:16ID:FCe696gT
ごめん、わすれてた。
これをやったら黒画面で日本語が化けるようになりました。
どうしたらなおる？
0346login:Penguin02/11/11 18:07ID:nGR4bMZA
iptables の入門書みたいの出てないの？
とりあえず、cbook24 で iptables で検索したけどダメだったよ。

現在、RedHat 7.3 で実験ちゅ～

ipルータは、外からのtcp、udpすべてカットする設定で、現在は鯖を公開
してない。中からのパケットは全通し。

ルータに繋がってるeth0と、PC1台だけのeth1で、とりあえずFTPだけとお
るようにしてみようとしてるんだけど、なぜか到達できないと言われる。

もしかして、iptables起動してないのかな～
googleでiptablesで検索＞あちこち彷徨った限りでは、動いてそな気がす
るんだが‥‥
0347login:Penguin02/11/11 18:23ID:pjorG7KZ
>>346
出てる。amazon で Linux と ファイアウォール のキーワードで検索。
0348login:Penguin02/11/11 20:45ID:OP0t1/jV
以下のiptablesの設定をしているのですがFTPが通りません。
Kernelの再構築で[IP:Netfilter Configuration] - [FTP Protocol Support]
は有効にしています。どなたかわかる方お教えください。

------------------------------------------------------------
（一部省略しています）

$IPTABLES -P FORWARD DROP

# INPUT
$IPTABLES -A INPUT -s $LAN -i eth1 -j DROP # from internet
$IPTABLES -A INPUT -s $LAN -i ppp0 -j DROP # from internet
$IPTABLES -A INPUT -s ! $LAN -i eth0 -j DROP # from lan

# FORWARD
$IPTABLES -A FORWARD -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -d $LAN -p tcp --sport 20 -j ACCEPT # FTP-DATA
$IPTABLES -A FORWARD -d $LAN -p tcp --sport 21 -j ACCEPT # FTP

# MASQUERADE
$IPTABLES -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

0349login:Penguin02/11/11 20:54ID:h6qHpKhg
>>348
省略しすぎなのか、それだけじゃ FTP は全然動かないよ。
FTP が 20 番と 21 番ポートをどう使うかも理解出来てないようだな。
それに iptables で FTP を通そうと思ったら
connection tracking の機能を使わなきゃ駄目。
0350login:Penguin02/11/11 22:07ID:waULcaae
>>346
あまりいい本はないみたい。
2冊ほど買ったけれど間違いだらけで参考にならない。
一冊は捨てました。捨てた本は初めてのファイヤウオールという本です。
もう一冊は今会社にあるのでタイトル覚えていない。
Linuxセキュリティ何とかだったと思う。
これも間違いだらけ。
よい本が出版されないかなといつも思っています。

035135002/11/11 22:24ID:waULcaae
>>346
上に書いた本のタイトル名分かりました。
「絵で分かるLinuxセキュリティ」という本です。
これも間違いが多いので嫌気が差してます。
アーア誰かiptablesの解説書出してくれないかな。
必ず買います。
0352login:Penguin02/11/11 22:24ID:GhtkW3P0
>>345
バニラカーネルでなくVineのカーネルソースからつくるよろし。
Vineのにはuniconパッチがあたってまふ。
0353login:Penguin02/11/12 00:28ID:qQ2X9emg
>>350-351
駄目そうなタイトルの本ばかり買っているように思えるが...
パケットフィルタをする奴が読むべき本は実は一冊だけだ。
タイトルは「詳解TCP/IP」。あーそこそこ、コケないで(w
TCP/IP を知らずしてパケットフィルタを設定するなど笑止!
TCP/IP を理解すれば man iptables と若干の設定例で充分。
035435002/11/12 00:48ID:hQ0qs5QW
>>353
そうですね、TCP/IPの勉強をしてみます。
でもやっぱり、iptablesの解説本は欲しい。
0355糞野郎02/11/12 02:29ID:cWfwaRR3

ＬｉｎｕｘＷｏｒｌｄの8月号にｉｐｔａｂｌｅｓの記事があって
結構詳しく書いてありました。
すみません糞レスです。
0356login:Penguin02/11/12 13:53ID:xGLG2Wvj
>>353

http://www.pearsoned.co.jp/washo/inet/wa_int92-j.html

か？

￥6,000もするじゃないか！
もっと安い本はないのか！？

ビンボーＳＥに愛の手を！！！
0357login:Penguin02/11/12 16:33ID:sEp0SfYt
>>356
「資料」ということにして、経費で落とす。
0358login:Penguin02/11/12 19:30ID:5AkTvPtc
eth1が外部、etf0がLAN内部で外部からweb、mail、ssh、DNSを許可
ルータとしてLAN内部にマスカレードなんですが、これで大丈夫でしょうか？
改良したらいいとこなどあれば指摘おねがします。

#!/bin/sh

# global variance
#
LOCALNET='192.168.10.0/24'

# clear rules
/sbin/iptables -F INPUT
/sbin/iptables -F FORWARD
/sbin/iptables -F OUTPUT

# set default policy
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT

## for loopback (ローカルホスト自身の設定)
# 自分自身は許可(ACCEPT)
/sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

# for localnet (ローカルネット)
# eth0(内部)からのアクセスはすべて許可(ACCEPT)
/sbin/iptables -A INPUT -i eth0 -s $LOCALNET -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -d $LOCALNET -j ACCEPT
0359続き02/11/12 19:31ID:5AkTvPtc
# reply
# 接続が確立したパケットの応答は許可(ACCEPT)
/sbin/iptables -A INPUT -m state --state ESTABLISH,RELATED -j ACCEPT

# dns の問い合わせは許可(ACCEPT)
/sbin/iptables -A INPUT -p udp --sport 53 -j ACCEPT
/sbin/iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

#apache
# wwwサーバへの問い合わせ許可
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p udp --dport 80 -j ACCEPT

#メールサーバ
/sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT

#SSH
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#win file share
/sbin/iptables -A OUTPUT -o eth1 -p tcp --dport 135:139 -j DROP
/sbin/iptables -A OUTPUT -o eth1 -p udp --dport 135:139 -j DROP
/sbin/iptables -A OUTPUT -o eth1 -p tcp --dport 445 -j DROP
/sbin/iptables -A OUTPUT -o eth1 -p udp --dport 445 -j DROP

#masquerade
# IP マスカレードの定義
/sbin/iptables -t nat -A POSTROUTING -o eth1 -s 192.168.10.0/24 -j MASQUERADE
036035002/11/12 22:59ID:RduSsZon
>>355
ありがとう。その雑誌持ってます。
他の雑誌にも時々iptablesの記事があるので
それらを参考に、フィルタリングしています。
皮肉にもLinuxWorldの8月号には
「絵で分かる・・・」
の紹介記事が載ってます。
もっといい書籍を紹介して欲しいですね。
0361iptablesはじめて02/11/13 15:26ID:SOdm50Ic
インターネット上の適当なFTP鯖
　 　↑
　ルータ
　 　↑
　 eth0
Linux BOX
　 eth1
　 　↑
　 HUB
　 　↑
　 　＋----------------＋
　 　｜ 　 　 　 　 　 　 　 　｜
Windows の 　 　Windows の
クライアント1　 　 　クライアント2

　ってな構成で、クライアント1・2からそれぞれ適当な鯖にFTP接続したい。
0362iptablesはじめて02/11/13 15:26ID:SOdm50Ic
　それで、いろいろサイトをみて、実験用に

#!/bin/sh
##モジュールをロードする
/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp

##初期化
/sbin/iptables -t filter -F FORWARD
/sbin/iptables -t filter -F INPUT
/sbin/iptables -t nat -F POSTROUTING

##ポリシー
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT

##ローカルからは通せ
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -i eth1 -j ACCEPT

##FW発は通せ
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

##IPマスカレード
/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

/sbin/iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

0363iptablesはじめて02/11/13 15:26ID:SOdm50Ic
ってなファイルを組んで、実行してみた。

iptables -L をみると組み込まれるようなのだが、クライアントからFTPでき
ないし、pingすらとおらねぇ。

しかも、突然めー務サーバが引けなくなって焦った。

漏れはどこをミスしてますか？
0364login:Penguin02/11/14 13:37ID:hJK7WNBJ
>>363
これ足してもだめかな

/sbin/iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
0365iptablesはじめて02/11/15 17:48ID:7+Xxugzu
>>364

だめでつた。

##FW発は通せ
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

に変更して起動したとたん、sambaが全滅。
Windowsクライアントのnslookupが、LinuxのDNSを捕まえられない様子で、
内部クライアント同士もわからなくなってしまっていました。
＃Linux鯖にdhcpさせてるんだから、そりゃそうか。

仕方が無いので再起動しました。

起動した途端、クライアントからDNSが見つからなくなるって事は、iptables
そのものは動いてるって事なのかな？

その結果、LAN内部からのパケットを全部DROP してしまっている‥‥

でも、iptablesについて記述のあるサイトのほとんどが、「まず全部破棄する
ポリシーにしてから、通すルールを決めていく」とあるから、最初にDROP
を仕込んでるのは間違いじゃないと思うし‥‥

本屋にLinux Worl のバックナンバー(8月号)は注文してあるけど、2週間くらい
かかりそうだし‥‥

なんか判る方が居たら、教えてくださ～い。
0366login:Penguin02/11/15 18:00ID:KrHxUKTN
ファイアウォール越しにアクセスすると HTTP 403 エラーがでる
サイトがあるんですがどうすればいいんでしょう？
ファイアウォール機からそのサイトにアクセスするとちゃんと見れるので
設定が悪そうなんですが...
結構 FAQ っぽいんですが検索しても見つかりませんでした。
0367login:Penguin02/11/16 00:42ID:HsVr6NVP
>>365
LAN側のソースアドレスが抜けてるからかな？

ここ参考になるよ
ttp://naoya.dyndns.org/tips/tips18.html

>>366
わかりませぬ
0368login:Penguin02/11/16 06:19ID:s3bIXOmD
sportとdportの違いがいまいち・・・
どっかわかりやすいサイトあればきぼん。
0369login:Penguin02/11/16 07:18ID:e2RXVuI8
>>366

-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

を追加して味噌
0370login:Penguin02/11/16 15:04ID:lfX1KTEu
>>368
ソースポート(送信元ポート)とディストネーションポート(宛先ポート)の違い…？
(よくわかっていませんが…)
0371login:Penguin02/11/16 17:09ID:dJo3xOZR
>>370
もっと自信をもて。そのとおりだ。
0372login:Penguin02/11/16 22:52ID:Uvq8ir3l
>346
linux World8月号よりはUNIX MAGAZINE10月号のほうが詳しく
書かれていましたよ。
ttp://ascii25.com/25/mag/unixmag/2002/09/18/638654-000.html

iptablesの構文がわかればipchinsの本でも代用が効くと思います。
FWの概念は変わらないと思います。

ttp://www.pearsoned.co.jp/washo/operate/wa_ope13-j.html
上の本ipchainsの本ですが役に立ちました。

また、オライリーより12月に下のサイトの本が翻訳されます。
iptablesは詳しく載ってなさそう。
ttp://www.oreilly.com/catalog/fire2/toc.html
0373login:Penguin02/11/16 23:14ID:JTUI2d+e
本じゃないけど、定番の
ttp://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO.html
は短くてわかりやすかったよ。大体判っててとにかく指定の仕方が知りたい
とかいう人にはいいと思う。
0374login:Penguin02/11/17 20:14ID:kURotrjf
話題のアレで特定ＩＰのみ弾きたいのです。

ＩＰの範囲指定の仕方で、
218.47.0.0-218.47.255.255 の場合は
218.47.0.0/12 とすればよいのでしょうけれど
210.153.0.0-210.153.79.255　や
219.96.96.0-219.96.125.127　などはどう表記すればよいのでしょうか。
210.153.0.0/255.255.176.0 では駄目なのですよね？
0375login:Penguin02/11/17 20:44ID:fpuO0VEN
>>374 「話題のアレ」ってなーに？
0376login:Penguin02/11/18 01:41ID:Wv4qDYb+
>>374
80 を HEX や BIN にしたら何になる？96 は？126 は？128 は？
037737402/11/18 04:33ID:/WnEyB7s
>>335
勘弁してください。

>>376
80のhexは50でbinは10100000ですね。
これがどうつながるかわかりません。
ネットマスク24は255.255.255.0で11111111 11111111 11111111 00000000となったり
23は11111111 11111111 11111110 00000000 となるのはわかるのですが
それで表現できないということは、やっぱりひとつずつ指定していくかないのでしょうか。
0378login:Penguin02/11/18 05:06ID:UUKFyJtH
80はbinaryで 01010000となって1がふたつ立ってるから、
210.153.0.0/18
210.153.64.0/20
ってふたつ指定すればよいってことなんじゃない？
面倒だけど、これ以上はどうしようもなさそう。
で「話題のアレ」ってなに？俺も知りたい。
ここからのIPは弾いた方がいいの？
0379login:Penguin02/11/18 05:11ID:Wv4qDYb+
>>377
わはは。ごめん。ちょっと混乱させてみたかった。
具体的には、ぷららを弾きたいわけね。whois してみると、どういう申請の
仕方してるかわかるから、参考になるよ。
早い話、>>378 の方法でないとだめなんだ。

ちなみに、話題のアレって何？
0380login:Penguin02/11/18 05:29ID:UUKFyJtH
>>379
ああ、ぷららか。やっと分かった。
0381login:Penguin02/11/18 13:39ID:/8fBeZl6
ドキュメントによって

/etc/init.d/iptables stop
# この状態でルールを追加します。

とあるものとないものがあるが、stopしてしまったらどうやって起動する
んだろう？

やっぱ、マシンを再起動しないとダメ？
0382login:Penguin02/11/18 13:41ID:k259CCr6
>>381
start じゃねーの?
よく知らんけど。
0383login:Penguin02/11/18 14:17ID:Fsz1lfyI
>>381
再起動は必要ないはず。stop する必要はないけど、既存のルールを
クリアしないといけない。俺は
% iptables -F; iptables -t nat -F; iptables -t mangle -F
とやったけど。で、適当にルールを決めて、決まったらsave する、
という感じで設定した。
0384login:Penguin02/11/18 15:12ID:yHq95x2c
>>381
> やっぱ、マシンを再起動しないとダメ？
んなわきゃない。Windows じゃないんだから(わら
再起動の必要があるのは、カーネルを再構築した時くらいなもんだ。
他はせいぜい、libc に大きな変更があったときは再起動した方が安全
かもしれないって程度。

普通、init.d 以下にあるスクリプトは、start/stop/restart などを持っている。
それに、iptables にルールを追加する場合、別に stop する必要はない。
0385login:Penguin02/11/18 16:46ID:/8fBeZl6
>>384

う～ん、じゃぁなんでstopしてルール追加なんて書いてあるんだろう？？
>>367の教えてくれた、
ttp://naoya.dyndns.org/tips/tips18.html
でもstopしてルール追加になってるんだよね。

#!/bin/sh
# iptables のパス
IPTABLES="/sbin/iptables"
# 外向けインターフェース名
GLOBALDEV="eth0"
# 内向けインターフェース名
OURDEV="eth1"
# LANのアドレス
OURNET="192.168.1.0/24"
# 初期化
/etc/init.d/iptables stop
# ポリシー
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P PREROUTING ACCEPT
$IPTABLES -P POSTROUTING ACCEPT
# LAN側からの入力、ループバックへの入力を無条件に許可
$IPTABLES -A INPUT -i $OURDEV -s $OURNET -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
# 内部から発生した接続に関連するパケットを許可
$IPTABLES -A INPUT -i $GLOBALDEV -m state --state ESTABLISHED,RELATED -j ACCEPT

0386login:Penguin02/11/18 16:46ID:/8fBeZl6
を試してみたけど、eth1側のHUBにつながったWindows機からは、インター
ネット側にpingもFTPも通らないね。

ただ、>>363のようにネームサーバ(だろうな、あれは)を引けなくなったり
することは無かった。

あと気になったのは、上のを通すと、2行、エラーが出るんだよね。

$IPTABLES -P PREROUTING ACCEPT
$IPTABLES -P POSTROUTING ACCEPT

で出ているようで、これをコメントアウトすると、出なくなる。

RedHat 7.3 で、rpmしてみたら、1.2.5-3だったけど、もしかしてなんかまずい
のかな？
0387login:Penguin02/11/18 16:54ID:Fsz1lfyI
>>385
だから、stop する必要はないが、stop することによって既存のルールを
flush しているんでしょ。適切な対処法だと思うけど。stop して何か
不具合でもあったの?
0388login:Penguin02/11/18 17:34ID:/8fBeZl6
>>387

>>386のとおり、インターネットに出て行けないのが不具合です。
でも、それはstopとは関係ないって事ですよね？

PREROUTING と POSTROUTING の chainが不正って言われるの
も、stopとは関係ない？
0389login:Penguin02/11/18 18:21ID:yHq95x2c
>>386
FORWARD を DROP してるYO！
0390login:Penguin02/11/18 18:44ID:C7jy6HrM
FORWARDもだけどIPマスカレードはどうなってんのよ
0391login:Penguin02/11/18 20:00ID:yHq95x2c
>>388
まー、あれだ。JF の関連文書を一度よく読んで理解する事をお勧めする。
0392login:Penguin02/11/18 21:52ID:fWvIXW7B
おいらもいろんなサイト参考にしながら書いてみたよーー。
#以下
# Interface to Internet
EXTIF=ppp0
# Interface to Local Aria Network
LANIF=eth0
#IP Adress alias
ANY=0.0.0.0/0
LOCAL=127.0.0.0/8
LAN=192.168.0.0/24
#Set Path
export PATH=/usr/bin:/bin:/sbin:/usr/sbin:
##Delete Old Parameter ##
iptables -F
iptables -F -t nat
iptables -X
## モジュールのロード　##
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
# INPUT FORWARD チェインのポリシー設定
iptables -P INPUT DROP --modprobe=/sbin/modprobe
iptables -P FORWARD DROP
## NAT (IPマスカレードの設定)##
iptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE --modprobe=/sbin/modprobe
# LOG して DROP するチェインを作成
iptables -N log_drop
iptables -A log_drop -j LOG --log-level warning -m limit --modprobe=/sbin/modprobe
iptables -A log_drop -j DROP
0393login:Penguin02/11/18 21:53ID:fWvIXW7B
## 内部からのもの以外の新しいコネクションをブロックするチェインの作成
iptables -N ppp-in
# ssh を ACCEPT
iptables -A ppp-in -p tcp --dport ssh -j ACCEPT
# www を ACCEPT
iptables -A ppp-in -p tcp --dport www -j ACCEPT
# dns を ACCEPT
iptables -A ppp-in -p tcp --dport 53 -j ACCEPT
iptables -A ppp-in -p udp --dport 53 -j ACCEPT
# ftp を ACCEPT
iptables -A ppp-in -p tcp --dport ftp -j ACCEPT
# 内部から発生した接続に関連するパケットを ACCEPT
iptables -A ppp-in -m state --state ESTABLISHED,RELATED -j ACCEPT --modprobe=/sbin/modprbe
# 上記以外を LOG して DROP
iptables -A ppp-in -j log_drop
#NAT for Winny
iptables -t nat -A PREROUTING -i $EXTIF -p tcp --dport 7743 -j DNAT --to 192.168.0.2
iptables -t nat -A PREROUTING -i $EXTIF -p udp --dport 7743 -j DNAT --to 192.168.0.2
#$EXIIFから来たデータはppp-inチェインへ
iptables -A INPUT -i $EXTIF -j ppp-in
iptables -A FORWARD -i $EXTIF -j ppp-in
## ユーザ定義チェイン ppp-out を新たに作成する ##
iptables -N ppp-out
0394login:Penguin02/11/18 21:53ID:fWvIXW7B
## SMB プロトコルが外に洩れない様にする。##
iptables -A ppp-out -p udp --dport 137:139 -j DROP
iptables -A ppp-out -p tcp --dport 137:139 -j DROP
## Windows 2000 がローカルに存在すれば以下の設定 ##
iptables -A ppp-out -p udp --dport 445 -j DROP
iptables -A ppp-out -p tcp --dport 445 -j DROP
## ローカル IP が外に洩れない様にする。##
iptables -A ppp-out -d 10.0.0.0/8 -j log_drop
iptables -A ppp-out -d 172.16.0.0/12 -j log_drop
iptables -A ppp-out -d 192.168.0.0/16 -j log_drop
#$EXITIFからでていくデータはppp-outチェインへ
iptables -A FORWARD -i $EXTIF -j ppp-out
## LAN 側および loopback からの入力のデフォルト設定 ##
iptables -A INPUT -i $LANIF -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
## LAN 側からの転送のデフォルト設定
iptables -A FORWARD -i $LANIF -j ACCEPT
# Do masquerading
echo 1 > /proc/sys/net/ipv4/ip_forward
#以上
穴があったら教えてくれ。うちの環境では一応動いてる。でもiptableの説明書って難しいよ。わけわからんかったさ。
0395login:Penguin02/11/18 23:54ID:SwYZyqVl
>392
俺も最近iptables覚えたてで詳しくないけど

># dns を ACCEPT
>iptables -A ppp-in -p tcp --dport 53 -j ACCEPT
>iptables -A ppp-in -p udp --dport 53 -j ACCEPT
DNSサーバ立ててなかったら消した方がいいです。

内部からのDNS問い合わせは
># 内部から発生した接続に関連するパケットを ACCEPT
>iptables -A ppp-in -m state --state ESTABLISHED,RELATED -j ACCEPT --modprobe=/sbin/modprbe
で許可されます。
0396通りがかり02/11/19 01:00ID:ou7lJEtc
RedHat8を試しに入れてNIC2枚でルーターにしようとおもったが・・・・・・・・
pppoeは接続できるがルーティングしてくれない

もう少し粘ってみる～～～
皆さんすごいですね
0397ド初心者02/11/19 01:24ID:ADEIXGSF
下のようなネットワークで、
　　　　　　---------
-----------|LINUX BOX|-----------
　　　 eth0 --------- eth1
192.168.0.0/24　　　　192.168.1.0/24
eth0->eth1、eth0<-eth1の双方向で全てのパケットを流したいけど、
iptable でうまく渡らないです。TCP、UDP、ICMP全てをアドレス、ポート
変換ナシでやりとりしたいのです。
要するにブリッジ的な事になるんですが、このLinux Box にサーバー機
能を持たせる（FTP、HTTP）ので NIC に IP アドレスを持たせねばなり
ません。IP Masquearade だと片方からしかアクセスできないので、他の
方法で通過させたいのですが、iptables での設定、何か良い手段あり
ますか？
とりあえず、
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A FORWARD -s 192.168.0.0/24 -d 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -i eth1 -j ACCEPT
とまではやってみたましたが、何の変化も起きません。
/proc/sys/net/ipv4/ip_forward = 1
もやってます。
まだ、記述が足りませんか？
よろしくおながいします。
0398ド初心者02/11/19 01:25ID:ADEIXGSF
ずれた。鬱だ氏のう。
0399login:Penguin02/11/19 02:57ID:CTQtL0LP
>395
>DNSサーバ立ててなかったら消した方がいいです。
ルーターマシンにDNS建ててます。あまり意味ないですけど、
DNSキャッシュとして利用してます。
セキュリティの点から考えたらやめた方がいいですね。
0400login:Penguin02/11/19 09:48ID:arV7cXf0
>>393
Winny って UDP 使うの？いや、使ってないから知らないんだけど。
必要ないなら、切った方がいいんでないかな？
0401login:Penguin02/11/19 15:18ID:aAlohah3
プロバイダからSPT67のDPT68なパケットが届くんですが
(/etc/servicesによるとbootp)
これ何ですか？
通さないと駄目？

特に問題らしい問題起こってないんだけど・・・
0402login:Penguin02/11/19 15:56ID:1IE6dYW4
>>401
DHCPだと思う
040340102/11/19 16:37ID:aAlohah3
>>402
ええっ！
漏れDHCP通してなかったの！
・・・・って思って急いで初期化スクリプトを確認すると通してるのにろぐにはくようになってた。
そういえば
「このへん重要だからとりあえずろぐはくようにしとくか」
とか思ってたのを今思い出し。

いいかげんカオスになってきますた・・・。
0404login:Penguin02/11/19 22:19ID:OWzgRHmu
>>397
>iptables -P INPUT ACCEPT
>iptables -P FORWARD ACCEPT
>iptables -P OUTPUT ACCEPT
上記で全て許可しているので、iptablesが悪いわけではありません。
/sbin/iptables -L でFORWARDがDROPされていないか確認してみてください。

ifconfigでNICが認識しているか,netstat -rでルーティングテーブルが
どうなっているのか確認してみたら？
040537402/11/19 23:13ID:UFMiSon6
>>378
>>379
アドバイスどうもです。

210.153.0.0/18
210.153.64.0/20
とは、210.153.0.0から210.153.64.255までの64x256個を一旦不可とし
そこからまた211.153.64.0～211.153.79.255の16x256個を不可とするということでしょうか。
大変勉強になります。

アレとはwinnyで、はじくのはぷららです。

IPの所有を調べるためのWhoisとはドメインのものとはまた別なのでしょうか。
0406login:Penguin02/11/19 23:16ID:aGSHExF7
whoisは若干特殊なアドレス帳みたいなもんや。
0407login:Penguin02/11/19 23:16ID:OFo4doK5
>>397
直接関係無い事だろうけどOUTPUTチェインには -i じゃなくて -o かと
0408login:Penguin02/11/20 03:04ID:HV5r9xyS
>>397
そのiptablesの設定は最初の３行以外無意味（かつ最初の３行で十分）だと思う。
とりあえずiptablesの設定一度全部フラッシュして最初の３行だけ書いて
もう一度試してみたら？（もちろん/proc/sys/net/ipv4/ip_forward = 1もね。）

それでダメだったら、ネットワークにつながっている他のマシンの route設定が怪しい。

右側のマシンは
/sbin/route add -net 192.168.0.0 netmask 255.255.255.0 gw ${LINUX BOXのeth1に割り振ったIP}
左側のマシンは
/sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw ${LINUX BOXのeth0に割り振ったIP}
とかってやってる？

このへんがよくわかんなければ
(他のマシンの）/sbin/routeの結果をかけば誰か教えてくれると思う。

明示的にMASQUERADE とか SNATとか書かなければ、パケットは
そのまま流れた、、、はず、、、漏れの記憶では、、、、。
040939702/11/20 19:40ID:Im4krWwB
>>404,407,408
ありがとさんでし。

漏れの力不足で、結局 iptable じゃなんとも出来ず、数個の Linux Box
に gated を入れて ospf で繋いで、お茶を濁しました。
zebraってipv4 でも同じ事出来ましたっけ？（スレ違い）

お騒がせしました。
0410　　　02/11/20 20:09ID:C/Xvf5My
>>409

なかなかやるな…
ほれ

Zebra - Free routing software
http://pc.2ch.net/test/read.cgi/network/992166070/
0411login:Penguin02/11/20 23:13ID:8v6JeWIz
iptableの設定で、FORWARDのポリシーをDROPするようにするとwebに繋がらなくなります。
いろいろいじってみたのですが、FORWARDをACCEPTするしかありません。
何処が悪いのでしょうか？

#消す
$IPTABLES -t filter -F
$IPTABLES -t nat -F

#全部拒否
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT

#外部からの内部アドレス偽装拒否
$IPTABLES -A INPUT -i eth1 -s 192.168.0.0/255.255.255.0 -d 0/0 -j DROP
#http-80 OK
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT

#local可
$IPTABLES -A INPUT -i lo -j ACCEPT
# ループバックアドレスに関してはすべて許可
$IPTABLES -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
$IPTABLES -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
0412login:Penguin02/11/20 23:14ID:8v6JeWIz
上の続き

