トップページ⇒linux
1001コメント407KB

おい、iptablesの使い方を具体的に詳しく教えろ！

■ このスレッドは過去ログ倉庫に格納されています
0001初心者01/09/18 21:50ID:vcHWxUb2
家庭内ＬＡＮのルーターとして使いたい。
web, ftp, mailサーバーをうごかしつつ、ＩＰマスカレードして
ＬＡＮのＰＣをそとにつなげたい。
コネクションはＡＤＳＬ、ＩＰはグローバルひとつだけ。

具体的なiptablesのコマンドを教えろ。
それと、/etc/sysconfig/iptablesって何なの？これについてもね。

急いでいるのですばやい解答を求む
0652login:Penguin03/05/19 16:45ID:SRz0lKrH
#!/bin/sh
halt
0653login:Penguin03/05/19 20:20ID:WwFWHDXI
>>651
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
だったっけ？
0654login:Penguin03/05/21 18:39ID:nL9KCPvu
>>651
echo 1 > /proc/sys/net/ipv4/icmp_ignore_all
0655山崎渉03/05/22 01:54ID:VfjbtMwi
━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━―
0656login:Penguin03/05/22 14:54ID:uAd57jrG
ﾆﾔﾆﾔ(･∀･)
0657login:Penguin03/05/24 08:31ID:CD1FcCru
INPUTをDROPにして指定ポートだけ通してるんですけど、
DROPとREJECTってどう違うんですか？
0658login:Penguin03/05/24 12:45ID:lpqyp6ka
発信元にエラーを返すか返さないか
0659login:Penguin03/05/25 17:48ID:0DsBJvnF
657ではないですけど、
INPUTは初めDROPにして個別のポートを許可していく、ってのはわかるんですけど、
OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
これって帰りパケットがポートを指定できないからですか？

WINならNORTONとかでアプリケーションごとに許可、不許可を制御できますけど
そういうことはできないんですか？
0660login:Penguin03/05/25 23:21ID:tNcj3C/f
>>659
＞OUTPUTは全部ACCEPTって解説してるとこが多いですよね。
＞これって帰りパケットがポートを指定できないからですか？

OUTPUTもINPUTと同じように設定できるよ。INPUTほどの需要はないだろうけど。
あと、-t nat で MASQUERADE とかをすれば、OUTPUT ってあまり意味がないことがけっこうある。
0661login:Penguin03/05/25 23:24ID:+UFjIiBi
http://elife.fam.cx/
0662login:Penguin03/05/25 23:37ID:RjF4OPfs
ttp://www.amazon.co.jp/exec/obidos/ASIN/4822209318/ref%3Dlm%5Flb%5F7/249-1574439-8905158
066365903/05/26 01:07ID:MWnWBy5f
>>660
なるほど、ありがとうございます。いじってみます。
0664login:Penguin03/05/27 21:00ID:dUqN+tj1
iptablesを弄りはじめた者です。
参考に、技術評論社の「はじめてのファイアウォール」買いました。

192.168.1.0/255.255.255.0　 　 　 　 　 　 192.168.0.0/255.255.255.0
win2k -------------- eth0 RedHat8 eth1 ----- ダイヤルアップ
　 .101　 　 　 　 　 　 　.1　 　 　 　 　 　 　 .1　 　 .254　 　 ルーター

こんな構成で、Win2kのpingで、192.168.0.254してもタイムアウト
になってしまいます。

# /sbin/sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1
にはなっていて、
# /sbin/iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.0.1
もしてみました。

何か基本の設定でミスしてますでしょうか？
0665山崎渉03/05/28 16:41ID:3t6i6zxR
　　　 　∧＿∧
ﾋﾟｭ.ｰ　(　　＾＾ ） ＜これからも僕を応援して下さいね（＾＾）。
　　＝〔~∪￣￣〕
　　＝ ◎――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉
0666login:Penguin03/05/28 19:15ID:TJoLXDe+
その質問には重大な欠陥があるため
誰も答えられません>>664
066766403/05/28 19:31ID:HTjMuq1u
>>666