#eth0は信用する
$IPTABLES -A INPUT -i eth0 -j ACCEPT
#ping可
$IPTABLES -A INPUT -p icmp -j ACCEPT

#新しいコネクションは不可
$IPTABLES -A INPUT -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT

##### FORWARD を ACCEPTにしないと動かない！
#外部からの内部アドレス偽装拒否
$IPTABLES -A FORWARD -i eth1 -s 192.168.0.0/255.255.255.0 -d 0/0 -j DROP
#外からのパケットで新規と無効を禁止
$IPTABLES -A FORWARD -i ppp0 -m state --state NEW,INVALID -j DROP
#内部からは通す
$IPTABLES -A FORWARD -i eth0 -j ACCEPT

あと、
$IPTABLES -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
をしています。
0413login:Penguin02/11/20 23:55ID:kwHosqKI
eth0,eth1,ppp0といろいろあっていまいちわかんないけど

iptables -A INPUT -i ethif -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o extif -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

でどうでしょう。
extifが外部IFね。
0414login:Penguin02/11/20 23:58ID:6Z7bLzpv
webを見るとしたら
LAN->Linux Box->webserver
となるから当然FORWARDの対象になると、
で、FORWARDのデフォルトをDROPとした場合、
１、設定されているルールを参照する。
２、どのルールにも該当しないパケットの場合、
　　デフォルトのルールが適用される。
という順番なのでACCEPTにしないとwebが見られないってことは
FORWARDのルールが足りないのだと思う。
内部からの接続に起因するパケットはFORWARDするって
$IPTABLES -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
を加えてみてはどうだろう？

0415login:Penguin02/11/21 00:09ID:wk7SK8Jc
いいかげんiptablesの初期化スクリプトが混沌としてきたので目的別にチェインを作ろうかなと思ってます。

現在
iptables -N spoofing
iptables -A INPUT -i $EXTIF -s $CLASS_A -j spoofing
iptables -A INPUT -i $EXTIF -s $CLASS_B -j spoofing
...(略)
iptables -A INPUT -i $EXTIF -d $LOOPBACK -j spoofing
iptables -A spoofing -j LOG --log-prefix ${EXTIF}_SPOOFING
iptables -A spoofing -j DROP
という感じのルールを
iptables -N spoofing
iptables -A spoofing -i $EXTIF -s $CLASS_A -j spoofing
....(略)
という感じで目的別にルールをチェインに入れて管理を楽にしようと思っています。
#こうしてチェインを作っておけば後で適切な位置に目的のルールを追加できるのが楽できるかなと考えてます
そこで例えば
INPUT -> Aチェイン -> Bチェイン -> Cチェイン...
というふうに次々とそれぞれのチェインを通るようにしたいのですがどうすればいいでしょうか？
知恵を貸してください。
INPUT,OUTPUT,FORWARDのポリシーはDROPです。
0416login:Penguin02/11/21 00:11ID:uHfJryss
　｜
　◇a
　｜←グローバルIP
　◆b
　｜←ローカルIP
　■c

a　ADSLモデム
b　LinuxBOX
c　HUB

bのLinuxBOXでルーター兼Webサーバーをやらせたいのだけど
NIC2枚でRedHat8を使ったときPingがローカルから外へ飛ばないのは
iptablesが関係しているからでしょうか?
0417login:Penguin02/11/21 00:17ID:BZB7hnWW
>415
>>392がppp-inとppp-outとlog_dropと目的別チェーンつくってからみてみれ。
041841102/11/21 00:28ID:9bvn6ilG
IPTABLES -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
することで無事LANからwebに繋がりました。
>>413,414さんありがとうございます！
041941502/11/21 00:53ID:wk7SK8Jc
>>417
ありがとうございます。見てみました。
だいたいやりたいこと通りですがこのやり方だと次のチェインを把握した書き方ですよね。
たとえば>>392-394だと
INPUT -> ppp-in -> log_drop
という書き方を把握しておかないといけない。
これを例えば「INPUT」「A」「B」「C」というチェインがあるとき
「INPUT」->「A」->a->「B」->b->「C」->c....
という感じにしたいんです。
#a,b,cは単にA,B,Cの後の「場所」を表してます。
つまり、Aチェインの中に次はBに飛ぶという事を書かないで単にa地点に戻るというふうに書きたいんです。
Bチェインに入るのは単にaの次のチェインであるから・・というだけ。
こうできればチェイン(対象)が複数に増えてきたときに自由に順番を並び替えれて便利だと思うんです。

こういう書き方は無理なんでしょうか？
042041702/11/21 01:00ID:BZB7hnWW
>>415
ごめんなさい、あっしには思いつけません。
iptableをよく理解してる人がいるといいのですが。
0421login:Penguin02/11/22 19:58ID:vY2v6aXy
filter、nat、mangle ってどうやって使い分けるんでしょうか？

例えば
　filter の OUTPUT
と
　nat の OUTPUT
はどう違うんでしょうか？

さっきから検索してるんですが、「3つのテーブルがある」としか書いてないところが多く、
それがどのように運用されてるのか詳しく書いてあるところが見つからないもんで。。
0422login:Penguin02/11/22 20:31ID:XN/39Flj
>>421
man 見れば結構詳しく書いてあると思うんだけど。
用例はないものの、mangle とか nat とかに何が適用されるのかがわかるよ。
TOS には mangle しか使えないとかね。
0423login:Penguin02/11/22 20:53ID:vY2v6aXy
>>422
ありがとうございます。
man は見てたんですが、例えば nat の
「このテーブルは新しい接続を開くようなパケットに出会った場合に」
とは、具体的にどのような場合なのか、とか、mangleの
「特別なパケット変換に」
の特別ってなんなの？ とか思ってたわけです。

で、どっかに説明がないものかと。

ちなみに基本的なことで申し訳ないんですけど、
ルールを順番に評価していってマッチしたときの動きとして正しいものはどれでしょう？
1. 以降のルールは一切評価せず、その場でパケットの運命が決まる
2. 以降のルールも評価し、最終的なパケットの運命を決める
3. 以降のルールは評価するしないはターゲットによって違う

0424&rle;02/11/27 17:00ID:uhLC5X2K
保守禿
0425login:Penguin02/11/27 19:11ID:r+wfbPCu
表面的な大人しさ（偽善）に騙されるな！
A型の特徴

●とにかく気が小さい(二言目には「世間」）
●ストレスを溜め込んでは、キレて関係ない人間を巻き添えにして暴れまくる
●自尊心が異常に強く、自分が馬鹿にされると怒るくせに平気で他人を馬鹿にしようとする（ただし、相手を表面的・形式的にしか判断できず、実際には内容的・実質的に負けいるとしても・・・）
●他人の忠告を受け入れない、反省できない、学習能力がない（自分の筋を無理にでも通そうとするため）
●「常識、常識」と口うるさいが、実はA型の常識はピントがズレまくっている（日本の常識は世界の非常識）
●権力、強者（警察、暴走族…ｅｔｃ）に弱く、弱者には威張り散らす
●あら探しだけは名人級（例え10の長所があってもほめることをせず、たった１つの短所を見つけてはけなす）
●基本的に悲観主義でマイナス思考に支配されているため、根が暗くうっとうしい
●一人では何もできない、女は連れションが大好き（群れでしか行動できないヘタレ）
●多数派（注・日本では）であることをいいことに、少数派を馬鹿にする、排斥する
●異質、異文化を排斥する
●集団いじめのパイオニア＆天才
●悪口、陰口が大好き
●他人からどう見られているか、体裁をいつも気にしている
●ＤＶ夫が多い
●自分の感情をうまく表現できず、コミュニケーション能力に乏しい（知障に限りなく近い）
●頑固で融通(応用）が利かず、表面上意気投合しているようで、腹の中は各自バラバラ
●人を信じられず、疑い深い
●自分は常に自己抑制しているもんだから、自由に見える人間に嫉妬し、徒党を組んで猛烈に足を引っ張ろうとする
●おまけに執念深くしつこい（「一生恨みます」タイプ）
●自分に甘く他人に厳しい（冷酷）
●要するに女々しい、あるいは女の腐ったみたいなやつが多い
0426login:Penguin02/12/04 14:19ID:MRWVHR8Z
redhat 8.0に入っているiptablesをつかってnat を構成してます
redhat7.2でやってたときは上手くいってたんですが
8.0にするとパケットが上手く流れてくれません
具体的にはメッセンジャーを使ってると、会話が30秒ぶんくらい一気に流れてきます
相手側のサーバ側の問題かと思ったのですが、webを見ていても同じように
一気に流れ込むようなパケットの流れ方をするときがあるんです

------rp-ppoe3.5.1 redhat 8.0 ------hub------win 2k & win XP

なにか改善策あったらヨロシクです
042742602/12/04 14:27ID:BABdOoVG
ｽﾏｿ、ちょっとぶっきらぼうだった
tcpdumpかけて問題を切り分けて考えてみます
0428login:Penguin02/12/04 18:49ID:oNKBboPH
MTUかな？
0429login:Penguin02/12/04 19:01ID:hyhmTS23
>>428
そうかも。

>>426
iptables -j TCPMSS -A OUTPUT -p tcp --tcp-flags SYN,RST SYN --clamp-mss-to-pmtu
とかしたらなおんない？
0430lain02/12/04 21:23ID:GnyA18V1
red hat7,３を使ってるんですが、iptablesを使うにはカーネルの再構築が必要って
どっかのｈｐに書いてあったんですけどそうなんですか？
ちなみにカーネルが２．４．１８－３なんですけどどうなんでしょうか。
あとカーネルを再構築しようと２．４．２０のカーネルを落としてきたんですがこのｈｐ
通りにやったんですがbootのさいにfailedが出てstart systemでとまってしまいます。
もし再構築が必要であればredhat８．０なら構築しなくても対応されているんですか？
どなたか教えてもらえないでしょうか。
0431login:Penguin02/12/04 21:44ID:CSZVCdnW
どっかのhpには嘘が書いてある。
0432login:Penguin02/12/05 01:14ID:PwJUrvOu
>>426

漏れのマシンもPingが飛ばないっす
tcpdump -i ppp0 でみると一応㌧ではいるが返って来ない罠

家に帰ったらちょっと>>429さんのとおりに試験してみます～
とりあえずMTUをどうにかしなきゃ…
0433login:Penguin02/12/06 19:21ID:uS6t3n+R
>393
Winnyの設定が間違ってた。すまそ。

IPTABLES -t nat -A PREROUTING -i ppp0 -p tcp --dport 7743 -j DNAT --to-destination 192.168.0.2:7743
IPTABLES -A FORWARD -d 192.168.0.2 -p tcp --dport 7743 -j ACCEPT

だった。
0434login:Penguin02/12/06 20:37ID:oo8rvqWH
432　ですが…でけますた

iptables -t nat -A POSTROUTING -o pp0 -j MASQUERADE
たったこれだけで、ping が飛ばないなんて…鬱

てゆーか勉強します
0435login:Penguin02/12/07 12:08ID:NCviYxiS
pp0じゃなくてppp0な
0436login:Penguin02/12/07 20:27ID:TZVsgX+w
設定ファイルってどこに置くのが正解？
0437login:Penguin02/12/08 01:20ID:C0e3hfCf
>>436
/root/
0438login:Penguin02/12/08 07:48ID:Slh85d4S
Dec 8 07:36:42 itteyoshi kernel: IN= OUT=lo SRC=192.168.74.15 DST=192.168.74.15 LE
N=156 TOS=0x00 PREC=0xC0 TTL=255 ID=23783 PROTO=ICMP TYPE=3 CODE=1

今日ログを見てみたら、こんなのがでてました。
ん？自分の eth0 に割り当てられたアドレスをソースとしておしゃべりするときも、
ローカルループバック使ってるのかな？

いや、ローカルループバックから出入りするのって
src or dst が　127.0.0.1 のやつだけだとおもってたから。
0439login:Penguin02/12/08 11:45ID:Slh85d4S
100個くらいのアドレス（てか、アドレス範囲）からのパケットを DROP するようにしたら、
iptables -L での表示にめちゃくちゃ時間がかかるようになった・・・

でもストリームの再生なんかにも支障ないから、
負荷はそれほどかかってないのかも。

ESTABLISHED と RELATED を真っ先に通すようにしているからも。
0440login:Penguin02/12/08 11:46ID:Slh85d4S
>>439
ごめん、勘違いでした。
単に IP アドレスの逆引きに時間がかかってただけだった。
iptables -n -L だったらすぐに表示されました。
0441他力本願02/12/09 23:14ID:rWoEcFo6
やりかたとしてはrootで

service iptables stop　(止める)

iptables -L　　　　　　 　(ルール確認)

(一行ずつルール入力か書いておいたスクリプト実行)

/sbin/iptables -L　　　 (ルール確認)

cd /etc/sysconfig
iptables-save > iptables　(ルール保存)

であってる？
で、スクリプトは
www.geocities.co.jp/SiliconValley-Cupertino/9120/firewall.html
使おうと思うんだけど、穴ないですか？
0442login:Penguin02/12/10 10:43ID:d+RVM/g7
>>441

> service iptables stop　(止める)
をつかうんだったら
> iptables -L　　　　　　 　(ルール確認)
> iptables-save > iptables　(ルール保存)
じゃなくて
service iptables status
service iptables save

とかつかったら？
0443login:Penguin02/12/14 19:21ID:zukM5Gsi
教えてください。
WAN側から許可されたアクセスは大丈夫なのですが、（PING,HTTP等）
LAN側からの通信がすべて拒否され（すべて許可したいのですが）、
サーバは自分自身へのPINGすら通らない状況です。

ちょっと変則的（というか邪道なんですけど）と思いますが下記構成となっています。
ルータ:202.111.1.1----サーバeth0:202.111.1.2
:192.168.1.1---------------eth1:192.168.1.2
|
+クライアント:192.168.1.3

・ルータにてNATをしています。
・サーバのeth0はWAN用eth1はLAN用としています。
・クライアントはルータにて外へ出られますのでサーバでのマスカレード等は
　していません。
・routeは
Destination GW mask　　　　Flag M R U Iface
202.111.1.0 * 255.255.255.0 U 0 0 0 eth0
192.168.1.0 * 255.255.255.0 U 0 0 0 eth1
loopback　　* 255.0.0.0　　　U 0 0 0 lo
default　　202.111.1.1 0.0.0.0 UG 0 0 0 eth0
です。
----続く----
0444login:Penguin02/12/14 19:22ID:zukM5Gsi
---続き--
・以下の設定をしています。
iptables -F
iptables -P FORWORD DROP
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

#lo
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
#LAN:eth1
iptables -A INPUT -s 192.168.1.0/24 -d 192.168.1.2 -i eth1 -j ACCEPT
iptables -A OUTPUT -s 192.168.1.2 -d 192.168.1.0/24 -o eth1 -j ACCEPT

iptables -A INPUT -m stat --state ESTABLISHED,RELATED -j ACCPET

#WAN:eth0
iptables -A INPUT -p icmp --icmp-type 8 -d 202.111.1.2 -i eth0 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 0 -s 202.111.1.2 -o eth0 -j ACCEPT
以下domain,http等の許可
OUTPUTのポリシーがACCEPTなのでOUTPUTは不要かもしれませんが・・・。
0445名無しさん＠Ｅｍａｃｓ02/12/14 19:29ID:vNfCYX4w
winny するなら、7743 ｂｶゃなくて 8080 とか使えよ。
0446login:Penguin02/12/14 22:25ID:xbIuqtoX
>>443

loopback,eth1のinputを下のように変更しろ。

# loopbackアドレスの許可
iptables -A INPUT -i lo -j ACCEPT

# 内部LANからのパケットを全て許可
iptables -A INPUT -i eth1 -s 192.168.1.0/24 -j ACCEPT

で、あなたはwinnyを使ってるの？
044744302/12/15 15:15ID:OHhH+ux/
>446
ありがとうございます。一時的に動作しました。
一時的というのは、
nmap -p 80とか単ポートだと正常に動作いしてくれるのだけど
nmap -p 1-1024とかやると全部DROPしちゃうようになります。
以降、全部socketエラーになって孤立してしまいます。
(nmapをkillしてもwwwやdnsに接続できなくなるのです)
こういうものなのでしょうか？

ところで、なぜ、
-d 指定するとダメなのでしょうか。
また、loはすべて受け付けなければならないのはなぜでしょうか。

なお、winnyは使っていません。googleでwinnyを調べた程です。
0448login:Penguin02/12/15 15:29ID:7XPAQsID
すげー、自演ってのりでやりきれるんだな。
LINUX板きて初めてスゲーと思った
0449login:Penguin02/12/15 15:31ID:7XPAQsID
すげー、自演ってのりでやりきれるんだな。
LINUX板きて初めてスゲーと思った
045044302/12/15 17:26ID:OHhH+ux/
>>448-449
ふかわりょうさん？

お忙しいとは思いますが
447についてご存知でしたら教えてください。
よろしくお願いいたします。
0451login:Penguin02/12/16 12:39ID:JuYp5PKI
Bフレッツ固定IP8 で rp-pppoe使っている人いません？
どうしてもppp0がnetmask 255.255.255.255になってしまうのですが、
iptables でnat するとルーター以降のアドレスも使えるのですがいいのでしょうか
なんか気味悪い
0452login:Penguin02/12/16 12:52ID:sd7nxVLn
>451
rp-pppoeは「正式に」unnumbered接続に対応しているの？
よく考えてみてね。
0453login:Penguin02/12/16 15:34ID:7RUDYi0x
>>452
そんな聞きかたじゃ全く理解出来ないだろ。
それに考えてわかる問題でもないような。
>>451
固定 IP 8 で rp-pppoe 使ってルータにしてる奴はいっぱい居るよ。
まず point-to-point の PPP では netmask は常に 255.255.255.255。
PPP は一対一接続だから IP アドレスを割り当てる必要は無いんだよ。
OCN からもらった IP アドレスは LAN 側の NIC に割り当てるもの。
これが unnumbered 接続。
でも Linux の場合 PPP に割り当てないで動かすわけにいかないから、
たいていは LAN 側の NIC に割り当てたのと同じアドレスにする。
これでルーティング出来るのか不思議に思うかもしれないが
要は nexthop router を指定せずに直接 point-to-point の
インタフェースをデフォルトルートに指定すればいいだけ。
Linux はこれが出来るので unnumbered 接続も可能だと言える。
ただし、rp-pppoe に自動でデフォルトルートを割り当てさせると
うまくいかないかもしれないので、手動で設定する必要がある。
045444602/12/16 16:05ID:LhWOSzF6
>>447

IPTABLESの設定見た限りでは、eth1よりブロードキャストが受け取れ
無いようになっていたので,-d 以下を削除するように指示しました。

つまりeth1から入ってくるパケットは宛先が192.168.1.2のみ受付、
255.255.255.255や192.168.1.255は拒否するようになっていました。
これだとarpパケットを受信することができないので、基本的にサーバ
との通信はできません。

クライアントが外へ出れるのは、恐らくFORWARDチェインには上記の
ような記述が無いため、ルータへパケット転送することが可能だったの
では？と思います。

(>>444に書いてないだけで、ブロードキャストを受け付けるように記述して
あったり、FORWARDチェインはDROPの設定しかしていないなら見当違い
ですね）
0455login:Penguin02/12/16 17:11ID:wyRqnPSR
通りがかりだが

おまいらすてきです！
0456login:Penguin02/12/18 21:05ID:oUPdxj1d
ってなことでRedHat7.3のipchain から　iptablesに切り替えたいと思います

まずどーしましょ？＞＞みなさま
0457login:Penguin02/12/18 21:20ID:xfe3SzcC
>>456
乗り換えたい理由を教えろ。
0458login:Penguin02/12/19 10:24ID:TVluSG+E
たぶんipchainがいまいちだからだろ？
0459login:Penguin02/12/19 22:27ID:7ZOYMtgI
まぁ、これならたいていは大丈夫だろう。
ってゆーテンプレートみたいなのはないの？
0460login:Penguin02/12/19 23:42ID:b9zHgWC9
>>459
うちはここのを参考にさせてもらって(ちょっとだけいじった)けど、どうよ。
http://www.geocities.co.jp/SiliconValley-Cupertino/9120/firewall.html
046145902/12/22 22:33ID:hvl9DCHS
>>460
遅くなったけどサンクス。
漏れもこれ参考(つーかほとんど一緒)させてもらいますた。
0462login:Penguin02/12/23 00:23ID:NIbQFJ2u
-m state 使えばいいのに。
ちなみにワシの

modprobe ip_conntrack_ftp

iptables -F
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -s どっか -d わし --dport ssh -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp -d わし --dport 何か -m state --state NEW -j ACCEPT
iptables -A INPUT -p icmp -d わし --icmp-type echo-request -j ACCEPT
0463login:Penguin02/12/24 18:37ID:sMsKLTYD
オレメモ
PPPoE同士でipsecするとき
iptables -t nat POSTROUTING -o ipsec -s このマシンのipsec0外部ip -d 相手側のprivateip_xx.xx.xx.xx/24 -j SNAT --to 自分のLANがわprivateip
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
で　-o ppp0 を忘れない
であとはfilterを設定してみるす
0464login:Penguin02/12/25 01:15ID:wMDDvDbB
>>460
それ使ってみたけど、マスカレードされなくて困ってます。

|Windows(192.168.0.2) |======|(192.168.0.1 eth1) Vine2.6 (eth0)|=====|ONU(ppp0)|===
っていう構成です。>>460にあったやつで、
EXTIF=ppp+
INTIF=eth1
として使ってます。Vine側からは普通にネットできるんですが、
内側のWinマシンから外部にPing打つと
Destination host unreachable.
となります。
Win<>Vineはお互いにping通ってます。

どなたかアドバイスお願いします。
0465login:Penguin02/12/25 02:45ID:wCcaR+6g
460のやつはicmpのFORWARDを許可してないみたいだから、pingが通らないのは当たり前。
というかsshでVineにloginして、pingはVineから打てばそれでいいような気もするけど。
046646402/12/25 03:34ID:NLATh2Me
>>465
ping(ICMP)については納得なんですが、
それ以外も通らないんで困ってます。
Vine側の設定は
eth1 リンク方法:イーサーネット ハードウェアアドレス **.**.**.**.**.**.**
inetアドレス:192.168.0.1 ブロードキャスト:192.168.0.255 マスク:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:14 errors:0 dropped:0 overruns:0 frame:0
TX packets:10 errors:0 dropped:0 overruns:0 carrier:0
衝突(Collisions):0 TXキュー長:100
RX bytes:1464 (1.4 Kb) TX bytes:548 (548.0 b)
割り込み:11 ベースアドレス:0x9400
ppp0 リンク方法:Point-to-Pointプロトコル
inetアドレス:***.***.***.*** P-t-P:***.***.***.*** マスク:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1454 Metric:1
RX packets:4 errors:0 dropped:0 overruns:0 frame:0
TX packets:3 errors:0 dropped:0 overruns:0 carrier:0
衝突(Collisions):0 TXキュー長:3
RX bytes:40 (40.0 b) TX bytes:30 (30.0 b)
ってなってます。
0467login:Penguin02/12/25 10:53ID:W2lR38ei
>>460 初期化のところにiptables -F -t natが入ってないので、なんかnat操作するときに更新できなくて困った
0468login:Penguin02/12/25 11:01ID:W2lR38ei
>>466 ますフィルターをとりあえず全部初期化してはずしてできるか試してみたら？
# /sbin/service iptables stop
# iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
# echo 1 > /proc/sys/net/ipv4/ip_forward
だけだとつながりますか？(RedHat系のコマンドだが若干違うかも）
0469login:Penguin02/12/25 11:02ID:W2lR38ei
>>453 大変参考になりました。ありがとうです^^
047046402/12/25 11:32ID:wMDDvDbB
>>468
アドバイスありがとうございます。

# iptables -t nat -L　が次のようになっていて、
他のテーブルはすべて空の状態です。
target=MASQUERADE prot=all opt=--- source=anyware destination=anyware
NATテーブルのポリシーはACCEPTです。

この状態でWin側からやってみましたがダメでした。
となるとやはりiptablesの設定の問題ではないのでしょうか。。。

Win側は、DHCPオフで192.168.0.2/255.255.255.0を割り当て、
デフォルトゲートウェイは空欄、
DNSサーバはプライマリ/セカンダリともに空白指定にしてます。
0471login:Penguin02/12/25 11:55ID:W2lR38ei
ん？デフォルトゲートウェイは、192.168.0.1 いれないとそりゃ外でないですよ
192.168.0.1にping はとおるけど
DNSは特に必要じゃないけどプロバイダのDNSいれたほうがいいかと
Linuxでnamed立ち上げてるなら192.168.0.1でよろしいかと
047246402/12/25 12:14ID:wMDDvDbB
>>471
素早いレスありがとうございました。

今までWin2000をサーバにしていたので、あそこは空欄でいいものだと思ってました。。。
変更したところ、上の最小マスカレード設定でちゃんと動きました。
そこで、>>460のスクリプトを実行したところ、ちゃんとルーティングされました。

適切かつ迅速なレスありがとうございました。
これから内部からPingが通るように設定してみたいと思います。
047345902/12/25 13:15ID:XgvuCFk4
たとえば、61.32.0.0～61.55.255.255をブロックしたい場合は

$IPTABLES -A INPUT -s 61.32.0.0/61.55.255.255 -j DROP

でいい？
0474login:Penguin02/12/25 16:21ID:W2lR38ei
>>473
ぁーちげー
後ろはサブネットマスクだから計算面倒だな
61.32.0.0/255.232.0.0
だと思う。ってあってますか？
http://www.rtpro.yamaha.co.jp/cgi-bin/ip-addressでしらべたんで大丈夫かと
なんかサブネット計算するソフトって無かったかなこの記述がダメだったら
255.232.0.0→FFE80000(16進)→11111111111010000000000000000000(2進）だから厳密にできないから
61.32.0.0/12 と　61.48.0.0/13 の両方で指定するしかないと思う

0475login:Penguin02/12/25 16:28ID:W2lR38ei
http://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
>-s, --source [!] address[/mask]
>送信元の指定。 address はホスト名・ネットワーク名・通常の IP アドレスのいずれかである。 mask はネットワークマスクか、ネットワークマスクの左側にある 1 の数を指定する数値である。
と書いてあるから /xx 形式じゃなくとも大丈夫ぽいな　でもせっかくだから
ちなみに /24 は頭に1が24個並ぶつー意味で
11111111111111111111111100000000(2)
FFFFFF00(16) 255.255.255.0 でクラスC という意味だと
0476プロマー(´∀`) ◆PV/ot0p.GE 02/12/26 00:10ID:OrCo0/lP
質問です。
iptablesでルータにしてるのですが、
table full　となって、それ以上の接続不能になってしまいます。
赤帽7.3を使っていて、インターネット上にサーバー公開しており、
物凄い数のアクセスが来てるのが原因なのはわかります。
ぐぐったのですが、iptablesの限界数の設定ファイルや
NATテーブルエージング時間の設定をどこでするのか
さっぱりです。

緊急なんです・・
よろしくお願い致します。
0477login:Penguin02/12/26 00:20ID:XkyiKvwm
>>476
> 緊急なんです・・
ML に流すか、RedHat にサポートたのめう゛ぁ～
0478login:Penguin02/12/26 00:40ID:Wk/oBUkH
>>476
エロサイトの運営も大変だねぇ。
アクセスが来たせいで table full て事は ip_conntrack か?
モジュールのパラメータに hashsize= ってのがある。増やしてみたら?
デフォルトでは
/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
らしい。
0479プロマー(´∀`) ◆PV/ot0p.GE 02/12/26 01:17ID:OrCo0/lP
>>478
ありが㌧ございます(*´д｀*)
さらにいろいろがんばってみます。

今日も寝れない・・・
0480login:Penguin02/12/26 03:44ID:CMdKHkLG
>>417
激しく遅レスですが、

各ユーザ定義チェーンの最後で
iptables -A hogehoge -j RETURN
して、呼び出し元のチェーンに戻してやればいいのでは？

048145902/12/27 12:50ID:XXL90zS7
>>474-475
遅くなったけどサンクス。

$IPTABLES -A INPUT -s 61.32.0.0/13 -j DROP
$IPTABLES -A INPUT -s 61.40.0.0/14 -j DROP

つまりこーいう感じでいいの？
0482プロマー(´∀`) ◆PV/ot0p.GE 02/12/28 01:09ID:bKCkFk06
>>481
突っ込んでいいのかわからないけどそれだと
bash: IPTABLES: command not found
0483login:Penguin02/12/28 01:14ID:TbZlqDCY
（　ﾟдﾟ）ｿﾘｬｿｳﾀﾞﾛ
0484login:Penguin02/12/28 11:21ID:TJnVkPiu
>>482
俺はお前につっこんでいいのかがわからんわけだが…。

set IPTABLES /sbin/iptables
0485プロマー(´∀`) ◆PV/ot0p.GE 02/12/29 19:15ID:d7ub5hCx
>>484
そういう事は先に言わなきゃ意味ないだろう
突っ込みたがり屋さん・・
0486login:Penguin02/12/29 19:56ID:7RJ8Bnji
先に言わんでも大体わかると思うが。。。
0487login:Penguin03/01/08 07:36ID:RFSdginG
hozen
0488IP記録実験03/01/08 21:18ID:/8k1w3wQ
IP記録実験
http://qb.2ch.net/test/read.cgi/accuse/1042013605/

1 名前：ひろゆき ◆3SHRUNYAXA ＠どうやら管理人 ★ 投稿日：03/01/08 17:13 ID:???
そんなわけで、qbサーバでIPの記録実験をはじめましたー。

27 名前：心得をよく読みましょう 投稿日：03/01/08 17:20 ID:yL/kYdMc
SETTING.TXT管轄でないということは全鯖導入を視野に、か？

38 名前：ひろゆき ◆3SHRUNYAXA 投稿日：03/01/08 17:22 ID:rLfxQ17l
>>27
鋭いです。

73 名前：ひろゆき ◆3SHRUNYAXA 投稿日：03/01/08 17:27 ID:rLfxQ17l
＞ところで、IPが抜かれて何か今までと変わることってあるのでしょうか？
・今までより、サーバが重くなる。
・裁判所や警察からの照会があった場合にはIPを提出することがある。
0489login:Penguin03/01/09 02:36ID:OE9qTNVA
「2chでは裏でIP記録されています。IPを抜かれたくなければ
セキュリティガードに…」

というコピペを流行らせる会　会長↓
0490login:Penguin03/01/09 03:20ID:1ohfXlXy
俺はローカルIPだから大丈夫。
0491login:Penguin03/01/09 04:09ID:ispmrJFO
test
0492login:Penguin03/01/14 16:58ID:4mD8gZwO
.
0493login:Penguin03/01/14 23:32ID:S3tRlq8t
ほしゅ

ethポート3つでDMZやってるﾔｼはおらんかね？

DSLﾓﾃﾞﾑ
─■───■─□ HUB/local_IP
..　　　　　　　│
..　　　 　鯖B□
0494login:Penguin03/01/14 23:44ID:XcRGP28W
>>493
ルータPCが乗っ取られたらおわりじゃん。
0495login:Penguin03/01/15 01:19ID:ojatjaa4
>>494

ｲﾀﾀﾀ
痛いところをつかれますた

ルーター用にLinux/iptablesを使うのはﾀﾞﾒぽ？
0496login:Penguin03/01/15 04:22ID:XSm4pQLF
>>495
iptablesを使って構築しているけど、DMZを設けるにはルータ2台設置して
local側のルータは応答パケット以外は全てはじくようにする。

DMZ機能を備えた市販ルータは使ったことないけど、まぁ、あれはルータ専用機
でそれが外部から乗っ取られる事はない。ということで、eth3ポートで簡易DMZなんて
いっても、まぁぃぃか...ってレベルじゃねぇの?
0497山崎渉03/01/15 11:19ID:wo7m90to
（＾＾）
0498login:Penguin03/01/23 08:38ID:TCMx+15M
>>496
漏れなんか簡易も簡易、ブロードバンドルータについている「仮想」DMZ機能使ってるよ。

-----[Router]----HUB----LAN (192.168.100.0/24)
　　　　　　　　　　　　　|
　　　　　　　　　　　仮想DMZ (192.168.200.0/24)

アドレス上で別のネットワークに隔離するだけなんだけどね。
0499login:Penguin03/01/23 10:11ID:0zXA7Q1Y
>>498
えっ～ッ!! BBルータの簡易(仮想)DMZって専用のethポートがあるのではなくて
ネットワークアドレスを切り分けるだけなの?
それじゃぁ、DMZにあるPCが乗っ取られて、LANと同じネットワークアドレスを
足されたらLAN丸見えになるやん。
0500login:Penguin03/01/24 00:10ID:xTlTJEfZ
>>499
BB は知らない。
NEC の Aterm HB7000 だっけ、無線 LAN 使えるやつ。
でもほかの普及価格帯のブロードバンドルータも同じようなものだと思う。
マイクロ総合研究所のもコレガのも。

だから、DMZ にある PC は乗っ取られないようにしないとだめ。
ただしまぁ MAC アドレスフィルタリングをしておけば
NIC のドライバ（つーか、カーネルモジュール）をいじられない限りは安泰かと。
まぁそもそも「簡易」だし、仕方ないよね。

当然ながら DMZ にあるものは直接外部にさらしているのと同じくらい
セキュリティに注意を払いましょう、ってことで。
0501login:Penguin03/01/24 21:31ID:MAcyOm2E
質問です。
PREROUTING の DNAT でパケットの送信先を書き換えた後、
FORWARD で同じパケットをフィルタリングしたいのですが、うまくいきません。
下のようなルールで試してみたのですが、FORWARD をうまく通過してくれないみたいです。

iptables -A PREROUTING -t nat -i 外部 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1
iptables -A FORWARD -i 外部 -d 192.168.0.1 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 192.168.0.1 -o 外部 -p tcp --dport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT

この場合、どのようなルールを書くべきなのでしょうか？
ご存知の方よろしくお願いします。
あと、PREROUTING で REDIRECT した場合も FORWARD を通るみたいなのですが、なぜなんでしょう？
0502login:Penguin03/01/24 22:35ID:+RZvTsSu
eth0:1みたいなバーチャルアダプタを作ってみてはいいんでないかと...。
http://www.atmarkit.co.jp/flinux/rensai/security03/security03a.html
0503login:Penguin03/02/01 19:00ID:Qrv76FuE
素敵なスレデスネ

有線ブロードでPCルーター導入してらっしゃる方はおられますか？
0504login:Penguin03/02/06 18:54ID:vF9ns+h/
>>503 rp-pppoe
0505login:Penguin03/02/06 19:20ID:digv+HvF
　　　______________
　／:＼.＿＿＿_＼
　|:￣＼(∩´∀｀)　＼　　＜先生！こんなのがありました！
　|:在　 |:￣￣ U￣:|
http://saitama.gasuki.com/wara/
0506login:Penguin03/02/07 21:29ID:+S0+AiM8
iptablesでログとってたら、こんなパケットが来るんですけど、これってどういうこと？
踏み台にされてるってことなんでしょうか？
怖くって夜も眠れません。おせーて下さい。
ちなみに
ホスト名=my_nat_box
ホストIP=aaa.bbb.ccc.ddd です。

Jan 18 04:37:31 my_nat_box kernel: Bad packet : IN=eth0 OUT= MAC=00:01:03:3a:83:67:00:01:30:30:a9:00:08:00
SRC=64.14.xx.xx DST=aaa.bbb.ccc.ddd LEN=56 TOS=0x00 PREC=0x00 TTL=47 ID=65443 PROTO=ICMP TYPE=3 CODE=1
[SRC=aaa.bbb.ccc.ddd DST=64.28.xx.xx LEN=60 TOS=0x00 PREC=0x00 TTL=50 ID=21593 PROTO=TCP INCOMPLETE [8 bytes] ]
0507login:Penguin03/02/08 17:01ID:K1kYTek9
ircd立てたんだけど。

iptablesに追加する記述は

$IPCHAINS -A input -p tcp --sport $reph_port --dport 6668 -j ACCEPT

modprobe ip_nat_irc

で合ってまふか？
0508login:Penguin03/02/08 18:44ID:bDMqiyth
>>506
ICMP TYPE=3 CODE=1
って出てる通りだと思うが...。
0509login:Penguin03/02/08 19:12ID:9j36Pi8v
まぁ、>>506は「IP抜くぞｺﾞﾙｧ」てしか言った事ないからICMPが分かんないんだろうな。
てかType=3 Code=1てことは、
【みずから相手へ接続しに行ったにも関わらず、】 Host Unreachableだったってことだな。
偽装かも知れないけど。
051050703/02/08 20:12ID:K1kYTek9
うぉ。$IPCHAINSではなくて

$IPTABLES -A INPUT -p tcp --sport $reph_port --dport 6668 -j ACCEPT

ですた。
あってまふか？
0511login:Penguin03/02/10 22:27ID:v/Zhu9h2
>>508,509
いや、それは調べたらすぐわかったんですが、聞きたかったのは、
２行目までは納得できるが、３行目の[SRC=aaa.bbb.ccc.ddd... 以下はどういう意味なのか、
つまり、どうしてmy_nat_boxから64.28.xx.xxへのパケットがここに記録されてるのか、
そして全体としてどういう挙動をした結果なのか、ってことだったんですが。
自分なりに解釈するに、
my_nat_boxから64.28.xx.xxに対してTCPで接続しようとしたけどできなくって、
64.14.xx.xxから、届かねーよ、って言われてしまったってことなんでしょうか？
厨な質問かもしれませんが、教えてください。

、、、というかよく考えたらicmpで踏み台にされてるなんてこと言う自体おかしいよな、、、
パケットと共に逝って来ます。
0512login:Penguin03/02/11 21:40ID:/R0QrMGr
>>511
以下、勝手な想像のお話。
64.28.xx.xxにアクセスしたところ、そのサイトは落ちてた。
64.28.xx.xxはどっかのホスティングサービスからドメインサービスみたいなのを受けてたから
そのホスティングサービスのDNS（64.14.xx.xx）からとどかねーよとpingを打ってきた。

まあなんにしても有害じゃないから無問題。
0513login:Penguin03/02/13 14:24ID:lAbKIMnb
>>512
ありがとーございます。
これで枕を高くして眠れます。

というか漏れは大学の研究室でIPたらねーからNAT作れや、
ってことで情報系でもない単なる理系の学生にもかかわらず
何にもわからんままネットワーク管理やらされてるんですが（しかもほぼ無償で）、
漏れみたいな奴ってけっこういたりするんのかな？
企業とかではそんな話聞いたりするけど、アカデミックなとこではどうなんだろ？
まあ、自分としては就職するときの足しにはなるかなーとか思って割り切ってやってますが、、、
051432003/02/13 16:27ID:WqKfN1ey
■■わりきり学園■■

コギャルから熟女まで

素敵な出会い

ゲイ、レズビアンなどコンテンツ豊富

http://kgy999.net/








0515login:Penguin03/02/13 21:22ID:+FvEvpXl
(･A･)ｲｸﾅｲ!!
0516login:Penguin03/02/14 14:36ID:McfPgr+V
>>392->>395などを参考に、Linuxルーターを構築して、
その上にsshdなどを走らせているんだけど、どうも外からサーバーにアクセス出来ない。

iptables -A INPUT -p tcp --dport ssh -j ACCEPT

ではダメなのでしょうか？
0517login:Penguin03/02/14 15:05ID:JXoHIcrw
>>516
全通しなら接続できるか？
051851603/02/14 16:30ID:McfPgr+V
>>517
出来ます。
そして参考までに、LAN内から192.168.1.1とやってもアクセス可能です。
0519login:Penguin03/02/14 21:21ID:lC/+3aZy
アンギーナだうんたうん
アンギーナだうんたうん
0520login:Penguin03/02/15 01:26ID:YSq6JYB1
>516
sshの待ち受けポートは変更していますか？

/etc/sshd.config or /etc/ssh/sshd_config　
# This is the sshd server system-wide configuration file. See sshd(8)
# for more information.
Port 22
↑
22以外にしたとか？

全通しで外部から繋がるんだよね？

iptables -A INPUT -p tcp --dport ssh -j ACCEPT
でsshのポートは開いてるから繋がるはずだけど。

iptablesの設定ここに載っけてみれば？
052151603/02/15 09:36ID:kRzrVtMY
>>520
感謝。iptablesの設定は間違っていなかったみたいで、モデムの調子が悪かったみたいです。
無事繋がるようになりました。お手数かけて申し訳ありません。
親切にレスして戴き、誠に有り難う御座います。
0522login:Penguin03/02/26 10:36ID:CMwAzlZR
ﾆﾔﾆﾔ(･∀･)
0523arisa ◆QaHT6HayjI 03/02/27 20:59ID:F7sUmhVb
RedHatなんかで、/sbin/service iptables saveなんかして再起動すると

modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

が無効になってしまうのだが、本来どこに書くべきもの？
/etc/modules.confにかいてみたんだが記述がおかしいのか、うまくいかず。

とりあえず /etc/rc.d/init.d/iptables の start() のとこに書いたんだけど...
なんかそれもスマートじゃないような気がするんですが。みなさんどうしてるんでしょう

0524login:Penguin03/02/27 22:20ID:Q6JAmN1p
# /etc/rc.d/rc.local
に記述でいいんでない？
うちはそうしてるけど。
0525arisa ◆QaHT6HayjI 03/02/28 09:58ID:MDZOa6hQ
>>524 そんなんでいいんですか。ふむ。
どもです。
0526login:Penguin03/02/28 11:19ID:+2rnv6Bw
スンマセン、レンタルサバ(専用)のiptablesの設定についてご存知の方
いたら教えて下さい。
今度レンタルサバ(専用)を借りようと思うんですがファイアーウォール
をどうすればいいのか悩んでいます。
今、フレッツADSLでインターネットに接続していて、サーバーを借りたらsshで
操作することになるんですが、iptablesはどういうふうに設定したらいいでしょうか？
私なりに少し調べてみると特定のIPアドレス以外ははじくように設定するようです。
しかし、私のほうは固定IPではありません。(もちろんレンタルサバは固定IPです。)
もしかして、レンタルサバの場合は設定しないものなのでしょうか？
それとも、こちらの方でたとえば、固定IPをもらえるようなサービスに
加入するべきなのでしょうか？どこかに設定例はないでしょうか？
ちなみに、動かしたいサーバーは、apacheとpop3とsshです。
0527arisa ◆QaHT6HayjI 03/02/28 12:57ID:MDZOa6hQ
80と110と22をあけときゃいいんじゃ。あとDNS
最初っからフレッツを固定IPにして、相手を特定させて制御すんやったら、自宅に最初っから立てたほうがいいような
なにやるか知らんけど。
今の自分の環境で、鯖たてて設定してみたら何が疑問なのかよくわかると思う
052852603/02/28 14:05ID:da8Ehn60
>>527さん、レスありがとう!!!
前に共用鯖借りてたことはあるんですが、専用は初めてです。
写真関係のサイトを開きたいんですが、ポートの22をそのままでいいのか？
と悩んでいます。
私は非固定IPなので、sshが(ユーザー名とパスワードを入れれば)
誰でもアクセスできる状態(ipアドレスでフィルタリングとかしないで)
で起動していないと私自身が操作できないと思います。
しかし、それでは、rootを乗っ取られないか不安です。
(もちろん、8桁とかのパスワードを破るのは困難だとは思いますが。)
サーバーについての本にはファイアーウォールについての解説は
必ずありますが、どれもローカルのネットワークを防御（IPアドレスで
フィルタリング）するための設定のようで、レンタル鯖はどうすれば
いいのかよくわからないです。
「必要なサービスだけ起動してファイアーウォールは設定しない」で
いいのか、他のみなさんはどうしてるのか、もし、おなじような方が
いらっしゃれば教えていただけないでしょうか。
それと、バーチャルホストとかは今のところ考えてないんですが、
（いずれはやりたいんですが、）dnsもやっぱり必要ですか？
0529login:Penguin03/02/28 18:20ID:rWNpekd8
>>528
iptablesではなく、SSHのほうのセキュリティを強化するのでは?
http://unixuser.org/~euske/doc/openssh/jman/
http://www.momonga-linux.org/docs/OpenSSH-HOWTO/ja/
053052603/02/28 19:55ID:7GW2XcVR
>>529さんレスありがとう!!!
先程見つけたのですが、AT-LINK(ttp://www.at-link.ad.jp/topics/t75.html)
さんのページによると、非固定IPにはあまりむいてないらしいですね。
自宅サバというわけにもいかないし、金欠な私としては固定IP取るのは
最後の手段として、ご指摘のsshの強化をまずは図ろうと思います。
前に共用サバでteraterm pro + ttssh を普通のパスワード認証で
つかってたんですが、やっぱりもう一段上のセキュリティが求められますよね。
とりあえず、RSA認証を使おうと思いPortfowaderをダウンロードしてみました。
家庭内LANで使い方を確認してみます。
0531arisa ◆QaHT6HayjI 03/02/28 21:25ID:MDZOa6hQ
>>528 とりあえず、自分がプロバイダが使っているIPアドレスをwhoisでしらべてアクセス解除すればいいかと。
同じプロバイダの人にのっとられたらおしまいだけど。それでも特定はしやすいはず。
プロバイダが違うIPを使い始めたら、大変だけど。

dyndns.orgとかのダイナミックDNSで自宅でとりあえず立ててみたほうがはやいんじゃ。

恥ずかしい話ですが、俺はsendmailとかpopとかのどっかのバグをついて一般ユーザ取得され、crontabのバグで/etc/passwd書き込まれroot権限を取得され、バックドアを埋め込まれたことがある。
がんばってください(^^
0532login:Penguin03/03/02 01:36ID:HjoPuIlJ
port0 も含めて winny や winmx を使えなくするためにはどうすればいいのでしょうか？
iptables -t nat -A PREROUTING -p TCP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A POSTROUTING -p TCP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
iptables -t nat -A POSTROUTING -p UDP -i ${INSIDE_DEVICE} --dport 5001:65535 -j DROP
ではつながってしまいます。
053353203/03/02 01:40ID:HjoPuIlJ
下げていたので、ネタだと思われないように上げさせて頂きます
0534login:Penguin03/03/02 01:44ID:CAWmzrZC
>>532
port0を防ぐのはかなり難しいかと。
まぁパケットの中身を覗いてドロップするようにすればいいんだろうけど。
053553203/03/02 07:49ID:nnMsHX3N
DMZ を作ってやって P2Per のネットワークを DMZ に入れて

iptables -t nat -A POSTROUTING -o ${OUTSIDE_DEVICE} -j MASQUERADE

# Keep state. (for DMZ)
iptables -A FORWARD -m state --state NEW -i ${DMZ_DEVICE} -j ACCEPT

# We don't like the NetBIOS and Samba leaking. (from DMZ)
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --dport 135:139 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${DMZ_DEVICE} --dport 137:139 -j DROP
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --dport 445 -j DROP
iptables -t nat -A PREROUTING -p UDP -i ${DMZ_DEVICE} --dport 445 -j DROP

# Accepting packets between Inside and DMZ
# And also, DHCP, but we can basically accept anything from the inside. (for DMZ)
iptables -A INPUT -i ${DMZ_DEVICE} -j ACCEPT
iptables -A OUTPUT -o ${DMZ_DEVICE} -j ACCEPT
#
# no more P2P
iptables -t nat -A PREROUTING -p TCP -i ${DMZ_DEVICE} --sport 1024:5000 --dport 1024:65535 -j DROP

これである程度は防げるでしょうか？
0536X03/03/02 08:43ID:CuJV9s6H
ドリームパートナー募集中！
今話題のYahoo! BB、BBフォンの販売にご協力下さい。
販売には特別な知識は必要ありません。
魅力的な報酬プランご確認の上、お気軽にご参加下さい。

http://join.dreampartner.jp/mmd/bb/index.html

053753203/03/02 17:32ID:J+le5ZXI
DMZ を使うと floppyfw を通して pppoe を使ってアクセスできないし
192.168.*.0/24 の tcp 1024:5000 -> 1024-65535 を塞ぐと内部の webserver が心配
他のクライアントの ICQ 等 port 5000 以上にアクセスするアプリケーションがうまく動かず・・・・

Portsentry か traffic control あたりが妥当なのでしょうかね・・・
0538login:Penguin03/03/03 05:14ID:FVqSiigj
>532さん なんか読んでいたら激しくproxyなどおいて内部から制限しまくるような感じのほうが簡単に思えてきた
スマソ、漏れには理解できんかった（ｘ
0539login:Penguin03/03/03 10:37ID:+bZRMqKa
internet <-> ルーター <-> Linux <-> LAN という構成になってます。
外部に公開したいのは「ssh www ftp」、外部からの「netbios」は破棄
というように書いてみたのですがいかがでしょうか？
icmpは公開、非公開どちらがいいでしょう？

■構成
internet <-> [192.168.0.1] <-> [eth0 192.168.0.10 / eth1 192.168.1.1] <-> LAN
-----------------------
#!/bin/sh
IF_BAD='eth0'
IF_LAN='eth1'
IP_BAD='192.168.0.10'

iptables -t nat -A POSTROUTING -o $IF_LAN -j MASQUERADE

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $IF_BAD -j ACCEPT

iptables -A INPUT -j DROP ! -i $IF_LAN -s 192.168.1.0/24
iptables -A INPUT -j DROP ! -i lo -s 127.0.0.1/255.0.0.0
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#iptables -P INPUT -p icmp -d $IP_BAD -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport ssh --dport ssh -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport ftp --dport ftp -j ACCEPT
iptables -A INPUT -p tcp -d $IP_BAD --sport www --dport www -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ns -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-dgm -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ssn -j DROP
0540login:Penguin03/03/03 10:37ID:+bZRMqKa
age忘れました。ごめんなさい。
0541532 03/03/03 15:32ID:X/dSPuIW
くだ質スレなどで聞いてみます。失礼しました
054253903/03/03 21:44ID:+bZRMqKa
>>539
結局このような感じにしてみました。
----------------------
#!/bin/sh
IF_BAD='eth0'
IF_LAN='eth1'
IP_BAD='192.168.0.10'
IP_MAIN='192.168.1.66'

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o $IF_BAD -j MASQUERADE

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $IF_LAN -j ACCEPT

iptables -A INPUT -j DROP ! -i $IF_LAN -s 192.168.1.0/24
iptables -A INPUT -j DROP ! -i lo -s 127.0.0.1/255.0.0.0
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -i $IF_BAD --dport ssh -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport ftp -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport www -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport https -j ACCEPT
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ns -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-dgm -j DROP
iptables -A INPUT -p tcp -i $IF_BAD --dport netbios-ssn -j DROP
0543login:Penguin03/03/06 11:01ID:/yoUtsQA
1台のＰＣにNICを3枚挿すといった、セキュリティ上好ましくない環境でDMZとLANを適切にフィルタリングしたいです。
環境はPPPoE接続のフレッツＢで、固定ＩＰを8個割り当てるサービスに加入しています。eth2がWAN側、eth1がLAN側、eth0がDMZ側でeth1とeth2は共にスイッチングHUBに接続されています。
まずLAN側をフィルタリングしようとしているのですが、思ったとおりにいきません。
LAN側からはWebサイトの閲覧、IRCの利用（ファイル送信は利用しません）、FTP(PASVモード）の利用だけです。
# iptables -t nat -F
# iptables -F
# iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
# iptables -P FORWARD DROP
# iptables -P OUTPUT ACCEPT
# iptables -P INPUT ACCEPT
# iptables -A FORWARD -s 192.168.0.0/24 -i eth1 -j ACCEPT
# iptables -A FORWARD -p tcp --tcp-flags ACK ACK -j ACCEPT
# iptables -A FORWARD -p tcp --tcp-flags FIN FIN -j ACCEPT
# iptables -A OUTPUT -d 10.0.0.0/8 -o ppp0 -j DROP
# iptables -A OUTPUT -d 172.16.0.0/12 -o ppp0 -j DROP
# iptables -A OUTPUT -d 192.168.0.0/24 -o ppp0 -j DROP
# iptables -A FORWARD -d 10.0.0.0/8 -o ppp0 -j DROP
# iptables -A FORWARD -d 172.16.0.0/12 -o ppp0 -j DROP
# iptables -A FORWARD -d 192.168.0.0/24 -o ppp0 -j DROP
以上のように設定し、YahooやGooなどを閲覧しようとしたのですが、閲覧できませんでした。
iptables -P FORWARD ACCEPTにすれば正常に繋がります。
間違いなどがありましたら、教えて下さい。
0544login:Penguin03/03/06 11:43ID:9RaAHbuu
>>542
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type echo-reply -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type source-quench -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp -i $IF_BAD --icmp-type parameter-problem -j ACCEPT
0545login:Penguin03/03/06 13:52ID:vlZJDKef
NO-IPを使って、Yahoo!BBで鯖を立てています。
ファイヤーウォール兼ＷＥＢサーバという役割なのですが、
いろいろ読んで以下のように設定したのですが、うまくいきません。
１）
iptables -N pass
iptables -A pass -d 192.168.1.1 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD 1 -j pass
２）
iptables -A INPUT -i eth1 -p tcp --dport 80 -j ACCEPT
３）
iptables -A INPUT --dport www -m state --state NEW -j ACCEPT
ＯＳはRedHatLinux8です。
eth1側にYahoo!BBの回線が直接来ています。
eth0側（LAN側）からはインターネットに接続できます。
ipchainは削除しました。
どのような原因が考えられますか？？
0546login:Penguin03/03/06 14:48ID:YBHS0zHd
>>545
読め。
ttp://tlec.linux.or.jp/docs/iptables.html
0547login:Penguin03/03/06 14:59ID:4EeogfXU
ウェブサーバを立ち上げているマシンで2chに書き込みたいのですが、
ポート80があいていると2chに書き込めません。
2chな鯖からのリクエストだけシカトするには
iptables -A INPUT -p TCP -s ????? -dport 80 -j DROP
の????? に何を書けばいいんでしょう。
まさか2chの鯖を一個ずつ調べて全部明示的に指定しないと逝けないとか?
0548login:Penguin03/03/06 16:09ID:9vr75bJV
80番以外でwwwサーバー
0549login:Penguin03/03/06 16:09ID:2A8mfYc6
それで？
0550login:Penguin03/03/06 16:17ID:9vr75bJV
それだけ
0551login:Penguin03/03/06 16:31ID:K+/Q6K/e
>>547
はじくならこのへんとか?
http://pc.2ch.net/test/read.cgi/sec/1044637380/5-6n

ていうか、うちもそういう話を聞いてて対策しなきゃと思ってたんだけど、
80番開けてても書きこみできてる。
なにがちがうんだろう? 80番空いてるのはルータ兼用機だけど。
0552login:Penguin03/03/06 17:11ID:YBHS0zHd
>>551
うちもそうだ。