重大な欠陥‥‥‥‥‥‥‥‥？？



あ、OSが書いてないですね。
OSは、RedHat8.0です。
あとはなんだろう？iptablesのバージョンとか必要ですか？
RedHat8をインストールしたままなので、iptables-1.2.6a-2
になってます。

とにもかくにも、192.168.1.0ネットワーク側から、192.168.0.0側にPingを
通したいです。
0668login:Penguin03/05/28 21:11ID:wAyGaDP6
>>667
いやそもそもroutingの設定は？
routeの結果を貼りなよ。
0669動画直リン03/05/28 21:13ID:mI34jXYU
http://homepage.mac.com/hitomi18/
067066403/05/28 22:19ID:sTqi3jRG
>>668

routeの結果ですが、次のようになっています。

# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
192.168.0.0 * 255.255.255.0 U 0 0 0 eth1
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 192.168.0.254 0.0.0.0 UG 0 0 0 eth1
0671login:Penguin03/05/28 22:54ID:wAyGaDP6
>>670
routeの設定は問題ないようだが
そもそもredhat8からダイヤルアップルータにはpingは通っているの？
ダイヤルアップルータ自体のルーティングの設定は？

それとwin2kはDHCP？それとも固定で101を振ってるの？
固定だとは思うけど、もしDHCPならdhcpd.confの内容を確認。

win2k-ルータLAN間、win2k-ルータWAN間でもpingが通っているのかなどを
試してまずどこの問題かを切り分けなよ。
067266403/05/28 23:11ID:sTqi3jRG
>>671

それは大丈夫です。squidを入れてみたら、win2kからサイトは見れます。(3128に設定すれば)

RedHat8 → Win2k や、RedHat8 → ルーター間pingは正常です。
Win2k → RedHat8 もping通ります。

ただ、192.168.1.101は、dhcpが振った結果です。
dhcpで、>>664の図の様な事をするには、なにか記述が必要でした
でしょうか？
手持ちの参考書(ネットワークサーバー構築ガイド等)では見付けら
れませんでしたので、もしなにかありましたら教えてください。
0673bloom03/05/28 23:13ID:mI34jXYU
http://homepage.mac.com/ayaya16/
0674login:Penguin03/05/29 00:12ID:1DRPv6wX
>>672
dhcpd.confの設定に
option routers 192.168.1.1
は入ってますか。つまりwin2000のgwがどうなっていますか。
ipconfigで調べてください。

Win2k->Redhat8のWan側へのpingはどうですか。

# echo 1 > /proc/sys/net/ipv4/ip_forward
とかやってからpingを打ってみたらどうですか。
0675原田03/05/29 07:39ID:5/9Q5GYM

iptablesで50代のPCをインターネットへマスカレードしてるんでつけど、
たまにインターネットに接続できなくなるPCが出ます。
ただし、他のPCからインターネットへは接続できてますし、
接続できなくなったPCでもすでにEstablishedなTCP接続は通信できてます。
つまり、新たなTCPセッションが張れないようなのです。

これって、マスカレードのテーブルとかがいっぱいになってしまっているのかな？
特にカーネルのログには何も出てないのだけど。詳しい方お願いします〜
0676login:Penguin03/05/29 10:31ID:1DRPv6wX
これはiptablesの問題ではなく
カーネル自体の同時コネクション（セッション）数の問題ではないかと思います。

ゲートウェイ向けの適切なページが見つからなかったが
この辺ですかね。サーバの事例ですけど
ttp://www8.ocn.ne.jp/~diary/linux/tuning.html