1台からCATVとフレッツISDNで、両方の80番からWebに
アクセスできる。内部マシンはCATV側から出るように
してある。
0553login:Penguin03/03/06 22:54ID:xqbeKUj/
o
0554login:Penguin03/03/06 22:57ID:CIyATmJr
>>545
とりあえず何がどう上手くいかんのかかかんと
どうしようもないと思うぞ。

あと、よくわからんのなら全部張ってみ。
0555login:Penguin03/03/07 08:14ID:jqqlLe40
>>548-552
カムサハムニダ。
>>548
ユーザに foo.bar:81 と入力させるのがウザイのでそれては桑名の焼き蛤とさせて頂きます。
>>551
鯖のリストがあるなら随時それを入れ替えればいいですね。
>>551>>552
会社(Flets ADSL の固定 IP サービス + アライドテレシスの CentreCOM AR220E) だと撥ねられるが
自宅(Yahoo! BB + Debian GNU Linux) だと80番開けてて Apache で listen していても
書き込めます。この話題に関するもっと適切なスレありますか?
0556login:Penguin03/03/07 10:31ID:cJOiYAeR
WAN--Linux---HUB----Windowsとよくある構成の場合
FORWARD、OUTPUT、INPUTの内、INPUT以外のポリシーをACCEPTにしプライベートIPアドレスをDROPする設定をFORWARDとOUTPUTにいれればOK?
FORWARDのポリシーをDROPにしてる人いる？
0557login:Penguin03/03/07 10:48ID:Eab4izUG
>>556
ここを参考にしたので、DROP でつ。
http://www.geocities.co.jp/SiliconValley-Cupertino/9120/firewall.html
0558login:Penguin03/03/07 13:13ID:1uT/topg
>>556
>>546でもDROP
0559login:Penguin03/03/09 15:12ID:XYtlPymB
ゲームなどをする時にポートフォワードが必要なものがありますがiptablesでは
iptables -t nat -A PREROUTING -p tcp --dport ポート番号 -i ppp0 -j DNAT --to 192.168.0.2
として、そのゲームをプレイするローカルのコンピュータのＩＰアドレスを指定しますが、192.168.0.2のＰＣと192.168.0.3のＰＣの2台で同時に同じゲームをプレイする事はできるのでしょうか？
0560login:Penguin03/03/09 20:25ID:QuvhghEb
RedHat8.0でsamba鯖立てたんですが、それ以来linux機のport445
向けにやたらとアクセスがあります。
(samba鯖を立てるのと同時にlan内のwindows2000のファイル/プリンタ
の共有をonにしました)

dport または sportが137,139,445番のものは外に出て行かない
設定(outputチェーンとforwadチェーン)にしてあるんですが、
どうやってファイル・プリンタの共有を使っていることが外に
漏れているのでしょうか？

InterNet--Linux(ルータ、samba鯖)--Windows2k
という状態です。

#445番ポートへのアクセスはルータではじいているので
#問題は無いんですが気持ち悪くて。。
0561login:Penguin03/03/09 21:17ID:kMk9l5b4
>>560
世の中には全世界に自分のPCを公開されている方もいらっしゃるのです。
0562login:Penguin03/03/10 13:25ID:Hsw7n9Nw
>>561
あれ、じゃぁsamba機立てて以来っていうのは気のせいかなぁ

#と思ってlog確かめてみたら以前から結構ありました（鬱
#他のを一部log取らなくしたから、相対的に目立っただけみたい。
0563login:Penguin03/03/11 10:20ID:Ehfs/+kN
ポリシーを
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD ACCEPT
にしてるルータ＆サーバ機で，up2dateできるようにするには，
どのポートをACCEPTすればいいの？
0564login:Penguin03/03/11 10:22ID:Ehfs/+kN
やっぱりup2dateするときには
毎回iptablesを止めるしかないのかな？
0565login:Penguin03/03/11 23:44ID:P57qZN4D
IPマスカレードするために

# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
とすると
iptables: Invalid argument
となるんですが、何か間違ってるでしょうか？
(iptables v1.2.7a)
0566login:Penguin03/03/12 02:40ID:aCzumorg
# iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE
ではどうですか？
見当違いでしたらすみませんが。。。
0567login:Penguin03/03/12 03:10ID:prfBeMqO
saveってどこに保存してるんだよ
0568login:Penguin03/03/12 09:38ID:ND3bGnDV
FORWARD,INPUT,OUTPUTのポリシーをDROPにしてSYNフラグのたってるパケットはACCEPT、FORWARDチェインで80,53,110,25,443をACCEPTにしてるのですが、MSNメッセンジャーのポートをあけても接続できません。
iptables -A FORWARD -o ppp0 -p udp --dport 2001:2120 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 6801 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 6891:6900 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 6901 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 6901 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 3389 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -o ppp0 -p udp --dport 1503 -j ACCEPT
iptables -A FORWARD -o ppp0 -p tcp --dport 1503 -j ACCEPT
と追加したのですが、接続することができません。
他に何かしなければならないことがあるのでしょうか？
056956503/03/12 14:20ID:TnW6KHA7
>>566
> # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j MASQUERADE
かわらず、Invalid argument
0570login:Penguin03/03/12 15:09ID:5yowNZZq
test
0571login:Penguin03/03/12 15:31ID:BmzHoCqU
>>568
FORWARDってインタフェイス指定するの？
0572login:Penguin03/03/12 18:26ID:FZ//L828
iptablesを勉強するのによい本ってありますか?(日本語で)

本屋で「絵でわかるLinuxセキュリティー」という本をパラパラと
みたらiptablesの解説があったけど、それ以外で解説してある本を
見たことありません。
0573login:Penguin03/03/12 20:30ID:CW8h+DPK
>>567
/etc/sysconfig/iptables
0574login:Penguin03/03/12 20:42ID:CW8h+DPK
メッセンジャーって動的NATじゃなくて静的NATでないと出来ないんでない？

俺自身は使ってないから、わからんのだけど。
0575名無しさん＠カラアゲうまうま03/03/12 21:05ID:hPzcJVgX
ネットワークやセキュリティは日進月歩いや秒進分歩の世界なので、
本として出版してもあっという間に時代遅れになってしまいます。
雑誌で特集組むことがあると思うので、そういうのを参考にするか、
頑張ってネットで探すか、
最後の手段として＊ちゃ＊ねるで聞くといいでしょう。
0576103/03/12 21:27ID:I7tMxUJU
おまえらチンカスども、まだこんなことでごちゃごちゃやってるのかよ
進歩がねー包茎やろうどもだ
だから童貞君はいやだね
さっさとくたばれ、チンカスやろう
0577login:Penguin 03/03/12 21:40ID:cboyNL6n
>>572
ないです。
それとその本間違いが多いから買わないほうがよいですよ！
0578login:Penguin03/03/12 22:23ID:2XyrGEWk
>>572
今売りのLinuxMagazineで特集してるが・・・
0579login:Penguin03/03/13 00:47ID:8BcSDQO4
http://www.geocities.co.jp/SiliconValley-Oakland/2901/

iptablesの初期化スクリプトを作成中。
改善案きぼん。
0580login:Penguin03/03/13 03:35ID:CvrTDbSk
>>579
Webから設定できるようになるの？
058157903/03/13 06:43ID:8BcSDQO4
>>580
できるように・・・・・したいなぁ。
0582login:Penguin03/03/13 11:22ID:NuUlbm/g
ADSLモデムでつないでるでつ
LinuxBoxをルーターにしつつWeb鯖にしたいでつ
おまいらのおすすめのiptablesおせーろや！おながいしますお代官様～ぁ
0583login:Penguin03/03/13 11:23ID:NuUlbm/g
ついでにNIC2枚なのでローカルIP振ってマスカレードさせたいんです…｡･ﾟ･(ﾉД`)･ﾟ･｡
0584login:Penguin03/03/13 11:44ID:HSLr/kVv
>>582-583
>>1-581
0585login:Penguin03/03/13 13:02ID:NuUlbm/g
でけたでけた　>>584　ってかこの>>1はどこいっちゃったんだろう…
0586山崎渉03/03/13 16:26ID:sbQU2y5R
（＾＾）
0587login:Penguin03/03/13 19:23ID:oP0VE8Dk
2箇所の離れたLAN同士をSSH使ってＶVPN構築しました。
PPP接続されたマシン同士はPing通りますが
その他マシンへ一切アクセスできません。なぜでしょう。
0588login:Penguin03/03/13 19:58ID:RWF2N4O5
ほーら、はーるさきこーべにー
みーにみーにーみにきてーねっ
ひーだまーり、かげろっおう
ゆーらゆーら、はるのゆーめ
0589login:Penguin03/03/14 22:33ID:5+fozj0J
>>587
（ﾟ∀ﾟ）ルーティング追加すりゃいいじゃん？
iptables関係ないべ？
0590login:Penguin03/03/15 00:25ID:Bx6SnnUJ
eth0がLAN側で、
eth1がルーターに繋がっているLinixホストで、
LAN側のWindowsからインターネット上のフリーメールの
pop3に接続するのには、どんな設定したらいいでしょう？

現在、こんな風ですが、DNSはなんとか引けて、squidでなら
ホームページは読めるのですが、メールが受信できません。

059159003/03/15 00:26ID:Bx6SnnUJ
EXTIF="eth1"
ANY="0.0.0.0/0"

LOCALIF="eth0"
LOCALNE="192.168.1.0/24"
MYHOST="192.168.1.1"

# 初期化
/etc/init.d/iptables stop

##### すべてのルールを削除する #####
/etc/init.d/iptables stop

##### すべてのルールを削除する #####
/sbin/iptables -F INPUT
/sbin/iptables -F FORWARD
/sbin/iptables -F OUTPUT

##### すべてのアクセスを拒否する #####
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P PREROUTING DROP
/sbin/iptables -P POSTROUTING DROP

059259003/03/15 00:26ID:Bx6SnnUJ
# LAN側からの入力、ループバックへの入力を無条件に許可
/sbin/iptables -A INPUT -i $LOCALIF -s $LOCALNE -j ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT

# 内部から発生した接続に関連するパケットを許可
/sbin/iptables -A INPUT -i $EXTIF -m state --state ESTABLISHED,RELATED -j ACCEPT

/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
0593login:Penguin03/03/15 02:52ID:xci716Xt
FORWARDに穴開けないとMASQUERADEが動けない。
さらに echo 1 > /proc/sys/net/ipv4/ip_forward を確認。

/sbin/iptables -P PREROUTING DROP
/sbin/iptables -P POSTROUTING DROP
はtable違いで意味なし。っていうかエラー出ない？

どっかからサンプル拾って来て手直しするのが早いんでないかと。
がんばて。
0594login:Penguin03/03/15 20:36ID:nzpsL4hj
ここを参考に作りました。
他の人の参考になるかもなので晒しときます。
#もし穴があったら指摘キボンヌ

#!/bin/sh

#################
#### 初期設定

#### アドレスのaliasを設定
IPT="/sbin/iptables"
MP="/sbin/modprobe"
LAN="192.168.3.0/24"
LOCAL="127.0.0.0/8"

#### テーブルの初期化。
$IPT -t filter -F
$IPT -t filter -X
$IPT -t nat -F
$IPT -t mangle -F

#### policy を全て DROP にする。
$IPT -P FORWARD DROP
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT

#### module を組み込む
$MP ip_nat_ftp
$MP ip_conntrack_ftp

0595login:Penguin03/03/15 20:38ID:nzpsL4hj
##################
#### 目的別チェーンの作成
### chain to LOG ant then DROP
$IPT -N LOG_AND_DROP
$IPT -A LOG_AND_DROP -j LOG --log-level warning --log-prefix "iptables:" #-m limit
$IPT -A LOG_AND_DROP -j DROP
$IPT -A LOG_AND_DROP -j RETURN

#### chain for the packet from WAN
$IPT -N WANIN
#とりあえず問答無用でDROPな奴
$IPT -A WANIN -s 192.168.0.0/16 -j DROP
# 接続が確立しているパケットは許可する( but limit not well-known ports)
$IPT -A WANIN -p tcp --dport 1024: \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -p udp --dport 1024: \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -p icmp \
-m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A WANIN -j RETURN

059659403/03/15 20:38ID:nzpsL4hj
#### chain for the packet to WAN
$IPT -N WANOUT
# SMB プロトコルが外に洩れない様にする。
$IPT -A WANOUT -p tcp --dport 137:139 -j DROP
$IPT -A WANOUT -p tcp --sport 137:139 -j DROP
$IPT -A WANOUT -p udp --dport 137:139 -j DROP
$IPT -A WANOUT -p udp --sport 137:139 -j DROP
# Windows 2000 がローカルに存在すれば以下の設定
$IPT -A WANOUT -p tcp --dport 445 -j DROP
$IPT -A WANOUT -p tcp --sport 445 -j DROP
$IPT -A WANOUT -p udp --dport 445 -j DROP
$IPT -A WANOUT -p udp --sport 445 -j DROP
# ローカル IP が外に洩れない様にする。
$IPT -A WANOUT -d 10.0.0.0/8 -j LOG_AND_DROP
$IPT -A WANOUT -d 172.16.0.0/12 -j LOG_AND_DROP
$IPT -A WANOUT -d $LOCAL -j LOG_AND_DROP
$IPT -A WANOUT -d $LAN -j LOG_AND_DROP
$IPT -A WANOUT -j RETURN
059759403/03/15 20:40ID:nzpsL4hj
##################
#### link each chains
#### INPUT ####
# loopback
$IPT -A INPUT -i lo -j ACCEPT
# from LAN
$IPT -A INPUT -i eth1 -s $LAN -j ACCEPT
# from WAN
$IPT -A INPUT -i eth0 -j WANIN
# allow the tcp packets using the particular ports
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT #ssh
$IPT -A INPUT -p udp --sport 67 --dport 68 -j ACCEPT #dhcp
#### FORWARD ####
# from WAN to LAN
$IPT -A FORWARD -i eth0 -o eth1 -j WANIN
# from LAN to WAN
$IPT -A FORWARD -i eth1 -o eth0 -j WANOUT
# from LAN
$IPT -A FORWARD -i eth1 -j ACCEPT
#### OUTPUT ####
$IPT -A OUTPUT -o eth0 -j WANOUT

# ACCEPT されなかったパケットをLOG_AND_DROPチェーンへ
$IPT -A INPUT -j LOG_AND_DROP
$IPT -A FORWARD -j LOG_AND_DROP

####################
# IP Masquerade
$IPT -t nat -A POSTROUTING -o eth0 -s $LAN -j MASQUERADE
# enable the system ip-forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
059859403/03/15 20:42ID:nzpsL4hj
改行つめて貼ったら汚くなっちゃたよ(ノ_<。)
0599login:Penguin03/03/16 02:55ID:eE7j3f7z
おおお、すごいね
0600login:Penguin03/03/16 04:47ID:Y6J28mzl
>>595
spoofing パケットをステるんなら、クラス C だけでなく、
127.0.0.0/8
169.254.0.0/16
192.0.2.0/24
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
224.0.0.0/4
240.0.0.0/5
248.0.0.0/5
255.255.255.255/32
0.0.0.0/8
くらいまとめて指定してもいいかも。クラス A や B からの結構
くるからさ。でもそれ以外は見た事ないけど。
060159403/03/16 14:30ID:6euDQuYk
>>600
LoopBack:
127.0.0.0/8

RFC1918 private network:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

Class D multicast:
224.0.0.0/4

broadcast:
255.255.255.255/32

Link Local Networks
169.254.0.0/16

Historical Broadcast:
0.0.0.0/8

TEST-NET:
192.0.2.0/24

Class D Reserved:
240.0.0.0/5

Unallocated:
248.0.0.0/5
060259403/03/16 14:35ID:6euDQuYk
>>601
調べて、まとめてみた。
どれもネットワークを超えて利用されることはないはずのパケットですね。
っつーわけでspoofing対策に落としといてよさそうです。

>>600
ご指導ありがとうございまっす！！

0603login:Penguin03/03/17 04:16ID:fopxZgKq
どうでもいいことだが、
240.0.0.0/5
248.0.0.0/5
は、まとめて 240.0.0.0/4 とできる。いずれにしろこんなパケットやって
きたことはないが(w

>>602
255.255.255.255/32 は、IP レベルのブロードキャストだからネットワーク
を越えても当然。でも、運用上 LAN 外には出さないし、入れさせもしない
のが普通というだけで。内部にサブネットがいくつかあるときに、これを落とす
と困る場合もある
0604login:Penguin03/03/17 08:52ID:h5R/6c/p
>>603
255.255.255.255/32 を何に使うのか
具体例きぼん。
0605login:Penguin03/03/17 11:59ID:XTt7yZAl
DHCP(BOOTP) DISCOVER
060659403/03/17 14:46ID:pEk7m8rB
ブロードキャストパケットってネットワークを越えんですか？
マスタリングTCP/IPの入門編とか見ると同一ネットワーク内のみってなってるんで
単純に越えないもんだと思ってました(鬱

でもspoofingを防ぐっていう意味だと
sportが240.0.0.0/5みたいなパケットは別に特権与えてる(信頼できるホストにしている）
わけでもないので、特に効果はないですかね？

sportが192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 127.0.0.0/8
の奴は落としておくのを推奨ってことでOKかな。
0607login:Penguin03/03/18 03:09ID:p+lGsR21
お前が土浦ペドの西村か？返事しろ、
素人童貞で、幼女のポルノ写真集めが趣味のクソ野郎、
てめえのＰＣにどれだけの写真があるんだ、
何回それでマスかいた？飽きるとＹＢＢ叩きか
返事しろ、キチガイ

現在の土浦のペド西村のＩＤ
↓↓↓↓↓↓↓
　ID:XrjhRpOa


T.Nishimura 　[email protected]　

収容局は土浦荒川沖局

http://www5.wisnet.ne.jp/~hotta9/main/menu01.html
児童ポルノ法改正案反対サイト　のオーナーだよ。

幼児とセックスしたい畜生にも劣るペド野郎 はコイツです。

土浦のペド　西村いるか？返事しろ。
このＹＢＢなんとかの糞スレは、またおまえが作ったのか？
毎度、毎度の病的粘着質、おまえ、はやく市ねよ。
0608login:Penguin03/03/19 09:49ID:ht64CtnN
↑誤爆か？
0609login:Penguin03/03/19 23:28ID:PHGjwlCH
>>608

糞プロバイダー Yahoo!BBの解約に踏み切れ！
http://pc3.2ch.net/test/read.cgi/isp/1043055118/

への着弾が…こっちへ、
0610login:Penguin03/04/04 00:20ID:GX3ZXYFI
ﾆﾔﾆﾔ(･∀･)
0611login:Penguin03/04/08 10:25ID:gXTQqR0I
ﾆﾔﾆﾔ(･∀･)
0612login:Penguin03/04/10 22:46ID:gj/nF9SC
iptables使いたくて本見ながらやってるんですけど、なぜかうまくいきません。
ちょっと見てください。
-A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 22 -i eth0 -j ACCEPT
-A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.2 --dport 80 -i eth0 -j DROP
デフォルトでINPUTをDROPにしてsshとwwwを通すために上の二行をiptablesを追加しようとしたら
一行目はうまくいくのに、二行目で args --dport はunknownだっていうエラーが出るんです。
これはいったいどういうことなんでしょうか？？ iptablesのヴァージョンは1.2.6aとなってます。
0613login:Penguin03/04/10 22:49ID:gj/nF9SC
なんかまちがってますね、二行目もACCEPTでした。すいません
0614login:Penguin03/04/11 04:42ID:e37xfRgZ
>>612
本当に本を見ながら設定しているのかと問い詰め（ry
0615山崎渉03/04/17 12:01ID:KRn99/cy
（＾＾）
0616login:Penguin03/04/17 17:11ID:QgET5h2K
ﾆﾔﾆﾔ(･∀･)
0617山崎渉03/04/20 05:51ID:xFRXxEWb
　　 ∧＿∧
　　（　　＾＾ ）＜ ぬるぽ（＾＾）
0618login:Penguin03/04/24 19:02ID:t7W9/H4z
できるだけシンプルにIPマスカレードができるよう設定してみました。
みなさんのようにプライベートアドレスやNetBIOSを防いだりとかして
ないのですが、これではちょっとシンプルすぎるでしょうか…？

#!/bin/sh
# Load kernel modules
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
# Enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
# Set valiables
IPTABLES=/sbin/iptables
EXTIF=ppp0
# Initialize all chains
$IPTABLES -Z
$IPTABLES -F
$IPTABLES -X
# Setup default policy
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
# Create new chain "block"
$IPTABLES -N block
$IPTABLES -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A block -m state --state NEW -i ! $EXTIF -j ACCEPT
$IPTABLES -A block -m state --state NEW,INVALID -i $EXTIF -j REJECT
$IPTABLES -A block -j DROP
# Rules for INPUT chain
$IPTABLES -A INPUT -j block
# Rules for FORWARD chain
$IPTABLES -A FORWARD -j block
# IP Masquerade
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
061961803/04/24 19:13ID:t7W9/H4z
補足です。下記のような構成でルータ/サーバにするつもりですが、サーバとしての
設定はとりあえず後回しになっていて、しばらくはNAT箱としてのみ使用するつもりです。

[ADSLモデム]---[ppp0=eth0 ルータ/サーバ eth1]---[スイッチ]---[LANクライアント2台]
0620覆面ライダー03/04/25 20:12ID:uphM47p+
Linuxをルータにもサーバにもしない場合の
パケフィルの例ってどっかにありますか？
Linuxマシンをルータとして使う場合の例は
ネット上にいくらでも見つかるんですけどね。
0621覆面ライダー03/04/25 20:18ID:uphM47p+
いちお市販のDSLルータで簡単なパケフィルは設定してんだけどね。
0622覆面ライダー03/04/25 20:22ID:uphM47p+
ぜんぶ塞げってのはなしですよ。
とりあえずネットサーフィンとメールのやりとりくらいはやりたいですから。
できればメッセンジャーも使いたいですね。
0623login:Penguin03/04/26 09:45ID:yy7AkdFn
>620
使ってないサービスは全て塞げ。
分かってるかもしれないけど、Port80 塞いだからって
WEB見れないって訳じゃない。

DSLルータ使ってるって事は、プライベートネットワークでしょ。
クライアントとして使ってるなら、あまり気にしなくても良いと思うよ。

0624覆面ライダー03/04/28 13:40ID:evYU0gW+
>>623
アドバイスどうもありがとうございます。
0625login:Penguin03/05/03 02:04ID:+7/Jgwc/
iptables -N log-drop
iptables -A log-drop -j LOG --log-prefix "Packet drop"
iptables -A log-drop -j DROP

# kick .kr
iptables -A FORWARD -s 61.32.0.0/13 -j log-drop
iptables -A FORWARD -s 61.40.0.0/14 -j log-drop
iptables -A FORWARD -s 61.72.0.0/13 -j log-drop
iptables -A FORWARD -s 61.80.0.0/14 -j log-drop
iptables -A FORWARD -s 61.84.0.0/15 -j log-drop
iptables -A FORWARD -s 61.96.0.0/12 -j log-drop
iptables -A FORWARD -s 61.248.0.0/13 -j log-drop
iptables -A FORWARD -s 202.6.95.0/24 -j log-drop
iptables -A FORWARD -s 202.14.103.0/24 -j log-drop
iptables -A FORWARD -s 202.14.165.0/24 -j log-drop
iptables -A FORWARD -s 202.20.82.0/23 -j log-drop
iptables -A FORWARD -s 202.20.84.0/23 -j log-drop
iptables -A FORWARD -s 202.20.86.0/24 -j log-drop
iptables -A FORWARD -s 202.20.99.0/24 -j log-drop
iptables -A FORWARD -s 202.20.119.0/24 -j log-drop
iptables -A FORWARD -s 202.20.128.0/17 -j log-drop
iptables -A FORWARD -s 202.21.0.0/21 -j log-drop
iptables -A FORWARD -s 202.30.0.0/15 -j log-drop
iptables -A FORWARD -s 202.189.128.0/18 -j log-drop
iptables -A FORWARD -s 203.224.0.0/11 -j log-drop
0626login:Penguin03/05/03 02:07ID:+7/Jgwc/
iptables -A FORWARD -s 210.80.96.0/19 -j log-drop
iptables -A FORWARD -s 210.90.0.0/15 -j log-drop
iptables -A FORWARD -s 210.92.0.0/14 -j log-drop
iptables -A FORWARD -s 210.96.0.0/11 -j log-drop
iptables -A FORWARD -s 210.178.0.0/15 -j log-drop
iptables -A FORWARD -s 210.180.0.0/14 -j log-drop
iptables -A FORWARD -s 210.204.0.0/14 -j log-drop
iptables -A FORWARD -s 210.216.0.0/13 -j log-drop
iptables -A FORWARD -s 211.32.0.0/11 -j log-drop
iptables -A FORWARD -s 211.104.0.0/13 -j log-drop
iptables -A FORWARD -s 211.112.0.0/13 -j log-drop
iptables -A FORWARD -s 211.168.0.0/13 -j log-drop
iptables -A FORWARD -s 211.176.0.0/12 -j log-drop
iptables -A FORWARD -s 211.192.0.0/10 -j log-drop
iptables -A FORWARD -s 128.134.0.0/16 -j log-drop
iptables -A FORWARD -s 141.223.0.0/16 -j log-drop
iptables -A FORWARD -s 143.248.0.0/16 -j log-drop
iptables -A FORWARD -s 147.46.0.0/15 -j log-drop
iptables -A FORWARD -s 155.230.0.0/16 -j log-drop

ny で .kr と繋がらないようにするには、こんなとこなのかな。
rule が多いけど処理が重くならないかしらん。
香港とか中国も登録するとこの数倍になってしまうけれど。
0627login:Penguin03/05/05 18:34ID:x6zB6GKj
ながー
0628login:Penguin03/05/06 01:03ID:7qHA9qoc
こんな感じ↓でLinuxをルータにもサーバにもしないで
使ってるな～
もしかして、問題ありあり???……………………………ギャ～!!!

#eth0はインターネット

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

iptables -A INPUT -i eth0 -m state --state INVALID,NEW -j LOG
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT

iptables -A FORWARD -i eth0 -j LOG

iptables -A OUTPUT -o eth0 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
0629login:Penguin03/05/06 17:28ID:5eBOzVs7
iptables -Z
iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 23 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 123 -j ACCEPT
iptables -A INPUT -p tcp --dport 1812:1813 -j ACCEPT

ってやると、クライアントからこのサーバー（メールサーバー）を経由して他のメールサーバーへメールを送信できないのですがどうしてでしょう。
mailqに溜まってしまいます。

iptables -P FORWARD ACCEPT
としてもダメです。
iptables -P INPUT ACCEPT
とすれば、当たり前ですがうまくいきます。
0630login:Penguin03/05/06 22:17ID:sa3eOmJ2
返りパケット受け取れんだろ
0631!=629だけど03/05/06 23:59ID:gf3c9ny0
ん? ACKも落としてないような。
IDENT はせいぜい反応遅くなる程度だし。
あー、もうメル鯖管理してないから忘れてしまった。
063262903/05/07 17:41ID:wvh/G8hH
返りパケット？
port25だけじゃダメなの？
0633!=629だけど03/05/07 19:50ID:IaE1EX1W
あー、わかった。
こっちのメル鯖から他所に出すとき、over 1000(あたり、記憶曖昧)の
非特権ポートから相手の 25 に接続するわけよ。
>>629 では、さらに
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
とかすればいいんでない?
または非特権ポートへの接続を全部許可するという方法もあるけど…。
0634login:Penguin03/05/07 20:48ID:Y3LR/VhU
629 は iptables や ipchains の解説文書を読んで知識の整理をした方がいいだろ。
何故おかしいのかすぐ判らんようだから。このスレは曖昧な知識のままでは役に
立たんしな(w
063562903/05/08 17:55ID:wpIU/tkn
MTA同士の通信でも25-25じゃなくover1000-25の通信になるということね。
ステートフルパケットインスペクションを使うわけね。ありがとう。
0636login:Penguin03/05/10 06:10ID:ps9rcmzo
--dport
--sport
0637俺様って？03/05/12 20:23ID:I3+5+FZb
いったい何様？？？
むしろウザイ死ね。
貴様のような人間はこの世界に必要ない。
逝ってよし！！
むしろ逝け！！
0638login:Penguin03/05/12 20:39ID:2vTb3rak
ただいま還りました～
0639login:Penguin03/05/12 21:50ID:mWgq7qBD
これ良さそうっす。

Red Hat Linux Firewalls
IPTablesを使ったファイアウォールとNATの実装に関する内容は
読みごたえ十分である。ここまで機能を網羅し、実例を挙げて
説明してある書物は初めてだろう。

ttp://www.sbpnet.jp/books/review/art.asp?newsid=218
0640_03/05/12 21:50ID:sDYaf/2W
　　（●´ー｀●）/　＜先生！こんなのがありました！
http://www.yoshiwara.susukino.com/moe/jaz08.html
http://yoshiwara.susukino.com/moe/jaz10.html
http://www.yoshiwara.susukino.com/moe/jaz03.html
http://yoshiwara.susukino.com/moe/jaz09.html
http://www.yoshiwara.susukino.com/moe/jaz06.html
http://yoshiwara.susukino.com/moe/jaz05.html
http://www.yoshiwara.susukino.com/moe/jaz01.html
http://yoshiwara.susukino.com/moe/jaz02.html
http://www.yoshiwara.susukino.com/moe/jaz07.html
http://yoshiwara.susukino.com/moe/jaz04.html
0641login:Penguin03/05/18 05:43ID:bSBsOoui
iptablesなんかの自動設定ツールって使ってるやついるのかなあ
0642login:Penguin03/05/18 07:51ID:lXSrMq3L
>>641

軟弱なLinuxユーザにならたくさんいるはずだ。
0643login:Penguin03/05/18 15:09ID:3fVk0kaS
>>641
もれの会社の後輩は使うなといっても使う。
それでいていまだに思うとおりに設定できんと言っとる。
困ったもんだ。
0644login:Penguin03/05/18 18:57ID:aZwyy8u1
>>643 ハクッたれハクッたれ、素人には挫折が一番（ｗ
0645login:Penguin03/05/18 19:32ID:jH81YeVu
>>641
そんなものが存在するのですか？
0646login:Penguin03/05/18 19:54ID:DitB7FwD
知らないなら知らないで別に困らないだろう。
0647login:Penguin03/05/18 19:55ID:Y+BpJwSK
>>646
知ってたら便利じゃん
0648login:Penguin03/05/19 00:15ID:5sCrBiuF
lokkitのことでしょ。
0649login:Penguin03/05/19 00:19ID:DPaiI0na
Easy Firewall Generator for IPTables
http://easyfwgen.morizot.net/gen/

こんなのもある
0650login:Penguin03/05/19 11:29ID:agrIbUtz
webminでもあれこれできますな
0651login:Penguin03/05/19 15:56ID:y7LYDyhh
pingに応答しないようにするスクリプトを教えていただけないでしょうか
0652login:Penguin03/05/19 16:45ID:SRz0lKrH
#!/bin/sh
halt
0653login:Penguin03/05/19 20:20ID:WwFWHDXI
>>651
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
だったっけ？
0654login:Penguin03/05/21 18:39ID:nL9KCPvu
>>651
echo 1 > /proc/sys/net/ipv4/icmp_ignore_all
0655山崎渉03/05/22 01:54ID:VfjbtMwi
━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━―
0656login:Penguin03/05/22 14:54ID:uAd57jrG
ﾆﾔﾆﾔ(･∀･)
0657login:Penguin03/05/24 08:31ID:CD1FcCru
INPUTをDROPにして指定ポートだけ通してるんですけど、
DROPとREJECTってどう違うんですか？
0658login:Penguin03/05/24 12:45ID:lpqyp6ka
発信元にエラーを返すか返さないか
0659login:Penguin03/05/25 17:48ID:0DsBJvnF
657ではないですけど、
INPUTは初めDROPにして個別のポートを許可していく、ってのはわかるんですけど、
OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
これって帰りパケットがポートを指定できないからですか？

WINならNORTONとかでアプリケーションごとに許可、不許可を制御できますけど
そういうことはできないんですか？
0660login:Penguin03/05/25 23:21ID:tNcj3C/f
>>659
＞OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
＞これって帰りパケットがポートを指定できないからですか？

OUTPUTもINPUTと同じように設定できるよ。INPUTほどの需要はないだろうけど。
あと、-t nat で MASQUERADE とかをすれば、OUTPUT ってあまり意味がないことがけっこうある。
0661login:Penguin03/05/25 23:24ID:+UFjIiBi
http://elife.fam.cx/
0662login:Penguin03/05/25 23:37ID:RjF4OPfs
ttp://www.amazon.co.jp/exec/obidos/ASIN/4822209318/ref%3Dlm%5Flb%5F7/249-1574439-8905158
066365903/05/26 01:07ID:MWnWBy5f
>>660
なるほど、ありがとうございます。いじってみます。
0664login:Penguin03/05/27 21:00ID:dUqN+tj1
iptablesを弄りはじめた者です。
参考に、技術評論社の「はじめてのファイアウォール」買いました。

192.168.1.0/255.255.255.0　 　 　 　 　 　 192.168.0.0/255.255.255.0
win2k -------------- eth0 RedHat8 eth1 ----- ダイヤルアップ
　 .101　 　 　 　 　 　 　.1　 　 　 　 　 　 　 .1　 　 .254　 　 ルーター

こんな構成で、Win2kのpingで、192.168.0.254してもタイムアウト
になってしまいます。

# /sbin/sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1
にはなっていて、
# /sbin/iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.0.1
もしてみました。

何か基本の設定でミスしてますでしょうか？
0665山崎渉03/05/28 16:41ID:3t6i6zxR
　　　 　∧＿∧
ﾋﾟｭ.ｰ　(　　＾＾ ） ＜これからも僕を応援して下さいね（＾＾）。
　　＝〔~∪￣￣〕
　　＝ ◎――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉
0666login:Penguin03/05/28 19:15ID:TJoLXDe+
その質問には重大な欠陥があるため
誰も答えられません>>664
066766403/05/28 19:31ID:HTjMuq1u
>>666

重大な欠陥‥‥‥‥‥‥‥‥？？



あ、OSが書いてないですね。
OSは、RedHat8.0です。
あとはなんだろう？iptablesのバージョンとか必要ですか？
RedHat8をインストールしたままなので、iptables-1.2.6a-2
になってます。

とにもかくにも、192.168.1.0ネットワーク側から、192.168.0.0側にPingを
通したいです。
0668login:Penguin03/05/28 21:11ID:wAyGaDP6
>>667
いやそもそもroutingの設定は？
routeの結果を貼りなよ。
0669動画直リン03/05/28 21:13ID:mI34jXYU
http://homepage.mac.com/hitomi18/
067066403/05/28 22:19ID:sTqi3jRG
>>668

routeの結果ですが、次のようになっています。

# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
192.168.0.0 * 255.255.255.0 U 0 0 0 eth1
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 192.168.0.254 0.0.0.0 UG 0 0 0 eth1
0671login:Penguin03/05/28 22:54ID:wAyGaDP6
>>670
routeの設定は問題ないようだが
そもそもredhat8からダイヤルアップルータにはpingは通っているの？
ダイヤルアップルータ自体のルーティングの設定は？

それとwin2kはDHCP？それとも固定で101を振ってるの？
固定だとは思うけど、もしDHCPならdhcpd.confの内容を確認。

win2k-ルータLAN間、win2k-ルータWAN間でもpingが通っているのかなどを
試してまずどこの問題かを切り分けなよ。
067266403/05/28 23:11ID:sTqi3jRG
>>671

それは大丈夫です。squidを入れてみたら、win2kからサイトは見れます。(3128に設定すれば)

RedHat8 → Win2k や、RedHat8 → ルーター間pingは正常です。
Win2k → RedHat8 もping通ります。

ただ、192.168.1.101は、dhcpが振った結果です。
dhcpで、>>664の図の様な事をするには、なにか記述が必要でした
でしょうか？
手持ちの参考書(ネットワークサーバー構築ガイド等)では見付けら
れませんでしたので、もしなにかありましたら教えてください。
0673bloom03/05/28 23:13ID:mI34jXYU
http://homepage.mac.com/ayaya16/
0674login:Penguin03/05/29 00:12ID:1DRPv6wX
>>672
dhcpd.confの設定に
option routers 192.168.1.1
は入ってますか。つまりwin2000のgwがどうなっていますか。
ipconfigで調べてください。

Win2k->Redhat8のWan側へのpingはどうですか。

# echo 1 > /proc/sys/net/ipv4/ip_forward
とかやってからpingを打ってみたらどうですか。
0675原田03/05/29 07:39ID:5/9Q5GYM

iptablesで50代のPCをインターネットへマスカレードしてるんでつけど、
たまにインターネットに接続できなくなるPCが出ます。
ただし、他のPCからインターネットへは接続できてますし、
接続できなくなったPCでもすでにEstablishedなTCP接続は通信できてます。
つまり、新たなTCPセッションが張れないようなのです。

これって、マスカレードのテーブルとかがいっぱいになってしまっているのかな？
特にカーネルのログには何も出てないのだけど。詳しい方お願いします～
0676login:Penguin03/05/29 10:31ID:1DRPv6wX
これはiptablesの問題ではなく
カーネル自体の同時コネクション（セッション）数の問題ではないかと思います。

ゲートウェイ向けの適切なページが見つからなかったが
この辺ですかね。サーバの事例ですけど
ttp://www8.ocn.ne.jp/~diary/linux/tuning.html

この辺を参考に同時コネクション（セッション）数を増やすようにカーネルの再構築を
してやればいいんじゃないかと思います。



0677login:Penguin03/05/29 15:22ID:5/9Q5GYM

なるほど・・・
そういうことが原因とも考えられるんですね。
ありがとうございます。
0678_03/05/29 15:29ID:yrkPpXVA
http://homepage.mac.com/hiroyuki43/hankaku10.html
0679login:Penguin03/05/29 19:32ID:Gz1n6K9b
192.168.0.*から外に出る窓系パケットを阻止するには？
068066403/05/29 19:52ID:WuQG5EFD
>>674

option routers 192.168.0.254

が設定してありました。
試しに、192.168.1.1にしたら、ping通りました。ありがとうございます。

>>664の図だと、ゲートウェイは192.168.0.254なのでそう設定したの
ですが、LAN側から見れば、192.168.1.1がゲートウェイって事になる
という理解で良いのでしょうか？
0681login:Penguin03/05/29 21:35ID:7ylBZWMl
っていうか常識
反省しる
0682login:Penguin03/05/29 21:36ID:7ylBZWMl
ＬＡＮじゃないとＬＡＮ側のマシンから192.168.1.1にもpingが飛ばんはず
068366403/05/29 21:56ID:WuQG5EFD
>>681

はぁ、すみません。
0684login:Penguin03/05/29 22:14ID:qBOBeDWk
ありゃま。このスレまだあったんだ。

乙～
068567403/05/29 22:17ID:1DRPv6wX
>>680
というかGWというのはホスト側のルーティングテーブルで見つからない
IPがある時にどこを通じて探しに行くかを指定するためのものなので
次のステップでたどるIPを指定します。今回の場合はルータのLAN側の
IPになります。

ただ反省はしる
0686_03/05/29 22:22ID:AXKLPNQk
http://homepage.mac.com/hiroyuki43/jaz10.html
0687login:Penguin03/06/02 23:46ID:bhT8EpXU
(･∀･)renice!
0688login:Penguin03/06/02 23:49ID:Kvuxg1vP
hosts.allow/denyで十分
0689login:Penguin03/06/11 00:58ID:YUlq9U2M
age
0690sage03/06/11 21:51ID:HxuBPB3T
winnyでもやろうと思って
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to 192
.168.1.3
って書いたんだけどノードに接続されない。なんでだろ？
0691login:Penguin03/06/11 22:48ID:J8VaLWEp
>>690
INPUT や FORWARD はどうなってる?
0692sage03/06/11 23:21ID:HxuBPB3T
こんなかんじ　>691
# Flush chains
/sbin/iptables -F
#
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT DROP
/sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -d 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A INPUT -m state --state ESTABLISH,RELATED -j ACCEPT
# Flush Nat Rules
/sbin/iptables -t nat -F
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
/sbin/iptables -A FORWARD -m state --state ESTABLISH,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p icmp -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p udp --dport 53 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 110 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 25 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 20:21 -j ACCEPT
## for winny
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
/sbin/iptables -t nat -A PREROUTING -p udp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
試行錯誤中です・・・
0693login:Penguin03/06/11 23:21ID:NSKvgHnY
>>690
eth0ってのが謎だ。
ルータ使ってるなら、NATはルータのところでやらないと意味ない。
0694sage03/06/11 23:24ID:HxuBPB3T
>692
ちなみに
eth0が内向き、eth1が外向きなDSL環境です。
0695login:Penguin03/06/12 00:52ID:Q2F7oLMu
7721 -i eth0 -j
7721 -i eth0 -j
ここらのデバイスが怪しそうだね
0696sage03/06/12 00:56ID:0rWbDqKn
あやしいというと？
0697login:Penguin03/06/12 01:27ID:KEQ6Z9u5
>>696
sageを書くところ間違えてるぞよ。
0698login:Penguin03/06/12 07:37ID:7Hrv7mJB
>>692
FORWARD でも 7721 を許可しないとダメじゃない?
/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j ACCEPT
んー、こんな感じのルールを追加かなぁ。未確認だけど。
0699login:Penguin03/06/12 07:41ID:7Hrv7mJB
>>694
って、君のルールでは INPUT も OUTPUT も eth0 になってるけど、大丈夫?
0700login:Penguin03/06/12 15:42ID:wXoAXDh8
700（σ´Д｀）σｹﾞｯﾂ!　　
0701login:Penguin03/06/12 19:57ID:0rWbDqKn
>699　698
INPUT OUTPUTともeth0にしないと外に出て行けない模様・・・。

/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j
ACCEPT
も足してみたがだめぽ。

何が足りないのでしょう。
BBSポートは開けなくても関係ないのですよね？
0702login:Penguin03/06/12 21:50ID:IUhvIjAF
俺は下の設定だけでOKだよ。

# Winny用設定
$IPTABLES -t nat -A PREROUTING -p tcp --dport 7743 -i eth1 -j DNAT --to 192.168.1.8

eth1　は外向きね
0703login:Penguin03/06/13 08:01ID:CHhh0mQD
##for winny
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 7721 -j ACCEPT
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth1 -j DNAT --to 192.168.1.3

702を参考にこれだけにしてみた。
winny v.1.14
ノードは「切断」のまま。
0704login:Penguin03/06/13 20:46ID:CHhh0mQD
702さん。
winny以外のiptableの中身を見せてもらえませんか？
0705login:Penguin03/06/14 23:50ID:x4RlFOIG
## for winny
/sbin/iptables -A PREROUTING -t nat -p tcp -i eth1 --dport 7743 -j DNAT --to 192.168.1.3
/sbin/iptables -A FORWARD -p tcp -d 192.168.1.3 --dport 7743 -i eth0 -j ACCEPT

上記のように変更(portをデフォルトに変更)。
後、下記を追加。

# 外部に転送される接続開始パケットを許可
/sbin/iptables -A FORWARD -m state --state NEW -i eth0 -j ACCEPT

とすると、とりあえず検索リンクノードがつながった。転送ノードも。
が、ポート警告が多発。何が原因だろー・・・。
0706login:Penguin03/06/15 12:28ID:azlVQyvB
結局、これが必要でした。

/sbin/iptables -A FORWARD -m state --state NEW -i eth1 -j ACCEPT

0707login:Penguin03/06/22 19:40ID:fmmjVQJB
(･∀･)renice!
0708login:Penguin03/06/22 21:57ID:UWWv2/TA
(･∀･)nurse!!
0709login:Penguin03/06/24 15:18ID:g0iS44ms
次の方どうぞ～
0710login:Penguin03/06/24 19:34ID:hmazE3h+
では次です。
こてこてのWIN＆NORTONユーザーです。
RedHat8.0です。iptablesで↑みたいにアプリケーション(デーモン？)ごとに
in&outを設定できないのでしょうかあと、目的地アドレスなど...、ワイルドカードは設定できますか？
できるのであればその書式を教えてください。
0711_03/06/24 19:46ID:Ff9f5Auo
http://homepage.mac.com/hiroyuki44/
0712login:Penguin03/06/24 23:13ID:a09y3Re5
>>710
具体的に何をやりたいのかを書いてくれないと、アドバイスできないよ。

> アプリケーション(デーモン？)ごとにin&outを設定できないのでしょうか
それはポートの指定という事?
> 目的地アドレスなど...
--to-destination とか?
> ワイルドカードは設定できますか？
何についてワイルドカードを指定したいの?

とりあえず、man 8 iptables とか JF の関連文書をさらっと流し読みする
事をおすすめするよ。
0713login:Penguin03/06/25 00:10ID:KwvN6Qqp
>>712
ありがとうございます。http://www.linux.or.jp/
のドキュメントを探ってみました。ずいぶん詳しく書いてあるんですね。
今まで検索で探した個人サイトと薄い雑誌片手にいじってたので
灯台下暗しな感じです。とりあえずここ読んでいろいろやってみます。
0714login:Penguin03/07/01 12:20ID:WonPOf/8
(･∀･)renice!
0715login:Penguin03/07/01 19:34ID:42y6vZ+A
ほいほい次の方どうぞ～
0716login:Penguin03/07/01 23:04ID:fS8NPmw8
窓OSが外に出すパケットって何がありますかねぇ
くだらんパケットを外に出したくないのだが…
>>600,601だけでいいのかな？
0717login:Penguin03/07/02 04:54ID:zXlsx5Mm
>>716
> 窓OSが外に出すパケットって何がありますかねぇ
いろいろ。

ちなみに、>>600,601 は外に出るパケットじゃないぞ?
NetBIOS / SMB がらみをステたいんなら、
iptables -j DROP -A WAN_OUT -p tcp --sport 137:139
iptables -j DROP -A WAN_OUT -p udp --sport 137:139
iptables -j DROP -A WAN_OUT -p tcp --sport 445
iptables -j DROP -A WAN_OUT -p udp --sport 445
な感じかな。単純に。
0718login:Penguin03/07/02 06:34ID:FyzJOg48
gaintickerも遮断しないと...。
0719login:Penguin03/07/02 20:43ID:inxQOqpT
sport？ dportでなくて？
072071703/07/02 20:49ID:H0iI59Zt
うへ。-A WAN_OUT って何だよ! 自分の設定そのまま書いてしまったよ。
iptables -N WAN_OUT
iptables -j WAN_OUT -A OUTPUT -o ppp0
iptables -j WAN_OUT -A FORWARD -o ppp0
みたいにして適当に置換してくださいな。

>>718
gainticker って何ですか? ぐぐってもわからんかった。
072171703/07/02 20:57ID:H0iI59Zt
>>719
これらは s も d も同じポートなんでどっちでも OK だと
思いましたが…… なんか自信なくなってきた。
072271703/07/02 22:20ID:H0iI59Zt
>>719
いろいろ検索してみたら、やっぱり dport の方が正しいみたい。
それと、OUTPUT ではなくて -t NAT -A PREROUTING で弾いてる
例も見つかった。
0723login:Penguin03/07/03 01:01ID:ht5694mz
この窓系パケットの吐き出しを確認されると
「こいつ電源入れたな、ﾌﾌﾌﾌ」とか覗き見されているような気がする悪寒
0724login:Penguin03/07/03 14:19ID:dXk/b8vm
>>718
すまそ。gaintrickerじゃなくてgain_trickler_*****.exeでした。gain_tricklerでググればいくつかでてきますね。
漏れはdivx　スパイでググッたけど。

divxコーデックのpro-free版入れると広告ソフトがバンドルされるってやつで、
具体的にはgain_trickler_*****.exeがポート80からポップアップ広告とか発生させるソフトを
勝手にインストールしにいったり。訴訟問題になってるとかどうとか。

gain_trickler_*****.exeが起動してないとdivxでエンコードできない。
アンインストールとかも、フォルダごと削除とかもダメ。
けど、起動してればオフラインでもエンコードできます。
つまり、ファイアウォールで遮断しちゃえばいいわけです。

>>710 みたいにWIN上で遮断してればいいけど、LINUXルータ使うってことになると、
クライアントの80番を遮断しなくちゃならなくて使い物にならないかな。
WIN上のアプリ、ポートを特定して遮断するiptablesの設定は漏れもわかりません。

以上はdivxコーデックのpro-free版の話で、
見るだけでいいって人はfree版だからgain_tricklerは出てこないと思います。
0725login:Penguin03/07/04 01:32ID:WvGXfYby
$iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 445 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 445 -j DROP

そとに出さないようにするにはこれでいいのかえ？
0726login:Penguin03/07/04 12:09ID:I/1UFkk5
(･∀･)renice!
0727login:Penguin03/07/06 23:47ID:lEtq+gmE
(･∀･)renice!
0728login:Penguin03/07/08 15:14ID:nDf4bQ70
(･∀･)renice!
0729login:Penguin03/07/10 11:46ID:F+4jQmU5
ちょい質問

NIC2枚刺しのマシンで1つをppp0でグローバルIP、もう１つを192.168.0.1でルーター代わりにして
192.168.0.2という別マシンにApacheを入れてポート80を外に出したりすることは
可能でしょうか?
0730login:Penguin03/07/10 12:22ID:k/quGmdE
>>729 可能。
0731login:Penguin03/07/10 12:57ID:wmM20Chd
>>729
ポートフォワードするって事? 可能です。
DNAT PREROUTING --dport --to あたりをキーワードにして検索
すれば、もこもこと出てくるかと。
0732login:Penguin03/07/10 13:33ID:F+4jQmU5
おお、出来るのね！
3枚刺しでDMZ作ると吉ですかね？まぁ2枚でもいいや出来るとわかればさっそく
IPTABLEをマスターせねば
0733login:Penguin03/07/11 23:55ID:gM+iqZg7
>>729
実際運用中。（自宅鯖なので自己満足以外の何物でもない）
0734login:Penguin03/07/11 23:58ID:gM+iqZg7
ちなみに、
eth0が内部 192.168.0.*
ppp0(eth1)を外へ
eth2がDMZ 192.168.1.*
の３枚挿し
0735login:Penguin03/07/12 12:01ID:KIX2ylEa
4枚刺すとDMZ2とか出来るの(w
0736login:Penguin03/07/14 02:43ID:YDflspfA
age
0737山崎 渉03/07/15 11:17ID:2JhhXBQM

　__∧＿∧_
　|（　　＾＾ ）|　＜寝るぽ（＾＾）
　|＼⌒⌒⌒＼
　＼ |⌒⌒⌒~|　　　　　　　　　山崎渉
　　 ~￣￣￣￣
0738login:Penguin03/07/15 12:04ID:KhvjxSuE
(･∀･)renice!
0739login:Penguin03/07/17 19:58ID:rpTi+qmn
特定のIPアドレスを弾く方法がわからん…

特にカンコック
0740login:Penguin03/07/18 19:50ID:oqc32GAg
>>739
IP アドレス指定して DROP すりゃいいだけじゃないの?
0741login:Penguin03/07/20 22:47ID:mKHQx37j
カンコックウザー
0742login:Penguin03/07/21 06:13ID:Ys+NsPMS
ルータの作り方がわかりません
まず環境を書きます
PCは2台あります
ノートにRedhat9（NISが2枚）　eth0=192.168.0.2 eth1=null(pppoe用）
デスクにWindows2000（NISが2枚） eth0=192.168.0.1 eth1=null(pppoe用）
ハブが1個(port5)あります
接続はpppoe（フレッツADSL8M）です

redhatでiptablesでルーターにしたいんですがどうもNATがうまくいきません
Windows2000での設定もよくかりません
ご教授お願いします
0743login:Penguin03/07/21 10:14ID:Ri0+aoIL
>>742　>>1から読むべしコピペとEthデバイスの書き換え程度で動くよ
0744login:Penguin03/07/21 15:34ID:GdFmfJHS
>>740

もれは739じゃないんだけど

$IPTABLES -A ppp-in -s xxx.xxx.xxx.0/24 -j DROP

$IPTABLES -A ppp-out -d xxx.xxx.xxx.0/24 -j DROP

ではなんか弾いてくれないの。（私から鯖にアクセスできてしまうの）
何故
0745login:Penguin03/07/22 00:14ID:SbexNa9y
>>744
その条件の前に、xxx.xxx.xxx.0/24 を許可してしまうような設定が
されていたりしない?
そういう、条件を指定して DROP するような設定は、ルール (ppp-in
とか ppp-out) の最初の方に書いておくべきなんだけど、その辺どう?
0746login:Penguin03/07/22 00:16ID:Vt8vdmWh
俺はこんな風に記述してる。ちゃんと拒否されるよ。
対象アドレスは/etc/sysconfig/refuse-networkファイルに列挙。

eth_wan="eth0"
addr_wan="192.168.0.253"

/sbin/iptables -t filter -N LOGDROP
/sbin/iptables -t filter -A LOGDROP -j LOG
/sbin/iptables -t filter -A LOGDROP -j DROP

/sbin/iptables -t filter -N IN_WAN
/sbin/iptables -t filter -A INPUT -i $eth_wan -d $addr_wan -j IN_WAN

for NETWORK in `cat /etc/sysconfig/refuse-network|grep -e ^[0-9]`
do
/sbin/iptables -t filter -A IN_WAN -s $NETWORK -j LOGDROP
done
0747login:Penguin03/07/22 20:05ID:7nLOTT+A
うちの大学のSMTPサーバは内部（***.ac.jp）からしか利用できず、
自宅から使う場合はttsshのポートフォワーディングを使って利用していました。
（WindowsマシンとADSLモデム（グローバルIP）を直結）

最近Linuxルータを構築してNAT/IPマスカレードで運用していますが、
ポートフォワーディングができなくなりました。
大学へのssh接続はできるのですが、
Some Socket(s) required for port forwarding could not be initialized.
Some port forwarding services may be available.
という警告が出るようになってメールの送信ができません。
iptablesでどういう設定をすれば、今まで通り使えるようになるでしょうか？
074874703/07/22 20:07ID:7nLOTT+A
現在の設定は以下の通りです。
TTSSH -> Port Forwarding
「Local 10025 to remote "***.***.ac.jp" port 25(smtp)」

メーラー -> SMTPサーバ
localhost:10025

iptables （シェルスクリプト）
#!/bin/sh
IPTABLES="/sbin/iptables"
LAN="192.168.0.0/24"
# flush rules
$IPTABLES -t filter -F
$IPTABLES -t nat -F
# default policies
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
# unconditional trust in internal network
$IPTABLES -A INPUT -i eth0 -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -d $LAN -j ACCEPT
# SSH
$IPTABLES -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT
# HTTP
$IPTABLES -A INPUT -i eth1 -p tcp --dport 80 -j ACCEPT
# Established/Related Connections
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# NAT/IP Masquerede for internal network
$IPTABLES -t nat -A POSTROUTING -s $LAN -o eth1 -j MASQUERADE
074974703/07/22 20:10ID:7nLOTT+A
補足
eth0が内部ネットワーク（192.168.0.0/24）で、eth1が外部（グローバルIP）です。
0750login:Penguin03/07/22 21:58ID:j7zVQ0Yu
>747

Linuxルータって大学側にあるの?
大学側にあるなら,iptablesの設定ではなくて,SSHではないの?

linuxルータで
ssh -L 10025:SMTPサーバ:25
とかやった?

075174703/07/22 23:28ID:7nLOTT+A
>>750
いえ、Linuxルータは自宅です。
ADSLモデムとWindowsマシンが直繋ぎだったのを、間にLinuxルータをはさむようにしたんです。
そうしてからttsshのポートフォワーディングが使えなくなりました。

> linuxルータで
> ssh -L 10025:SMTPサーバ:25
> とかやった?
これはルータ上で ssh 大学内サーバ -L 10025:大学SMTPサーバ:25 とやるってことでしょうか？
これをやってメーラーのSMTPサーバをルータにしてみましたが、ダメでした。
0752login:Penguin03/07/23 05:14ID:50HUWmV9
>747
10025がダメなら他のポートで試してもダメなのか？
10026とかもダメか？
すでに使用中のローカルのポートをフォワーディングに使おうとすると同じエラーがでたからさ。
もしかしたら、10025がすでに他のプロセスが使用中なのかと思って...
0753login:Penguin03/07/23 19:32ID:6T7pK/+j
>>745
　うまくいきますた。サンクスこです。
075475003/07/23 21:09ID:8e/Usxxm
>747
てっきり､下の図だと思ってました。
自宅PC==ルータ(自宅)====Linuxルータ(大学)－－－SMTPサーバー
＝:トンネル －:非暗号化

自宅PC==Linuxルータ(自宅)====ルータ(大学)==SMTPサーバー
なのね。

変更したのは
ADSLルータ→Linuxルータ
IPマスカレードの使用
だけですか?

自宅PCの設定は変えてないですか?

SSHの通信ができるならIptablesの設定ではないと思うけど…
とりあえず
>$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
をOUTPUT､FORWARDにも追加してもみたらどうでしょう?
-
0755login:Penguin03/07/24 17:02ID:nfR1vcCX
もの凄く初心者な質問ですみませんが。
Vine2.6、カーネルは2.4.19-0vl11使ってます。

iptablesをmodprobeコマンドで起動させたいのですが、「iptable_natなんてモジュールは
無いぞゴルァ」という返答しか返ってきません。同時にipchainが起動してはいないです
(というか最初から起動してない)iptablesのインストし忘れかと思いましたが、
ちゃんとインストールされてました。きっと単純なことなんだろうけど、何が足りないのかわからないです...
0756login:Penguin03/07/24 21:42ID:bV8JGfSo
http://www.google.co.jp/search?q=Vine+iptables&hl=ja&lr=&ie=UTF-8&oe=UTF-8&start=10&sa=N

ググったのかよ(ﾟДﾟ#)ｺﾞﾙｧ!!
0757login:Penguin03/07/24 22:32ID:nWVS3aEW
>>756
ｱﾘｶﾞﾄ!(´▽｀)
0758login:Penguin03/07/25 03:28ID:1QO9tkOs
>>757
もし、秋葉原に近い環境であるとかバックナンバーの置いてある本屋があるのならば
LinuxMagazine　2003/4の特集でも読みなされ
0759login:Penguin03/07/26 02:08ID:1tEKiyI5
>>757
ちなみに、Vine 2.6 で、あの雑誌の通りにやると、Kerneｌ-mode pppoeのところではまるから。
0760login:Penguin03/07/27 11:39ID:Aq2rr+SO
(･∀･)renice!
076176103/07/30 02:32ID:+2+JaTjq
家にPC３台ありますが100Mハブが高くて買いたくないので
余った蟹のカード３枚集め、1つのoutputに対しDMZとかも置かずに
２つのnインターフェースをひとつのネットワークにブリッジ化したPCルータを作りたいです。

その際のｉｐｔａｂｌｅｓ設定の方法を多かれ少なかれ解説してあるページってどこかにありますか？
076276103/07/30 02:34ID:+2+JaTjq
２つのnインターフェース　→　２つのｉn側インターフェース
076376103/07/30 02:57ID:+2+JaTjq
探したらこういうのが見つかった
http://www.google.co.jp/search?q=cache:zXw3aX4TJBsJ:www.minaminoshima.org/LinuxBridge.html
他にないかのう
0764login:Penguin03/07/30 02:57ID:PMhX2tRL
>>761
> 100Mハブが高くて買いたくないので
ギガビットならともかく、100BASE-TXなら\3,000でおつりがくると思うが。
0765login:Penguin03/07/30 04:20ID:vmcnZCsY
>761
そもそも１００Mハブやブロードバンドルータですら4000円の世界なのだが。
ttp://review.ascii24.com/db/review/peri/videocap/2003/07/28/645193-000.html
勉強のためにやるなら止めないが。

ただ単に1台のPCをルータとして使って下に2台ブリッジでぶら下げるのであれば
LAN側の2枚のNICにブリッジの設定をきちんとしてやった上でWAN側とのマスカレードの
設定だけしてやればいいのでは。当然対象のインターフェースがeth1とかから
br0などの論理インターフェースに変わるのでbr0のIPやrouteingなどの設定を
きちんとした上で後は普通のルータと同じように設定をすればいいと思うが。

ブリッジ内部でパケットフィルタリングでもしない限りiptablesの設定うんぬんの問題は
発生しないと思う

ただ実際にやった事無いしソースも読んだわけでもないんでやってみないとわからんけど。
0766p03/07/30 05:40ID:tSrJtpRf
本日公開！本物素人援交みゆきちゃん。
寝転んでも形が崩れないおっぱいは若さゆえ！
無料動画をＧＥＴしよう。
http://www.cappuchinko.com/
076776103/07/30 06:40ID:a+WUUNj1

その２，３千円の出費が嫌なのよ　車検も近いしなー

それにpcルータはやはり帯域に余裕があっていい
寄せ集めパーツで作ったfloppyfw（カーネル2.4）で２枚のNICで計測してもかなりロスが少なかった。

>>765
なるほど概念的な捉え方はわかりました。
それを実装して動かせるスキルのほうは別ですが。
076876103/07/30 06:47ID:a+WUUNj1
あ、
>>その２，３千円の出費が嫌なのよ　

こういう話するとｐｃルータのランニングコストの話が出てきそうで嫌だな。結構かかるからね
076958903/07/30 11:21ID:u4lX9OwM
takdk
0770login:Penguin03/07/30 13:45ID:F4/M7mew
761はコンドーム買うお金ケチって外だしして
妊娠させるタイプだな。
0771login:Penguin03/07/30 18:02ID:PMhX2tRL
余ったパーツ売って、その金でハブ買えばいいじゃん。
0772本よりも03/07/30 23:26ID:DIOU5lcL
http://www.h5.dion.ne.jp/~pc_spot/iptables/iptables.html
077376503/07/31 13:31ID:KK+7sZnf
>765
追加説明
LAN側を192.168.0.0/24としてiptablesの設定はブリッジ間の通信とNATの設定をして
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
ブリッジの論理インターフェースをbr0、ブリッジさせるNICをeth1、eth2としてブリッジの設定
brctl addbr br0
brctl stp br0 off
brctl addif br0 eth1
brctl addif br0 eth2
後はネットワークの設定を以下のように行い
ifconfig eth1 0 0.0.0.0
ifconfig eth2 0 0.0.0.0
ifconfig br0 192.168.0.1 netmask 255.255.255.0 up
echo '1' > /proc/sys/net/ipv4/ip_forward
最後にWAN側のデフォルトゲートウェイなどの設定をしてやればいいはず。
もちろんクライアント側のマシンのデフォゲはこの設定で言うと192.168.0.1になります。
これでお金を浮かしてコンドームを買ってください。
077476103/07/31 18:17ID:z40pgxWS
>>773
さすが！
わざわざ自らの時間を削って考えてもらってありがとうございます。
0775本よりも03/07/31 22:35ID:qv23j3aF
http://www.h5.dion.ne.jp/~pc_spot/iptables/iptables.html
0776_03/07/31 22:40ID:uFZe/gBZ
http://homepage.mac.com/hiroyuki44/hankaku09.html
0777_03/07/31 22:40ID:uFZe/gBZ
http://homepage.mac.com/hiroyuki44/
0778ぼるじょあ ◆yBEncckFOU 03/08/02 04:59ID:GfRe8vK7
　　　 　∧＿∧　 ∧＿∧
ﾋﾟｭ.ｰ　（　 ・３・） (　　＾＾ ） ＜これからも僕たちを応援して下さいね（＾＾）。
　　＝〔~∪￣￣￣∪￣￣〕
　　＝ ◎――――――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉&ぼるじょあ
0779login:Penguin03/08/02 10:19ID:0p3phC6s
(･∀･)renice!
0780login:Penguin03/08/03 09:41ID:JkdJb7rA
(･∀･)renice!
0781login:Penguin03/08/03 17:45ID:vG0XJabf
winny用になんかいい方法ない？
0782login:Penguin03/08/03 20:56ID:58IVQIxm
>781
激しくがいしゅつ。ここ最近でも
>702-706
などがある。ちゃんと調べれ。
ネタ提供するにしてももっと新鮮なの提供汁
0783login:Penguin03/08/12 11:28ID:4MGXav2e
(･∀･)renice!
0784login:Penguin03/08/12 13:03ID:tWeSi3b+
貧乏人がしなくていい苦労をしたことを告白するスレはここですか？
0785login:Penguin03/08/12 19:58ID:gbvzFqyq
いえいえ、作業時間を人件費に換算するとハブくらい軽く買えてしまう金額になると思われますから
金持ちの道楽ですよ。
0786login:Penguin03/08/14 14:20ID:hAip+1vT
iptablesってホスト名を指定して(たとえば中国とか)弾くみたいなことはできますかね
0787login:Penguin03/08/14 17:56ID:twuPRu/j
>786
できないことは無いが結局名前を引っ張ってきてそのホスト名が該当する文字列を含んでいるかを
いちいち検索する手間をかけてせっかくiptablesのIPだけで処理をする事によるスピードの利点を
消してしまう事を考えると上の層のアプリケーションで制限したほうがいいんではないの。
それにドメイン名、ホスト名では特定国からのアクセスを正確にはじけないし。

iptablesを使って中国国内からのアクセスをはじきたいのであれば中国に割り当てられている
グローバルIPを全て弾くように設定したほうがいいんでは。
>625>626参照（これは韓国だが）

0788login:Penguin03/08/14 23:49ID:EZZe4dzO
それにしても port135 のpacketがやたらに多いね。
(´･ω･`) port135が必須であるOSに乾杯！
0789login:Penguin03/08/15 05:44ID:enKXR5cc
ずっと135portのdropしてるんだけど、感染者多すぎだよ。
ネットをするのも心なしか重いし．．．．sigh
「早く始末しろよ。」、さもなくば「ネットから出て行け」と言いたくなる。
0790山崎 渉03/08/15 22:41ID:dil3w4kp
　　　 (⌒V⌒)
　　　│ ＾ ＾ │＜これからも僕を応援して下さいね（＾＾）。
　　⊂|　　　　|つ
　　　（＿）（＿）　　　　　　　　　　　　　　　　　　　　　　山崎パン
0791login:Penguin03/08/15 23:57ID:fuvtkv+Y
(･∀･)renice!
0792login:Penguin03/08/21 23:55ID:nl0bO2CL
iptablesにlogとらせるよう指定したばあい
どこにlogが書き込まれるのでしょうか？
/var/log見たけどそれらしいのがなくて困ってます
鳥はRedhat9です
0793login:Penguin03/08/22 00:16ID:dH6B/UW+
普通/var/log/messageに出力されないか。そのへんは
/etc/syslog.confの設定を見てくれ
なおlogはわかりにくいんでlogにプレフィックスをつけるのがよろし。
こんな感じ
iptables -A log_drop -j LOG --log-level warning --log-prefix iptables:

これで
less /var/log/message | grep iptables:
みたいにして拾えば？
Aug 21 23:59:02 hosthoge kernel: iptables:IN=ppp0 OUT= MAC=
SRC=X.X.X.X DST=Y.Y.Y.Y LEN=92 TOS=0x00 PREC=0x00
TTL=110 ID=55312 PROTO=ICMP TYPE=8 CODE=0 ID=512 SEQ=31069
こんなのが引っかかるはず
0794login:Penguin03/08/24 14:05ID:WW+7xQlD
iptablesのデフォルトのログファシリティ/レベルはkernel.warnだから、
デフォルト設定なら/var/log/messagesだね。

まあ別ファイルにしておくと便利かもしれない。
/etc/syslog.confに
*.info;mail.none;authpriv.none;cron.none;kern.!* /var/log/messages
kern.info /var/log/kernellog
とか。
0795login:Penguin03/08/26 18:07ID:gFo6zh41
(･∀･)renice!
0796login:Penguin03/08/26 22:13ID:UAbqFBEE
rpmのiptables消して、ソースから1.2.8を入れてみて、rpmの1.2.5の
/etc/sysconfig/iptablesを流用してみた。
んだらば、OS起動時は普通に立ち上がるんだべけど、その後でiptables
だけをrestartすると、Unload moduleとかで固まるざんす。
鳥はrh7.2、ソースから作ったkernel2.4.20。
kernel再構築時にiptablesのmoduleは組み込んでます。
これから検証してみるけど、ヒントとかあればぜひお願いします。
0797login:Penguin03/08/28 15:05ID:537qIh8K
日本以外からのアクセスをはじくには
ttp://www.nic.ad.jp/ja/dns/jp-addr-block.html
に記述されてるIPアドレスのみ受け付けるようにする・・・ってのであってる？
0798login:Penguin03/08/29 00:17ID:YreBbSd1
>797
ゲートウェイでは無くて完全な国内からのアクセス専用のサーバで
しかも海外からのプロクシの使用も許可をしないというポリシーでいいなら
それでいいんじゃない。
ゲートウェイなら単純なIPはじきだけでなくESTABLISHEDやRELATEDとかを
通してやらないといけないけどね。
まあ用途がわからんのでなんとも言えんが。
0799APNICに移管された人03/08/29 01:38ID:Kc70u4Km
>>797
おいおい、APNIC管轄アドレスも忘れてもらっちゃぁ困る。
0800login:Penguin03/08/29 11:29ID:9t70ZsWY
800
0801login:Penguin03/08/30 14:07ID:LE05Ca8B
クライアント用（Web見たりMailくらいしかやらない）のルール
ソースってどっかにないですかねえ
0802login:Penguin03/08/30 14:12ID:QdKx7dsh
#!/bin/sh
IPTABLES=/sbin/iptables

$IPTABLES -F

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
0803login:Penguin03/08/31 02:44ID:Nf2mQJKO
どうもありがとうございました。
0804login:Penguin03/09/04 18:05ID:FHcUI8Nh
(･∀･)renice!
0805login:Penguin03/09/06 00:39ID:0W29Hs42
123.456.789.20から123.456.129.70までを意味する表現って

123.456.789.20/27
123.456.789.52/28
123.456.789.68/31

でいいでしょうか
20から70までをスルーさせるよな設定をしたいんですが
0806login:Penguin03/09/06 06:37ID:bE0gSo/I
>>805 そゆ計算は、∧＿∧痛くなるから、自分で( ･∀･)ｲｲ!とおもったらたぶん大ジョブ

なんかくぎりがおかしいような。それでもいいのかな
単純に考えて
1～64と 65～７０通してあげて
1～１９ をDENY下ほうがわかりやすいかと思うんだけど。

というか何でそんなに区切りが中途半端なの？
080780603/09/06 06:49ID:bE0gSo/I
補足 >>805 2進・16進でちょっと考えてみれ
0808IPV4限定03/09/06 11:19ID:6G1oevnE
>>805
>123.456.789.20から123.456.129.70までを意味する表現って
IPアドレスっぽいけどIPアドレスなら0から255までの数字を
. でつなげるのが普通。
で、456とか 789とかは255を越えているから間違いに見えるのは
漏れだけですか？
/27 とかのことは255越え問題を解決してから考えた方がいいかも
0809login:Penguin03/09/06 11:56ID:KcTl5hi+
>>808 はいっぺん死んだほうがいいかも
0810login:Penguin03/09/06 13:51ID:l60qoteA
805が聞きたいことと皆が何につっこんでいるか
意味がわからん人工無能じゃないんだから
ipsc or gipsc で解決してくれってことでだめか
0811Cで書いてみた03/09/06 16:26ID:KcTl5hi+
#include <stdio.h>
int main(int argc, char **argv)
{
　unsigned long start, end;
　int s1,s2,s3,s4, e1, e2, e3, e4;
　void divide(unsigned long, unsigned long, unsigned long, unsigned long);

　if (argc < 3) {
　　fprintf(stderr, "Usage:- %s start end\n", argv[0]);
　　return 1;
　}
　sscanf(argv[1], "%d.%d.%d.%d", &s1, &s2, &s3, &s4);
　sscanf(argv[2], "%d.%d.%d.%d", &e1, &e2, &e3, &e4);
　if (s1 < 0 || 255 < s1 || s2 < 0 || 255 < s2
　|| s3 < 0 || 255 < s3 || s4 < 0 || 255 < s4
　|| e1 < 0 || 255 < e1 || e2 < 0 || 255 < e2
　|| e3 < 0 || 255 < e3 || e4 < 0 || 255 < e4 ) {
　　fprintf(stderr, "%s: address out of range.\n", argv[0]);
　　return 1;
　}
　start = ((s1 * 256 + s2) * 256 + s3) * 256 + s4;
　end = ((e1 * 256 + e2) * 256 + e3) * 256 + e4;
　if (start > end) {
　　fprintf(stderr, "%s: start is bigger than end.\n", argv[0]);
　　return 1;
　}
　divide(0, 0xffffffff, start, end);
　return 0;
}
0812続き03/09/06 16:27ID:KcTl5hi+
void
divide(unsigned long rs, unsigned long re, unsigned long start, unsigned long end)
{
　void printmask(unsigned long, unsigned long);
　unsigned long mask, prefix;

　if (start <= rs && re <= end) {
　　for (mask = re - rs, prefix = 32; mask > 0; prefix--) mask /= 2;
　　printf("%lu.%lu.%lu.%lu/%lu\n",
　　rs >> 24, (rs >> 16) & 255, (rs >> 8) & 255, rs & 255, prefix);
　} else if (end >= rs && re >= start) {
　　divide(rs, rs + (re - rs) / 2, start, end);
　　divide(rs + (re - rs) / 2 + 1, re, start, end);
　}
}
0813login:Penguin03/09/06 16:35ID:KcTl5hi+
printmask 消すの忘れた。prefix は int で良かった。
0814login:Penguin03/09/08 16:42ID:TPogvgTe
現在、Linuxをルータ、FWとして使っています。
sshで、外部からもLinuxを管理したいと思い、
下記の様なルールを設定しましたが、sshに接続出来ません。
LAN側からはｓｓｈ接続が出来るので、iptablesの設定が
問題だと思っているのですが、見つけられません。
ご存知の方、いらっしゃいましたらご教授願います。

（構成）
Internet--ADSLモデム---(ppp0)Linux(eth1)---LAN


iptabels -F
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -N in
iptables -A in -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A in -m state --state NEW -i ! ppp0 -j ACCEPT
iptables -A in -j DROP

iptables -A INPUT -i ppp0 -p TCP --dport 22 -j ACCEPT
iptables -A INPUT -j in

IPマスカレード部分は省略しています。
081581403/09/08 19:49ID:ZUfcMcWb
すみません、自己解決しました。
お恥ずかしい話ですが・・・ /etc/hosts.deny と /etc/hosts.allow で
アクセス制限掛けていたのをすっかり忘れていました。スレ汚し申し訳ないです。
0816login:Penguin03/09/15 10:51ID:I+VNLCRD
(･∀･)renice!
0817login:Penguin03/09/22 23:51ID:yi5qiD8q
iptables
0818login:Penguin03/09/23 11:01ID:oxpe0jzo
ルーター作ってるんだがiptablesの処理重いな・・・
0819login:Penguin03/09/25 17:08ID:FN6PNMc8
(･∀･)renice!
0820login:Penguin03/09/27 02:02ID:+FswpqB3
RH7.3でPPTP鯖立ててみたんですけど、どうやら
1IPにつき1接続しか確立できないみたいなんです。
よそのルータの下からは一台の端末しか接続できないようで・・
これはiptablesの設定なのでしょうか？
どう設定すればいいのでしょうか？
すんませんがお知恵をお貸しください。
0821login:Penguin03/09/27 17:13ID:3wcIUyvf
iptablesって先に設定したものがルール先行されるんでしょうか？


system("iptables -A INPUT -i ppp0 -p tcp --source-port 80 --destination-port 1024:65535 -j ACCEPT");
system("iptables -A OUTPUT -p tcp --source-port 1024:65535 --destination-port 80 -j ACCEPT");
system("iptables -A INPUT -i ppp0 -p tcp -j DROP");
だとブラウザでｈｔｔｐつかえるんですが

system("iptables -A INPUT -i ppp0 -p tcp -j DROP");
system("iptables -A INPUT -i ppp0 -p tcp --source-port 80 --destination-port 1024:65535 -j ACCEPT");
system("iptables -A OUTPUT -p tcp --source-port 1024:65535 --destination-port 80 -j ACCEPT");
だとｈｔｔｐクライアントが使えません
0822login:Penguin03/09/27 17:29ID:PhprnVlR
>>820
PPTP はそういうものだと聞いたことがある。
TCP のようにポート番号が無いから IP につき一接続のみ。
>>821
優先されるとかそういう発想ではなく、
チェイン内のルールを順番に見て処理して行くだけの事。
条件に一致したパケットがどうなるかは -j のターゲットによる。
DROP とか ACCEPT だと、その時点でパケットの運命は決定。
そのチェインのそれ以降の処理は行なわれない。
0823login:Penguin03/09/27 17:33ID:OFai3Vq5
linuxって結構使ってる人いるんですね～
一度やってみたいです。
0824login:Penguin03/09/28 02:11ID:84U0jUsI
>>820
でもwindows2000鯖は複数台つながるんです。
そうだ、間違いがありまして、複数接続はできたりできなかったりで、
確立できた場合、二台つないでアドレスも振られててるんですが、
PINGには一台しか応答してくれません。ある端末に応答中は、他に無反応で、
もしくはその逆です。iptablesには47のIN,OUTと1723のINだけ書いています。
というか、NET検索してて見つけたのがそれだったんですが。
なんか凄～く気になって夜も眠れません。
0825login:Penguin03/09/28 02:13ID:84U0jUsI
すいません>>822でした。
0826login:Penguin03/09/28 18:16ID:Zm/GUUXy
>824
同時に一台しか使えない。それはそういうもの。マスカレード出来ないんで
パススルーしているだけだから。一つのグローバルIPアドレスで一つの
ポートしか同時には使えないから。一つのポートを使って通信中には
もう一つの端末は使えなくなる。まったく正常な動きだよ。
例
LinuxPPTPサーバ－インターネット－ルータ（PPTPパススルー）－Win2000PPTPクライアント
ルータ側では当然同時には1台しかつなげない。

windows2000サーバについては構成について書いてもらわないと
なんとも言えん。
0827login:Penguin03/09/28 18:46ID:84U0jUsI
なるほど～、勉強になります。

構成を書きますと、linuxの場合
LinuxPPTPサーバ－インターネット－ルータ（PPTPパススルー）－Win2000PPTPクライアント
まったくこの通りで、2000の場合
2000鯖PPTP－ルータ(PPTPパススルー+DMZ)－インターネット－ルータ(PPTPパススルー)
－Win2000PPTPクライアントです。

2000サーバ側はルーティングとリモートアクセスのウィザードで設定しただけで、
特別なことはしていないと思います。
サーバには両方ともグローバルが振られていて、回線も同じです。
pptpの設定の違いといえばlinuxではデータ暗号化をしない設定に
しているくらいです。ルータはNTTのBa8000proを使用しています。
0828login:Penguin03/09/28 20:09ID:Zm/GUUXy
>827
Win２０００鯖に対してWin２０００PPTPクライアントの複数台が同時に使えたということですか？
あくまでPPTPクライアントが複数台同時に使える使えないの問題はPPTPクライアント側の
ルータの設定の問題です。
PPTPクライアントソフトでパケットを暗号化する際には以下のようになります

　　　　　　　　　　　　　　　　　　　 |IPヘッダ|TCPヘッダ|データ|
　　　　　　　　　　　　　　　　　　　 |　　　
|IPヘッダ|GREヘッダ|PPPヘッダ|暗号化された元のヘッダデータ＋データ|

こんな感じで新しいIPヘッダとGREヘッダなどで暗号化されたデータがカプセル化される。
1対1の静的NATならIPを単純にIPだけ変換して通せば問題ないのだが1対複数の
動的NAT（IPマスカレード）だとIPヘッダの後にTCPヘッダでは無くGREヘッダが付くので
ポート変換ができないためそのままだと通信が上手くいかない
その対策としてルータでLAN側のパケットをIPマスカレードを行わずに通して
最後にIPヘッダだけ書き換えてインターネットに送る機能がPPTPのパススルーです。
実際やっている事はGREヘッダが付いたパケットのみを動的に1対１でIPフォワードして
インターネットに流している事になります。それ故一つのグローバルIPにつき同時には
1台しか使えません。

IPsecの場合はNAT越えのためにわざわざUDPで更に暗号化されたパケットをさらに
カプセル化してNATを通す方法がありますがPPTPではわたしの知る限りでは無いようです
0829login:Penguin03/09/29 14:43ID:JfLkCKlr
>>828
レス有難うございます。読めば読むほどわからなくなってきました。
私がwindows2000でやっていることは、ローカルアドレスの振られたコミュニケーション
ソフトをPPTPサーバ経由で他のグローバルの端末と通信をするというもので、
ローカル4台、グローバル1台で通信が成立しました。基本的にはグローバル対グローバル
でしか通信が成立しないソフトですし、UPNPも対応していません。
動画と音声のやり取りができます。同じ場所から試した結果、PPTPサーバにLINUXを
選んだ場合は一対一で2000サーバの場合は一対四の通信が成立しました。
もちろんサーバに接続後はPPTPサーバから振られたアドレスにてソフト間で接続しています。
PPTPクライアント側のルータはパススルーのみ固定IPなどのサービスは受けていません。
WINDOWS対WINDOWSの場合特殊なルールでもあるのでしょうか？
0830login:Penguin03/09/29 16:55ID:Al9I7EC2
>829
メッセンジャー系のアプリですか？グローバルの端末っていうのは
そのサーバをさしているんでしょうか。それともクライアントを指してる
んでしょうか。

またWin2000鯖、LinuxのPPTP鯖とそのグローバルの端末の間の
ネットワーク構成は同じになっているんでしょうか。
0831login:Penguin03/09/29 18:39ID:nRFzw1/W
>>830
メッセンジャー系のアプリです。
グローバルの端末というのはサーバではありません。また別のクライアントです。
ネットワークは
internet---globalLinux(PPTP)
| |_globalルータ(pptpパススルー&DMZ)---globalWindows2000server
| << |_global(windws2000)クライアント
|
|___(別の場所)ルータ(pptpパススルー--LAN)--hub--localWindows2000クライアント *4

ずれてないといいのですが・・
0832login:Penguin03/09/29 18:45ID:nRFzw1/W
internet---globalLinux(PPTP)
| 　　　　　|_globalルータ(pptpパススルー&DMZ)---globalWindows2000server
|　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |_global(windws2000)クライアント
|
|___(別の場所)ルータ(pptpパススルー--LAN)--hub--localWindows2000クライアント *4

すいませんずれました
0833login:Penguin03/09/29 19:56ID:J82aOjQ8
今気づいたのですが、
"ppp マルチリンク フレーム"ってのが
linuxサーバはオフでwindowsサーバではオンです。
すごく試したい・・・
0834login:Penguin03/09/29 20:28ID:kOZ/gr/1
>>1
フリーOSでやるなら、市販の方が楽だぜ。
今、安いのでているし。無難。(・∀・)ｲｲ!!ー
0835login:Penguin03/09/30 03:12ID:KPwMtH61
>833
マルチリンクPPPは複数の回線を束ねる奴です。ISDNで64kを束ねて128kで通信させるって
あったでしょ。あれです

話を聞いてみるとどうやらiptablesとかの設定ではないような気がします。まず
PPTPの問題であるのかメッセンジャーの問題なのかを切り分ける必要があります。
今のままではVPNのスレに行っても問題がどこにあるのか特定できないので
誰も答えられないんじゃないかと思います。

一番知りたいのがメッセンジャーソフトがどのようなソフトかということです。
音声の送信制御にSIPを使っているとNAT越えで問題が生じるのでUPnPに対応していないと
ローカル－グローバルで音声チャットが出来ないと思います。ローカル－ローカルは
できるみたいですけど。WindowsMessengerの場合について以下参照
ttp://www.watch.impress.co.jp/pc/docs/article/20011120/wm.htm

ちなみに同時に4台のローカルマシンと1台のグローバルのマシンが通信できたっていうのは
音声チャットですかそれともメッセージ送信でしょうか
0836login:Penguin03/10/01 01:56ID:0faSfSQN
>>835
ソフトに関してですが、H323やSIPなどは使用してないと思います。
ただ、(複数接続の場合の一台を除き)ソフトウェアで通信を始める以前に、
PPTPサーバからの応答がLINUX側ではありませんし、PINGも還りません。
で、これが2000サーバですと先に書いた複数接続が成立し、かつPPTPサーバから
割り当てられたアドレスでソフトウェア同士で接続ができます。
これは動画、音声、ホワイトボードこの３点で確認しました。

説明がわかりにくいと思いますが、ローカル４台が１台のグローバルに接続でき、
かつ動画、音声、ホワイトボードでコミュニケーションができた。
ということです。LINUXの場合ですと、一台のローカルマシンになります。

linuxはルータの機能を持たせていませんが、このあたりはどうなんでしょうか？
windows2000サーバではルーティングとリモートアクセスの設定ですし、、
ちょっと試してみます。
0837login:Penguin03/10/01 02:27ID:0faSfSQN
僕の中では

Linuxサーバ _______インターネット______ルータ___2000クライアント*4
Windowsサーバ

の場合でも同じ結果になるんではないかと思います。これで両方とも接続１台なら
たんにWindowsサーバ側のルータになりますけど、、、
設定して簡単に試せないのがネックなんですが。
0838login:Penguin03/10/02 03:12ID:T2Z3aQpM
>836>837
H323やSIPなどは使用していないと言う事からNAT越えの問題は発生しない
アプリケーションであろう事がわかりました。それ故ローカル4台でつなげて
動画、音声、ホワイトボードでコミュニケーションができたという事ですね

なおBa8000proについて調べたところマルチPPTPパススルーという機能があって
複数のPPTPのパススルーが出来るみたいでした。と言う訳で私が以前書いた
知識は古い知識でクライアント側の問題ではない事もわかりました。すみません

となるとLinuxの設定に絞られる訳ですが前書いてあったiptablesの設定で
問題ないと思いますし、実際一台繋がっているのでPPTPで繋がる事は繋がりますね。
今一番知りたい情報はPPTP接続時のlogでどのようなメッセージが出ているかです
PPTPで１、２台LinuxのPPTPサーバに繋げた際の/var/log/messageが残っていたら
それを見せてくれませんか。もちろんまずいところは隠して。


0839login:Penguin03/10/02 10:02ID:1Lorfxq9
>>838
ご親切にありがとうございます。
----------------------------------------------------
Oct 2 09:21:48 PPTPServer pptpd[3121]: CTRL: Starting call (launching pppd, opening GRE)
Oct 2 09:21:48 PPTPServer pppd[3122]: pppd 2.4.1 started by root, uid 0
Oct 2 09:21:48 PPTPServer pppd[3122]: Using interface ppp0
Oct 2 09:21:48 PPTPServer pppd[3122]: Connect: ppp0 <--> /dev/pts/1
Oct 2 09:21:48 PPTPServer /etc/hotplug/net.agent: assuming ppp0 is already up
Oct 2 09:21:49 PPTPServer pptpd[3121]: GRE: Discarding duplicate packet
Oct 2 09:21:51 PPTPServer pptpd[3121]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 2 09:21:51 PPTPServer pppd[3122]: CHAP peer authentication succeeded for TestUser01
Oct 2 09:21:51 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:21:51 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:21:51 PPTPServer pppd[3122]: Cannot determine ethernet address for proxy ARP
Oct 2 09:21:51 PPTPServer pppd[3122]: local IP address 192.168.0.1
Oct 2 09:21:51 PPTPServer pppd[3122]: remote IP address 192.168.0.101
Oct 2 09:26:26 PPTPServer pptpd[3137]: CTRL: Client xxx.xxx.xxx.xxx control connection started
Oct 2 09:26:26 PPTPServer pptpd[3137]: CTRL: Starting call (launching pppd, opening GRE)
Oct 2 09:26:26 PPTPServer pppd[3138]: pppd 2.4.1 started by root, uid 0
Oct 2 09:26:26 PPTPServer pppd[3138]: Using interface ppp1
Oct 2 09:26:26 PPTPServer pppd[3138]: Connect: ppp1 <--> /dev/pts/2
Oct 2 09:26:26 PPTPServer /etc/hotplug/net.agent: assuming ppp1 is already up
0840login:Penguin03/10/02 10:04ID:1Lorfxq9
Oct 2 09:26:26 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:26 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:26 PPTPServer pptpd[3137]: GRE: Discarding duplicate packet
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer pptpd[3137]: CTRL: Ignored a SET LINK INFO packet with real ACCMs!
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer last message repeated 2 times
Oct 2 09:26:28 PPTPServer pppd[3138]: CHAP peer authentication succeeded for TestUser02
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer last message repeated 2 times
Oct 2 09:26:28 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer modprobe: modprobe: Can't locate module ppp-compress-21
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:28 PPTPServer last message repeated 4 times
Oct 2 09:26:28 PPTPServer pppd[3138]: Cannot determine ethernet address for proxy ARP
Oct 2 09:26:28 PPTPServer pppd[3138]: local IP address 192.168.0.1
Oct 2 09:26:28 PPTPServer pppd[3138]: remote IP address 192.168.0.100
Oct 2 09:26:28 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
Oct 2 09:26:31 PPTPServer last message repeated 9 times
Oct 2 09:26:31 PPTPServer pptpd[3121]: GRE: Discarding duplicate packet
Oct 2 09:27:38 PPTPServer pptpd[3137]: GRE: Discarding out of order packet
Oct 2 09:27:38 PPTPServer pptpd[3121]: GRE: Discarding out of order packet
これらは同じba8000proのLANの２台です。
LinuxにはNICは一枚しかありません。
0841login:Penguin03/10/02 15:13ID:SZBrN86R
>839
ざっと見ましたが端末は2台ともきちんと接続は確立されているようですね。
一番くさいのは
Cannot determine ethernet address for proxy ARP
のエラーメッセージじゃないかと思います
ProxyARPが使えないとPPTPサーバ－PPTPクライアント間の通信については
問題はないのですが、PPTPクライアントに割り振られたIPに別のローカルの
マシンからアクセスしようとしてもARPの反応が無いので通信ができません

ちなみにpptpdの設定ファイルにはproxyarpもしくはenable proxyといった
ProxyARPの設定は入っているでしょうか。まずこの設定を試してみて
PPTPクライアント相互でpingを打ってみてください
0842login:Penguin03/10/03 13:18ID:4yjkM5c/
>>841
proxyarp確かにoptions.pptpdに書かれています。
iptablesの設定がまづいのでしょうか？上手く動きません。
modprobe: Can't locate module ppp-compress-21
これもmodules.confに書かれているのですが何故エラーが・・・・
0843login:Penguin03/10/03 19:30ID:jddS9gUD
>842
ppp-compress-21についてはbsd_compがカーネルモジュールとして
作られていないかもしれません。
/lib/modules/2.4.ｘｘ/kernel/drivers/net/bsd_comp.o
があるか確認してみて下さい
ただデータ圧縮の関係のモジュールなのでPPTPが2台以上だと上手く
動かない事とは関係が無さそうです。

proxyarpが機能しないのはクライアントの端末がぶら下がるPPTPサーバの
仮想ネットワークインターフェースがppp0、ppp1となる事と関係がありそうです。
この場合おそらく複数台のクライアント相互を繋ぐためにはrouteの設定が
適切にされることが必要になりますがきちんと設定されているのかを
確認したほうがいいと思います。具体的にはppp0、ppp1にぶら下がっている
リモートクライアントがきちんとホストとしてルーティングテーブルに登録されて
いるかをLinuxのPPTPサーバでifconfig、routeを実行して確認して見て下さい。

ちなみに使っているのはPopToPですか？似たケースについてパッケージ内の
HowTo-PopToP.txtというドキュメントで書かれていました。

0844login:Penguin03/10/04 03:34ID:ipq0lYSb
>>843
ifconfig
---------------------------------------------
ppp0 Link encap:Point-to-Point Protocol
inet addr:192.168.0.1 P-t-P:192.168.0.101 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1400 Metric:1
RX packets:126 errors:0 dropped:0 overruns:0 frame:0
TX packets:17 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:3
RX bytes:13036 (12.7 Kb) TX bytes:602 (602.0 b)

ppp1 Link encap:Point-to-Point Protocol
inet addr:192.168.0.1 P-t-P:192.168.0.100 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1400 Metric:1
RX packets:87 errors:0 dropped:0 overruns:0 frame:0
TX packets:18 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:3
RX bytes:7719 (7.5 Kb) TX bytes:662 (662.0 b)
0845login:Penguin03/10/04 03:37ID:ipq0lYSb
route
------------------------------------------------------------
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.0.100 * 255.255.255.255 UH 0 0 0 ppp1
192.168.0.101 * 255.255.255.255 UH 0 0 0 ppp0
xxx.xxx.xxx.xxx * 255.255.255.248 U 0 0 0 eth0
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default xxx.xxx.xxx.xxx 0.0.0.0 UG 0 0 0 eth0
0846login:Penguin03/10/04 04:47ID:ipq0lYSb
>>843
本当ですね、bsd_compがない。カーネル再構築するとき忘れてた？
ま、動いてるからよしとして、、、
poptop.txtなんてあったなんて・・・読んでみました。
トラブルシューティングに書いてある例は似てますね。
吐き出されるログの内容は違いますが、ちょっと不安です。
0847login:Penguin03/10/07 12:55ID:h5gQpdCd
インターネット----ADSLモデム----<eth0>Linuxサーバ<eth1> (red8.0)----PC(win200)
の構成でlinuxルータをつくろうとしてます。
いろんなとこをみてfirewallやマスカレードの設定をしたんですがPCからネットやメールがつながりません。
もうまったくもってのお手上げです。だれか助けてください。
1.Linuxルータからはネットもメールもできる。
2.PCからpingをうつとeth0までは通っている。
考えられる原因があったらおしえてください。おねがいします。
0848login:Penguin03/10/07 13:05ID:cpfos6Ym
>>847
ブロードバンドルータを買いなさい。
0849login:Penguin03/10/07 16:20ID:MRtKgNKt
>>1 から読んでいくと解決できるよ
0850login:Penguin03/10/07 19:37ID:Wm2AJFWo
iptablesを利用してルータ作ったら
下りは早くなったのに
上りの速度が極端におちたんだけどなんで？
0851login:Penguin03/10/08 15:02ID:1LAOpMe6
ふーん...なんでだろうね
0852login:Penguin03/10/11 19:23ID:j4FqS/CE
エスパー募集
0853arisa ◆QaHT6HayjI 03/10/16 18:45ID:jAgzjYn+
>firewallやマスカレードの設定をしたんですが
どう設定したか書きなさい
0854login:Penguin03/10/17 13:58ID:GQMqGwf1
>>847
最近iptables勉強しはじめて最初なかなかうまくいかなかった。
俺がはまった点
・スクリプトこぴぺによるミス　ネットワークが192.168.1.0.なのに192.168.0.0と
してしまったり　-j ACCEPTを-j ACCEPなんてした場合はエラーがでるからわかるけど。
・前の設定が残っててそれが影響してしまってる
最初にちゃんとiptables- X iptables -t nat -F iptables -t filter -F
なんかで前の設定を消さないとだめ。
・winにzonealarmとかあるとうまくいかない事もあった。

この辺チェックしてマスカレードの設定ちゃんとすれば動くはず。
0855login:Penguin03/10/18 14:31ID:iuokmhC1
優しいね
0856login:Penguin03/10/18 16:08ID:OBCHodzK
っていうか上手くいかないときに
iptables -Lや
iptables -t nat -Lで
確認することのほうが重要だと思う
0857login:Penguin03/10/20 14:19ID:d9wX1vd2
DYDNSの状態で、IPTABLESで管理しているLinux Routerを使ってLANのApacheって公開できんの？
固定IPじゃなきゃダメなのかな
0858login:Penguin03/10/20 14:22ID:GMbhR+s8
>>857
出来ません。ていうか公開しないでください。
0859login:Penguin03/10/20 14:30ID:d9wX1vd2
>>858
そうなのか。他にも手段はないのかな？
gateway上でapacheにproxyさせるくらいしか手段がないのかなぁ。だとしたら不便だ。
0860login:Penguin03/10/20 14:31ID:d9wX1vd2
なんかスレ違いっぽいので、別スレで質問しますね。ありがとう。>>858
0861login:Penguin03/10/21 02:38ID:p7kxLSrR
関係ないが有料DNSってないのかな？
086286003/10/21 14:11ID:NAHg+2CY
別板で聞いたら iptablesでできることがわかり、動作も確認しました。
linux板はうそつきですね。
0863login:Penguin03/10/21 14:28ID:BJKrJQpm
やっぱり教えるんじゃなかった。
0864login:Penguin03/10/21 14:29ID:BJKrJQpm
俺はキチガイを見分ける天才だな。
0865login:Penguin03/10/21 14:32ID:B0eQGHKH
>>862
> 固定IPじゃなきゃダメなのかな
こんなことかいてるから、からかわれるんやんか(笑
0866login:Penguin03/10/21 14:57ID:NAHg+2CY
>>865
知るか、そんなのｗ
0867login:Penguin03/10/21 16:19ID:N13eSlHi
で、実際ポートフォワードってどうやるの？

IPT=/sbin/iptables
$IPT -t nat -A PREROUTING -i ppp0 -p --dport 80 -j DNAT --to 192.168.0.1
とかやるだけでいいの？
0868login:Penguin03/10/21 16:57ID:Q31LUkBa
>>867とか だけ を好きに解釈していいならそれでいいべ
0869login:Penguin03/10/21 16:57ID:N13eSlHi
--toじゃなくて--to-destinationか
これであとは適切なCHAINをACCEPTにすればOKというわけね。

http://www.ckjames.com/system/iptables.html
ここの概念図は分りやすかった。
0870login:Penguin03/10/21 17:06ID:N13eSlHi
netfilterの処理の流れは今までこうだと思ってた。

<INPUT>--<PREROUTING>--<FORWARD>--<POSTROUTING>--<OUTPUT>

FORWARDのところでルーティングのルールを適用って感じに。
全然違ったなｗ。INPUT,OUTPUTはあくまで自ホストに対するパケットの
入出力という意味だったのね。。。
>>869の図はいままでいい加減に理解してたのを正してくれた。
マジで感謝。
0871login:Penguin03/10/24 07:12ID:wGbvR58d
2chからのポートスキャンに対するパケットをはじくやりかた教えてください

http://qb.2ch.net/test/read.cgi/operate/1063587910/
の>>5にでているのですが情報が古いようなので

いまはこんな感じらしいです

61.211.226.250/32
64.62.128.0/17
64.71.128.0/18
65.19.134.162/32
65.19.142.0/24
203.192.159.248/29
210.224.161.33/32
216.218.128.0/17
0872login:Penguin03/10/24 09:16ID:d4syrfCy
>>871
IPTABLES="/sbin/iptables"
EXTIF="eth0"
# 61.211.226.250/32の場合
$IPTABLES -A INPUT -s 61.211.226.250/32 -i $EXTIF -p tcp ! --sport 80 -j REJECT
0873login:Penguin03/10/26 02:45ID:Pr89mGhe
IPアドレスをIPと略すな
0874login:Penguin03/10/26 18:20ID:RzRQyBSU
redhat9でMSCHAPv2対応のpptpサーバ
って立てられないんですか？
0875login:Penguin03/10/28 15:56ID:SKKAZqoO
$/sbin/iptables -t filter -L
として、テーブルを一覧表示したときに、
インターフェイスが表示されないのって分りにくくないですか？
例えば、多くの人はINPUTチェインは-i ioというのは無条件で
ACCEPTしてると思いますが、これのインタフェイス名が
表示されないとなんのことかさっぱり分りません。

インタフェイス名を表示しない何か深い理由でもあるんでしょうか？
0876login:Penguin03/10/28 16:27ID:PHC0YfN2
オプション -v
ソースコードの履歴でも調べれば理由がわかるかもな。
そんな細かい事に気を取られてると高速道路で事故るぞ。
0877login:Penguin03/10/28 23:18ID:SKKAZqoO
>>876
おはずかしい。。。どもありがとうございます。
次は/sbin/tcでトラフィックコントロールを調べてみます。
0878login:Penguin03/10/29 13:01ID:JbMqeu6/
>>874

http://pptpclient.sourceforge.net/howto-redhat-90.phtml

Clientって書いてあるけどサーバ構築できました。
カーネルを再コンパイルしないですんだので楽でしたよ。
0879login:Penguin03/11/01 09:06ID:ixOgbI17
>>878
RH9.0はそのままでいけるんだ～～
漏れはまえやったときはカーネルにパッチあてて、
さらにpppを入れ替える必要すらあった
0880login:Penguin03/11/04 03:48ID:p/1ZUcA2
もつかれさん
0881login:Penguin03/11/05 13:00ID:yyvaioQX
（･∀･)renice!
0882login:Penguin03/11/05 13:01ID:yyvaioQX
IDがvaioだ・・・
0883login:Penguin03/11/11 17:50ID:oC5loP1A
バイオスレに逝けば神になれるぞ
0884login:Penguin03/11/14 00:24ID:CCJ44e+w
質問があります。
ifconfigは、SolarisとLinuxで動作が違うってほんと？
0885login:Penguin03/11/14 00:56ID:MAWI6fOy
このスレと関係あるの？
0886しょしーんしゃ03/11/25 07:57ID:inC5SloQ
ip_conntrack_ftp 稼動機では ftpd の待ち受けポート変えたほうが良いみたい。。( router兼ftp鯖 )
0887login:Penguin03/11/25 13:49ID:zrTyBVpR
？？？
0888886 スレ汚しすみません03/11/26 08:55ID:3u04iNdx
ごめんなさい、激しく勘違いしてました。
0889login:Penguin03/12/07 23:26ID:sM6iz47F
何が基本ポリシーはDROPだｺﾞﾙｧ
まずは全ACCEPTで通るのを確認しながら一つ一つ設定につめるんだろうが
だから最初で失敗して諦めるﾔｼいるんじゃねｰか？

で、2chは串外しとグローバルIPとIPマスカレードとDNS動けば書き込めるんじゃねｰか
何苦労してたんだ漏れ∧||∧
0890login:Penguin03/12/17 01:33ID:+hBhL6wT
失敗を恐れずフロントエンド使おう。
0891login:Penguin03/12/18 23:47ID:VPJwm+8X
ｺ｣｡｢iptables ﾊﾙｶｯﾃ讀ﾇ､ｹ｡｣
､､､ﾞ､ﾞ､ﾇ｡｢ipchains ､ﾋｴｷ､�ﾆ､ｿ､ﾇ｡｢iptables ､ﾇ､ﾎ 1024｡ﾁ65535 ･ﾝ｡ｼ･ﾈ､ﾎｰｷ､､､ｬ｡｢､､､ﾞ､､､ﾁｲ熙ﾞ､ｻ､｣

# Web･ｵ｡ｼ･ﾐ､ﾋﾂﾐ､ｷ､ﾆ80/TCP｡ﾊhttp｡ﾋ､ﾇ､ﾎ･｢･ｯ･ｻ･ｹ､ﾄ
/sbin/iptables -A FORWARD -p TCP -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 -d 0/0 -j ACCEPT

､ﾈ､､､ﾃ､ｿﾀﾟﾄ熙ｬ､｢､��
--sport 1024:65535｡｡､茖｡--dport 1024:65535｡｡､ﾎｻﾘﾄ熙ﾏﾌｵ､ｯ､ﾆ､篦鄒賈ﾗ､ﾊ､ﾎ､ﾇ､ｷ､遉ｦ､ｫ｡ｩ

# Web･ｵ｡ｼ･ﾐ､ﾋﾂﾐ､ｷ､ﾆ80/TCP｡ﾊhttp｡ﾋ､ﾇ､ﾎ･｢･ｯ･ｻ･ｹ､ﾄ
/sbin/iptables -A FORWARD -p TCP --sport 1024:65535 -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 --dport 1024:65535 -d 0/0 -j ACCEPT
､ﾈ､､､ﾃ､ｿｻﾘﾄ熙ｸ､网ﾊ､ｯ､ﾆ､篦鄒賈ﾗ､ﾊ､ﾇ､ｷ､遉ｦ､ｫ｡ｩ
0892891 03/12/18 23:53ID:VPJwm+8X
ごめんなさい、字が化けました。
（p2 から書き込んだら、EUC-JP になっちゃたようです。）

今、iptables 勉強中です。
いままで、ipchains に慣れてたんで、iptables での 1024～65535 ポートの扱いが、いまいち解りません。

# Webサーバに対して80/TCP（http）でのアクセスを許可
/sbin/iptables -A FORWARD -p TCP -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 -d 0/0 -j ACCEPT

といった設定がある場合
--sport 1024:65535　や　--dport 1024:65535　の指定は無くても大丈夫なのでしょうか？

# Webサーバに対して80/TCP（http）でのアクセスを許可
/sbin/iptables -A FORWARD -p TCP --sport 1024:65535 -s 0/0 --dport 80 -d 192.168.1.10 -j ACCEPT
/sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s 192.168.1.10 --dport 1024:65535 -d 0/0 -j ACCEPT
といった指定じゃなくても大丈夫なんでしょうか？
0893login:Penguin03/12/19 20:05ID:isFHMIRt
済みません。どうしても分らないので知恵をお貸しください。
IPT=/sbin/ip6tables
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
といったことがやりたいのですが、ip6tablesには--stateオプションはありません。
この場合、外部からのTCP接続を断つにはどうしたらいいでしょうか？

>>892
どうしてWebサーバに対して接続しにくるパケットのポートが気になるんですか？
0894login:Penguin03/12/19 20:16ID:1c/uBN01
>>893
SYNフラグが立っていなければIPv6パケットは通過させる
SYN ACKフラグが立っていればIPv6パケットは通過させる
それ以外はDROP
089589303/12/19 20:17ID:isFHMIRt
自己レスです。
IPT=/sbin/ip6tables
IPT -P INPUT DROP
$IPT -A INPUT -p tcp ! --syn -i sit1 -j ACCEPT
とやるだけでした。すみません。。。
0896login:Penguin03/12/19 20:23ID:isFHMIRt
>>894
ありがとうございましたm<(　)>m
0897login:Penguin03/12/26 22:15ID:WOBAFjIh
iptable について知りたいやつは下のサイト逝け

http://www.page.sannet.ne.jp/f-mizuno/linux/iptables.html
0898arisa ◆QaHT6HayjI 03/12/28 11:13ID:bq8ZJgQ3
>>892
あくまで宛先ポートが80ってだけで、元ポートで縛るかそうでないかの違いじゃないのか？
考えればわかると思われ。ipchainsはシラネ
0899login:Penguin04/01/12 18:27ID:F75/NQJ0
iptablesのフロントエンドで細かく設定できて(･∀･)ｲｲ!!のはどれだ？
0900arisa ◆QaHT6HayjI 04/01/13 18:28ID:QW+Jw00v
>>899
開発ｶﾞﾝ(　ﾟдﾟ)ｶﾞﾚ。ｗ
900(σ・∀・)σゲッツ！
0901login:Penguin04/01/14 10:12ID:uEpFbmkH
ログを /var/log/message とは別ファイルに出力
させることはできますかね？
0902arisa ◆QaHT6HayjI 04/01/14 17:02ID:Pl50Ut2+
http://www.google.co.jp/search?hl=ja&ie=UTF-8&oe=UTF-8&q=iptables+syslog&btnG=Google+%E6%A4%9C%E7%B4%A2&lr=lang_ja
>>901 このへんみてうまくいったら教えて。というか漏れが知りたいヨロ指呼
0903login:Penguin04/01/15 00:45ID:+ufbu8Y7
kern.info を別ファイルに。
これで妥協しる。
0904login:Penguin04/01/15 16:14ID:9lkUl6eQ
ULOGD使えば良いじゃん。
0905login:Penguin04/01/29 10:25ID:RwxKCNx4
ACCEPT
0906login:Penguin04/01/29 17:26ID:GtwwfVhK
文法なかなか覚えられない・・・
iptablesの文法使った戦争ゲームとかどっかに無い？
0907login:Penguin04/01/29 17:42ID:2uXbuLxE
ひとつひとつの意味が理解できれば
大丈夫じゃないですか？
0908login:Penguin04/01/30 01:04ID:kWHwzrG8
>>906
iptables 自体が戦争ゲームの防御機能みたいなものだよ。
>>907の言う通り文法を暗記するのではなく理解した方がいいと思う。
あとはたまに man すればばっちり。
0909login:Penguin04/01/30 01:15ID:QKcC6u2+
http://www.google.com/search?hl=ja&inlang=ja&ie=Shift_JIS&q=%2Fetc%2Fsyslog.conf+iptables+%2Fvar%2Flog&btnG=Google+%8C%9F%8D%F5&lr=
http://lists.ze-linux.org/2003-05/msg00150.html
これかなぁ
warnで取った時のみっぽいんだけど
他にwarnのlevelで取ってるlogが入る？
0910login:Penguin04/01/30 01:43ID:fxnx4e7o
あ、903に書いてあった･･･
しかもulogdでこのスレ出てるわ
0911login:Penguin04/02/03 22:25ID:C5BhcL2G
iptablesコマンドが使えなくて困り果てています。
原因をわかる方お教えください。
Vine2.6r3です

root@nel root]# cd /sbin
[root@nel sbin]# ./modprobe iptable_nat
[root@nel sbin]# lsmod
Module Size Used by Tainted: P
iptable_nat 25012 0 (unused)
ip_conntrack 30868 1 [iptable_nat]
ip_tables 15712 3 [iptable_nat]
ppp_synctty 6144 0 (unused)
　・
　・
[root@nel sbin]# iptables -L
bash: iptables: command not found
0912login:Penguin04/02/03 22:26ID:qlVudEuZ
./sbin/iptables
091391304/02/04 00:42ID:t9kcWz6B
すみません、パッケージインストールしてませんでした（^^;;;
0914login:Penguin04/02/04 01:07ID:7e4mKWxh
だめだこりゃ
0915　04/02/04 03:33ID:F+Z9Z/4t
iptablesに関してはいつまでも疑問、質問が尽きないと思います。
それもこれも全部これから覚えようという矢先に立ちすくんでいる
コマンドだから。慣れてないしね。
ということで安易な提案です。アルファベットのコマンド郡は
すべて日本語表記とします。標準化した単語にし羅列しましょう。
そしてフィルターにかけるのです。少々のパラメータ違いは
フィルターで修正してください。誰か作ってくだされ。
eth0からeth1へは：元が：事務所のアドレスだったら：すべて通す　とか。

0916login:Penguin04/02/04 03:37ID:aLiPA/XT
>>915
なんとなく微妙。
0917age04/02/04 04:10ID:DbzlYo5+
age
0918login:Penguin04/02/04 21:02ID:swx+Xtgw
>>915
その割にはこのスレのスピード遅くないか？
0919　04/02/06 16:27ID:fz+aop2Z
微妙でしたね。
突起したスレッドへ質問するんじゃなくて、縦横無尽に
iptablesの質問が投げられている気がするんです。2chに
かぎりません。検索して調べ自力でするにしても他人のを
テンプレートにしてシコシコ編集している感じでしょうか。
まぁそれでもいいのですが、やりたいことはこの中にある！
って感じのテンプレでもあれば最高なんですが、各行が何を
あらわしているのか初心者には？？かも。
ラベル説明も入れてのテンプレート、それもeth0とeth1と
２枚NICでのスルーフィルターなテンプレートって少ないんですよね～。
0920login:Penguin04/02/06 17:12ID:04ULX46k
>>919
んじゃ作ってみてよ。
0921login:Penguin04/02/06 22:15ID:UT6SDYh9
>>919
> 突起したスレッドへ質問するんじゃなくて、縦横無尽に
> iptablesの質問が投げられている気がするんです。2chに
> かぎりません。検索して調べ自力でするにしても他人のを
ほぅ。。。

> かぎりません。検索して調べ自力でするにしても他人のを
> テンプレートにしてシコシコ編集している感じでしょうか。
そうなの？
漏れは普通にマニュアル読んでスクリプト書いてゲートウェイマシンに適用した。
何も問題なかった。
いじょ。

つか、iptablesがわからないんじゃなくて、そもそもTCP/IPの知識がない奴が
ハマってるだけでは？
いわゆる馬鹿の壁っつーかなんつーか。。。
0922login:Penguin04/02/07 02:34ID:VzjK3kpe
>>921
最後の一行以外は完全に同意。
本やサイトで「iptables を使おう」みたいな記事を読んで
iptables を使いたくなったが基本は分かってない感じ。

>>915
ひまわりに見えますw
0923login:Penguin04/02/07 11:10ID:Zq5GnRyj
>>922
ん？

> つか、iptablesがわからないんじゃなくて、そもそもTCP/IPの知識がない奴が
> ハマってるだけでは？
これと

> いわゆる馬鹿の壁っつーかなんつーか。。。
これはイコールだぞ？
これまた馬鹿の壁か？ｗ
0924login:Penguin04/02/07 11:50ID:ja1uYjiA
(´∀｀)?
0925arisa ◆QaHT6HayjI 04/02/07 13:48ID:UWh76jPU
>>915
問題。
>eth0からeth1へは：元が：事務所のアドレスだったら：すべて通す
これをiptablesのコマンド使って翻訳し、コマンドとして表現せよ。
0926login:Penguin04/02/07 13:52ID:QLNYA2hb
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
0927login:Penguin04/02/07 17:38ID:udK8N3uQ
解説サイトでよくあるけどさぁ、
INPUTのルールでサービスを提供するポートのdportの指定があるのはわかるけど、sportの指定があるのはなぜ？
Webサーバーを提供するときにさぁ、INPUTでdportとsportに80番を指定して、REJECTしてる理由よ。
よくわからへんねんけどさぁ、俺が馬鹿なだけ？
0928login:Penguin04/02/07 17:41ID:udK8N3uQ
>>927
正誤表
正 ACCEPT
誤 REJECT
0929login:Penguin04/02/07 18:00ID:Zq5GnRyj
>>927-928
言ってることがよくわからん。
具体例示してくれ。
0930login:Penguin04/02/07 18:49ID:U9qG3rAZ
http://penguin.nakayosi.jp/linux/iptables.htmlこれを見ると

# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# iptables -A INPUT -p tcp --sport 80 -j ACCEPT

というようにTCPパケットの送信先、送信元が80番
というように二つずつACCEPTしてる。
これはどうしてなんでしょうか。--dportだけで
十分なのではないでしょうか。
0931login:Penguin04/02/07 19:01ID:U9qG3rAZ
解説しよう。
上の--dportというのは見ての通りホストに対する80番ポートへの
パケット。Webサーバを起動したらこれをしないとパケットが
Webサーバに届かない。当たり前のこと。
そして下の--sport。これは"Webサーバとは関係ない"。これは
ホストが外部のWebサーバに接続したときに、サーバーから
帰ってくるパケットを許可する設定。これがないとWebサーバとしては
機能するが、ブラウザでのブラウジングができない。

ということ、です。
0932login:Penguin04/02/07 20:11ID:udK8N3uQ
>>930
代返ありがとう。

>>931
御回答ありがとうございます。
用途によると思うが、クライアントとして使う場合は状態をみてACCEPTした方がよろしいのかな？
# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
0933login:Penguin04/02/07 20:41ID:U9qG3rAZ
>>932
わたしもそれの方がいいと思いますがね。
--sportでわざわざポートを限定する意味が素人には
わかりません。
0934login:Penguin04/02/08 13:15ID:hBU9GIC0
外からのpingに反応しないように、下の２行を追加したんだけど
自分から外へのpingもできなくなってしまった。

---
# 内部からのICMPのパケットは受け入れ、外部からのを拒否する
iptables -A INPUT -p icmp -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p icmp -s ! 192.168.1.0/24 -j DROP
---
$ ping www.yahoo.co.jp
PING www.yahoo.co.jp (202.229.198.216): 56 data bytes

--- www.yahoo.co.jp ping statistics ---
8 packets transmitted, 0 packets received, 100% packet loss
---

外へのpingができるようにするにはどうすればいいでしょうか？
0935login:Penguin04/02/08 13:29ID:3CpldwhF
-A INPUT -i 外部 -p icmp --icmp-type echo-reply -j ACCEPT
093693404/02/08 13:43ID:hBU9GIC0
>>935
外へのpingができるようになりました。
ありがとうございました。
0937login:Penguin04/02/08 16:28ID:OgV6kuhw
ﾏﾝﾄﾞｸｻけりゃfirestarter入れて、http/httpsだけokにしてみるとか...
後で変更できるしさ。
0938login:Penguin04/02/10 04:11ID:HvsgswwF
なんでiptablesコマンドから入力するの？
直接設定ファイルをviなんかで編集したほうが早くない？
0939login:Penguin04/02/10 05:38ID:EKfBTiOO
>>938
( ﾟдﾟ)ﾎﾟｶｰﾝ
(ﾟдﾟ)ﾎﾟｶｰﾝ
0940login:Penguin04/02/10 08:15ID:ev+xTTzm
↓クマのAA
0941名無しさん＠Ｅｍａｃｓ04/02/10 08:25ID:8ClRZTDp
>>938
その程度の餌でこの俺様が釣られるとでもおもってクマー（ＡＡ略
0942login:Penguin04/02/10 20:54ID:LYDwZlxW
kernel2.6もiptables？
0943login:Penguin04/02/10 21:03ID:L2A2eZa/
YES /sbin/ip6tables
0944login:Penguin04/02/15 18:55ID:/2jmpG91
DNAT されたパケットに対する応答パケットの送信元アドレスの書き換えは、
同じく PREROUTING チェーンの中で行われるのでしょうか。それとも別の
タイミングなのでしょうか。
0945login:Penguin04/02/23 02:01ID:KDLbghqF
ARP パケットを通す設定ってどうなるん？
iptables -A INPUT -p arp -s x.x.x.x/xx -j ACCEPT
としてもそんなプロトコルしらぬ、とiptables様はおっしゃる。

>>454 の書き込みを見る限り　ARP　を通す設定があるようですが
どなたか知識人の方教えてくだされ
0946login:Penguin04/02/23 06:51ID:BIDre0/I
>>945
>>443 の人の設定を見る限り、ループバックアドレスは 127.0.0.1/32 だと思ってるらしい。
さらに arp はユニキャストだと思ってるらしい。
。。。てなわけで、回答としては、

ループバックは lo <-> lo の通信なので、無意味なアドレス指定を外せ。
鯖の eth1 インターフェイス側ではブロードキャストアドレスも許可汁。

ってことでそ？
0947login:Penguin04/03/04 14:34ID:Fe5cC56v
備忘録

#/bin/sh
IPTABLES=`which iptables`

/etc/init.d/iptables stop
#$IPTABLES -t filter -F
#$IPTABLES -t nat -F

$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
#$IPTABLES -A INPUT -i ppp0 -p tcp --syn -j DROP

$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 22 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 25 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -i ppp0 -p udp --dport 53 -j ACCEPT
#---DNS in out
$IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -p udp --sport 53 -j ACCEPT
$IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 53 -j ACCEPT
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 137:139 -j DROP
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 137:139 -j DROP
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 445 -j DROP
$IPTABLES -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 445 -j DROP
$IPTABLES -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
$IPTABLES -A log_drop -j LOG --log-level warning --log-prefix iptables:
echo 1 > /proc/sys/net/ipv4/ip_forward
0948login:Penguin04/03/05 00:12ID:4wkNrEoJ
なんか中途半端。。。

つか、IPTABLES=`which iptables`って意味あるのか？
which で見つかるなら、最初から変数使わずに iptables って書いときゃいいじゃんか。
0949login:Penguin04/03/05 00:17ID:3NF/yX0Q
本人の防備なんだろうが…ポート80ないね（ｗ
0950login:Penguin04/03/05 00:31ID:DRThXmib
>>949
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
0951login:Penguin04/03/05 20:36ID:3NF/yX0Q
そかそか
0952login:Penguin04/03/05 20:54ID:UuOv6tA1
>>947,>>951
途中のACCEPTはあんまり意味無いし．．
むしろ、穴だらけでは？
0953login:Penguin04/03/06 11:45ID:4PFQWz/N
>>949-952
いや、単なる加工前のベースサンプルみたいなもんだろ？
まさか自分が作ったスクリプト晒すわけないし。
それにしちゃ、ポータビリティが悪いなってのがオレ（>>948）の感想。
0954login:Penguin04/03/06 15:25ID:3U7kIdoY
2ch流なふさぎ方ならどう書く？
0955login:Penguin04/03/06 17:19ID:joVGMsO4
今月のSDでも読んどけや
0956login:Penguin04/03/06 19:10ID:ec2h7riP
なんとなく自分のスクリプトを貼ろうと思ったが、長すぎるからやめておこう。
0957login:Penguin04/03/07 23:05ID:CwmvGaDa
しかしスレ頭の方の飛ばしっぷりとは対照的な流れだな。
0958login:Penguin04/03/09 02:34ID:MGL6T2CF
>>954

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward
0959login:Penguin04/03/12 18:44ID:ege7RAN8
lan内のマシンから外のマシンへのftpに接続できないので教えてください。
ルータマシン fedora 192.168.0.1
lan内のマシン winxp 192.168.0.2
です。
0960login:Penguin04/03/12 18:58ID:Kq4KHqkq
>>959
http://www.google.co.jp/search?num=100&hl=ja&ie=Shift_JIS&c2coff=1&q=iptables+ftp&lr=lang_ja
0961login:Penguin04/03/12 19:15ID:ege7RAN8
>>960
いや、もちろんぐぐりました。
よくわからなかったんでここで聞いてるのですが。
0962login:Penguin04/03/12 20:38ID:YIAKmyge
パソコンに、ルーターとかポートリダイレクトをさせるなら、
FreeBSDのほうが簡単だと思う。
カスタムカーネルをコンパイルしてrc.confを書き換えるだけでルーター化できた。
Linuxのiptablesは煩雑で使いにくい。
0963login:Penguin04/03/12 23:15ID:zFmHxORE
>>962
簡単便利だが、、、
0964login:Penguin04/03/13 08:56ID:w20oMagl
>>959
>>958
0965login:Penguin04/03/13 11:32ID:5vRgI0LG
>>962
> カスタムカーネルをコンパイルしてrc.confを書き換えるだけでルーター化できた。
Linuxならカーネルそのまんまで、超絶簡単なスクリプト書くだけでルーター化できるが？
0966login:Penguin04/03/13 12:17ID:q6ERIOT5
「カーネルそのまんま」って、.config は誰がどうやって書いた？
0967login:Penguin04/03/13 14:35ID:QbeWeuG5
>>965
FreeBSDの場合、カーネル構築も簡単だと思う。その辺のまとまり具合は素晴らしい。
デフォルトのカーネルに余計な機能は無いほうがいい。
Linux, BSDに限らず、余計なドライバ、機能は削除したほうがいい。

↓妥当な意見だと思うが。

http://www.unreal-info.net/ut/linux/router.html
最近のディストリが採用しているカーネル2.4系では
iptablesというコマンドしかうまく使えないのだが
実は公式ドキュメントが凄く複雑な上に、明快な例が無い為、
全く分からない。しかも、web検索でも資料が見つからない。
0968login:Penguin04/03/13 21:54ID:Qt/Mg50m
検索の仕方次第だと思われ
0969login:Penguin04/03/13 22:09ID:NRLvqNcc
iptablesは分り難い。慣れればなんてことはないけど。
慣れた後の人間が初心者を煽る構図はバッドノウハウ的だ。
0970login:Penguin04/03/13 23:45ID:5vRgI0LG
>>966
まさに馬鹿の代表意見だな。
喪前はディストロをフルスクラッチから構築してんのか？ｗ
0971login:Penguin04/03/13 23:49ID:wo2zxqnL
よくわかりませんが鳥インフルエンザおいときますね。
　　　　 , - ､, - ､
　　 , - ､i'･e･ ヽ,,･ｧ, - 、
　 4 ･ 　 ゝ - ､i'e･ ヽ､･ｧ
　 ゝ 　　i e･ 　ヽ､ ,,.-''´|
　|｀"''-,,_i　　 ,,.-''´ 　　 |
　|　　　　"'''i"　　　 ,,.-'"
　｀"''-,,_.　　|　 ,,.-''"
　　　　 "'''--
0972login:Penguin04/03/13 23:55ID:5vRgI0LG
>>967
> FreeBSDの場合、カーネル構築も簡単だと思う。その辺のまとまり具合は素晴らしい。
焦点をボカす以外の目的で、カーネル構築の簡単さに主題を移す必要はない。
>>962 を読む限り、

FreeBSD＞カーネルの再構築をしなければルーターが作れない
Linux＞インスコしたら即ルーター化可能

ってことになる。
iptables に関しては、あくまでも個人のスキルの話で、システムとは一切関係ない。

> 実は公式ドキュメントが凄く複雑な上に、明快な例が無い為、
> 全く分からない。しかも、web検索でも資料が見つからない。
公式ドキュメントが何を指しているのかわからんが、前にも誰かが書いてた通り、
iptables の man 読めば普通に分かるはず。
分からないのは iptables がどうとかではなく、TCP/IP の知識がないからだろ。
たとえば、>>962 に合わせてオレも「ルーター」と書いてるが、ルータならまだしも、
ゲートウェイを「ルーター」とか書いてるような奴が、まともにドキュメント読めるとは
到底思えない。
0973login:Penguin04/03/14 00:00ID:iIa6BLF1
>分からないのは iptables がどうとかではなく、TCP/IP の知識がないからだろ。
これは確かにそうだけど、ものの試しに使おうとしている
初心者にとってはつらい意見ではあるね。
知識をつけるまでほったらかしって訳にも行かないからねぇ。

とりあえずこんな風にしとけよボケというドキュメントが
あるといいなぁと昔ipchainsと格闘してた時に思った漏れ。
0974login:Penguin04/03/14 00:19ID:IKR6AkPH
>>969
> iptablesは分り難い。慣れればなんてことはないけど。
問題は慣れじゃないだろ。

> 慣れた後の人間が初心者を煽る構図はバッドノウハウ的だ。
今までの流れが煽りに見えるとしたら、馬鹿の僻みにしか見えないからやめとけって。

iptables は、明らかに Linux における TCP/IP スタックの実装と、TCP/IP に関する
ある程度以上の知識を持っていることを前提として作られている。

それを慣れで克服した人間は「iptables は難しい」と言うが、元々想定されたレベル
以上の人間からは、「普通にわかるだろ？」という返事がくる。
これは iptables が難しいと思っていては解決できないことで、単に FreeBSD とは
ポリシーが違うだけの話だろ？
まぁ、その逆に、netfilter や iptables を作ってる側が、想定レベルが高すぎだと思えば、
今のこの状況も変わるかもしれんが。
0975login:Penguin04/03/14 00:30ID:IKR6AkPH
>>973
> 初心者にとってはつらい意見ではあるね。
これは正にその通りだと思う。
。。。けど、作ってる側はそういう事象を、まるで意識してないように見える。

>>974読めばもうちょっと分かると思うが、要するにターゲットとしてる層が違うんだろうな。
たとえば RHL の場合、単体のホストとして設定するなら、インスコの際の設定で十分なわけで、
ゲートウェイに仕立て上げるためには、使い方を理解した上で、自分でスクリプト書ける
ぐらいじゃないとダメ。

ゲートウェイ作る→それなりの人間→それなりのスキルを要求

前提条件がこんなんだから、難しい、難しくないに分かれる。
んで、当然この板においては、前提条件考慮するから、「難しくない」が正解なんだが、
「ホントにそうなの？」って聞かれると弱いってのが本音。
0976login:Penguin04/03/14 00:40ID:2N5FBvtG
いちど設定して、雛型ができたら、
それ以降は
なにか"困ったこと"が発生しない限り
設定をいじる必要はないし

複雑なことをしてる環境以外では
"困ったこと"は半永久的に発生しない。

修正も、IPアドレスの数字を書き換える程度で済む。

Linuxに iptables/ipchains があるように
FreeBSD にも ipf/ipfw のふたつがあったような...
natd.conf とかいじったような...

手間はどっちでも似たようなもんだと思う。


カーネルの再構築はFreeBSDの

cd /usr/src/sys/どこか/conf/どこか
cp GENERIC なにか
vi なにか
config なにか
cd ../どこか/compile/なにか
make && make install

がLinuxに比べて簡単とは思わない。
0977login:Penguin04/03/14 00:52ID:P9TveHD/
rule,policy,target,chain,table
これらの言葉を分りやすく説明してみて>>974
初心者が戸惑う用語だと思うので。
0978名無しさん＠お腹いっぱい。04/03/14 00:56ID:lRNzznp3
>>972
ｷﾁｶﾞｲ登場
>焦点をボカす以外の目的で、カーネル構築の簡単さに主題を移す必要はない。
意味不明
>ゲートウェイを「ルーター」
ﾊｱ？
0979名無しさん＠お腹いっぱい。04/03/14 01:33ID:lRNzznp3
>>972
FreeBSD＞カーネルの再構築をしなければルーターが作れない
Linux＞インスコしたら即ルーター化可能
カーネルに何でも詰め込んでおけばいいと思ってる馬鹿確定だな。
いちおう、とくべつにおしえてあげるけど、
genericカーネルのオプションをわざとはずしてあるんだよ。
0980login:Penguin04/03/14 01:35ID:E+pTxKX6
こんなところで宗教論争するのはやめてくれ。
0981login:Penguin04/03/14 01:37ID:hpnpscsA
つーかさ、スレタイも読めない馬鹿は消えろよ。
0982login:Penguin04/03/14 01:41ID:SK2Hn/YY
*BSD厨(一般ユーザーにあらず)はUNIX板では無視される．
ここではバカ扱いながらも相手をしてもらえる．
0983login:Penguin04/03/14 01:59ID:NdiXnNkU
Holy Wars
ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━ !!
0984login:Penguin04/03/14 02:29ID:NdiXnNkU
どうせ今日は日曜なんだしこれ見て勉強しよう！w
Manpage of IPTABLES
ttp://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
Linux・iptables・設定・ファイアウォール・セキュリティ
ttp://penguin.nakayosi.jp/linux/iptables.html
典型的(?)なパケットフィルタリングiptables の設定方法
ttp://tlec.linux.or.jp/docs/iptables.html
iptables でファイヤウォール - Linux で自宅サーバ
ttp://www.miloweb.net/iptables.html
第7回 Linux研究会 セキュリティ対策 iptables
ttp://www.mtc.pref.kyoto.jp/linux-ken/2003/security6.htm
netfilter/iptables FAQ
ttp://www.linux.or.jp/JF/JFdocs/netfilter-faq.html
Linux のソフトウェアファイアウォール (iptables) の設定方法
ttp://www.astec.co.jp/products/ASTECX/FAQ/iptables.html
ルーター設定メモ (iptables)
ttp://www.servj.com/pc/howto/rh73_3.html
Linux 2.4 Packet Filtering HOWTO: iptables を使う
ttp://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO-7.html
Linux Security - iptablesによるパケットフィルタリング
ttp://cyberam.dip.jp/linux_security/iptables.html
Linuxで作るファイアウォール［NAT設定編］
ttp://www.atmarkit.co.jp/flinux/rensai/security04/security04a.html
iptables - Hiroshi Ichisawa Wiki
ttp://www.comm.soft.iwate-pu.ac.jp/ichisawa/pukiwiki/pukiwiki.php?iptables
0985login:Penguin04/03/14 11:28ID:IKR6AkPH
>>977
初心者はFedoraでもインスコして、ファイアウォール設定だけやってりゃいい。
勝手に自分の身の丈を越えた事をやろうとして失敗する奴は、己を知らない愚か者。

>>978
いくらなんでも馬鹿すぎだろ？ｗ

>>979
> カーネルに何でも詰め込んでおけばいいと思ってる馬鹿確定だな。
そのまま使ってもいいし、再構築してもいいし、そんなこたゲートウェイの構築とは
一切関係ない。

> いちおう、とくべつにおしえてあげるけど、
> genericカーネルのオプションをわざとはずしてあるんだよ。
だから何？
0986login:Penguin04/03/14 11:37ID:Pn9w+vZW
('A`)
0987login:Penguin04/03/14 11:52ID:P9TveHD/
>>985
ごたくならべて役立つこと何一つ書かないおまえみたいなのが一番要らない。
0988login:Penguin04/03/14 12:25ID:IKR6AkPH
>>987
んじゃ、一番いらないのはお前だなｗ
0989login:Penguin04/03/14 12:31ID:P9TveHD/
もしかして、偉そうなこといってておきながら
>>977に答えられないのか？
0990login:Penguin04/03/14 12:35ID:P9TveHD/
IKR6AkPH
DQN晒し挙げ

初心者相手に上級者ヅラ。
無能なアホがハッタリかましてるだけ。
どっちにしてもろくなもんじゃねえな。死ねよ
0991login:Penguin04/03/14 12:46ID:IKR6AkPH
>>989
今更言うことじゃないから放置しただけなんだが、相当な粘着気質だねぇ。
偉そうも糞も、わかってることが前提で作られてるって何度も書いてんだから、
初心者持ち出す時点でお前の論点はズレている。

繰り返しになるが、初心者が iptables を明示的に使う必要はない。
fedoraでもrhlでもインスコして、ファイアーウォールの設定すればいいだけ。
なんで TCP/IP やセキュリティの知識のかけらもないような輩が、
わざわざゲートウェイ構築する必要がある？
どうしてもって言うなら、一から TCP/IP について勉強してからにすれば？
0992login:Penguin04/03/14 12:52ID:IKR6AkPH
あ、なんかふと見たらスゲー勢いで連カキしてたんだ？ｗ
なんか勘違いしてるみたいだが、何も中身がなく、ただただ他人のカキコに
噛み付いてるだけの寄生虫に存在意義があるんか？ｗ
0993login:Penguin04/03/14 13:09ID:P9TveHD/
>>991
>今更言うことじゃないから放置しただけなんだが、相当な粘着気質だねぇ。
>偉そうも糞も、わかってることが前提で作られてるって何度も書いてんだから、
>初心者持ち出す時点でお前の論点はズレている。
>
>繰り返しになるが、初心者が iptables を明示的に使う必要はない。
>fedoraでもrhlでもインスコして、ファイアーウォールの設定すればいいだけ。
>なんで TCP/IP やセキュリティの知識のかけらもないような輩が、
>わざわざゲートウェイ構築する必要がある？
>どうしてもって言うなら、一から TCP/IP について勉強してからにすれば？

さてあなたのネットワークに関する幅広い知識でも披露してもらおうか。
おれはしったか野郎が死ぬほど嫌いなんだよ。知ったかは死ね。
0994login:Penguin04/03/14 13:10ID:P9TveHD/
IKR6AkPH

たかだかiptablesぐらいで得意になってるアホ。痛すぎる。泣けて来るぜ
0995login:Penguin04/03/14 13:12ID:RMQDgqmJ
IKR6AkPHは痛いが、ムキになって相手をするP9TveHD/も痛いぞ。
0996login:Penguin04/03/14 13:18ID:WcdQI0Gv
>>993
何も知らない香具師が偉そうにしているのも嫌いだなぁ．．．
0997login:Penguin04/03/14 13:20ID:LFBHTPZI
見苦しい。知識や経験は共有してこそ、はじめて価値がでるものだ。
知識の出し惜しみをするのなら、この板から去れ！
また、初心者のかたも多少聞き方に留意して欲しい。
中級、上級者も人間だ。多少、苛立つこともある。
そこのところはわかって欲しい。
0998login:Penguin04/03/14 13:22ID:IKR6AkPH
せっかく反面教師として ID:P9TveHD/　が名乗り出てくれたんで説明しとく。

世の中には、iptables がわからないって奴が結構沢山いる。
何度も書いたと思うが、これは大抵勘違いで、実は前提条件とされてる知識に欠けてるだけ。

必要なのは以下のようなもの。

1. 簡単な英語読解力（たぶん中学生程度？）
2. Linux kernel のパケットの扱い（必要なことはドキュメントに書いてある）
3. TCP/IP 一般に関する知識
4. ヴィジュアルな想像力

これらをどの程度持っているかによって、iptables の難易度は変化する。
man iptables すれば分かるって奴は、これらが必要十分な量に達しているってこと。

Q. rule、policy、target が分かりません。
　→英語の問題です。英和辞典で調べてください。
Q. INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING が分かりません。
　→netfilter の設定をするのに十分な説明はドキュメントにあります。
Q. 設定は間違いないのですが、DNSが引けません。またはftpの接続が出来ません。
　→TCP/IP に関する基礎知識を身に付けた上で、利用しているデーモンのドキュメントを
　　熟読してください。
Q. chain、table が分かりません。
　→想像力が欠落しているようです。もし難しいなら絵に描いてみてください。

この辺りのことを、なぜか「iptables がわからない」と表現する奴は一生分かるわけねーよな。
そもそも初心者＝初級者だと思って時点で、相当頭悪いんで気をつけたほうがいい。
初心者は大抵初級者でもあるが、例外もいるし、初級者が初心者とは限らない。
0999login:Penguin04/03/14 13:23ID:P9TveHD/
IKR6AkPH

何も知らない分際で、上級者の素振りだけはしたがるという
バッドノウハウを体現したような人間だな。今時こんな人間に
ものを尋ねたいなどと考える香具師はいないので、さっさと
質問スレから出ていってくれ。
1000login:Penguin04/03/14 13:24ID:LFBHTPZI
おわり
1001１００１Over 1000Thread
このスレッドは１０００を超えました。
もう書けないので、新しいスレッドを立ててくださいです。。。
レス数が1000を超えています。これ以上書き込みはできません。