この辺を参考に同時コネクション（セッション）数を増やすようにカーネルの再構築を
してやればいいんじゃないかと思います。



0677login:Penguin03/05/29 15:22ID:5/9Q5GYM

なるほど・・・
そういうことが原因とも考えられるんですね。
ありがとうございます。
0678_03/05/29 15:29ID:yrkPpXVA
http://homepage.mac.com/hiroyuki43/hankaku10.html
0679login:Penguin03/05/29 19:32ID:Gz1n6K9b
192.168.0.*から外に出る窓系パケットを阻止するには？
068066403/05/29 19:52ID:WuQG5EFD
>>674

option routers 192.168.0.254

が設定してありました。
試しに、192.168.1.1にしたら、ping通りました。ありがとうございます。

>>664の図だと、ゲートウェイは192.168.0.254なのでそう設定したの
ですが、LAN側から見れば、192.168.1.1がゲートウェイって事になる
という理解で良いのでしょうか？
0681login:Penguin03/05/29 21:35ID:7ylBZWMl
っていうか常識
反省しる
0682login:Penguin03/05/29 21:36ID:7ylBZWMl
ＬＡＮじゃないとＬＡＮ側のマシンから192.168.1.1にもpingが飛ばんはず
068366403/05/29 21:56ID:WuQG5EFD
>>681

はぁ、すみません。
0684login:Penguin03/05/29 22:14ID:qBOBeDWk
ありゃま。このスレまだあったんだ。

乙〜
068567403/05/29 22:17ID:1DRPv6wX
>>680
というかGWというのはホスト側のルーティングテーブルで見つからない
IPがある時にどこを通じて探しに行くかを指定するためのものなので
次のステップでたどるIPを指定します。今回の場合はルータのLAN側の
IPになります。

ただ反省はしる
0686_03/05/29 22:22ID:AXKLPNQk
http://homepage.mac.com/hiroyuki43/jaz10.html
0687login:Penguin03/06/02 23:46ID:bhT8EpXU
(･∀･)renice!
0688login:Penguin03/06/02 23:49ID:Kvuxg1vP
hosts.allow/denyで十分
0689login:Penguin03/06/11 00:58ID:YUlq9U2M
age
0690sage03/06/11 21:51ID:HxuBPB3T
winnyでもやろうと思って
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to 192
.168.1.3
って書いたんだけどノードに接続されない。なんでだろ？
0691login:Penguin03/06/11 22:48ID:J8VaLWEp
>>690
INPUT や FORWARD はどうなってる?
0692sage03/06/11 23:21ID:HxuBPB3T
こんなかんじ　>691
# Flush chains
/sbin/iptables -F
#
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT DROP
/sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
/sbin/iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -d 192.168.1.0/24 -j ACCEPT
/sbin/iptables -A INPUT -m state --state ESTABLISH,RELATED -j ACCEPT
# Flush Nat Rules
/sbin/iptables -t nat -F
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
/sbin/iptables -A FORWARD -m state --state ESTABLISH,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p icmp -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p udp --dport 53 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 110 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 25 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 20:21 -j ACCEPT
## for winny
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
/sbin/iptables -t nat -A PREROUTING -p udp --dport 7721 -i eth0 -j DNAT --to-destination 192.168.1.3:7721
試行錯誤中です・・・
0693login:Penguin03/06/11 23:21ID:NSKvgHnY
>>690
eth0ってのが謎だ。
ルータ使ってるなら、NATはルータのところでやらないと意味ない。
0694sage03/06/11 23:24ID:HxuBPB3T
>692
ちなみに
eth0が内向き、eth1が外向きなDSL環境です。
0695login:Penguin03/06/12 00:52ID:Q2F7oLMu
7721 -i eth0 -j
7721 -i eth0 -j
ここらのデバイスが怪しそうだね
0696sage03/06/12 00:56ID:0rWbDqKn
あやしいというと？
0697login:Penguin03/06/12 01:27ID:KEQ6Z9u5
>>696
sageを書くところ間違えてるぞよ。
0698login:Penguin03/06/12 07:37ID:7Hrv7mJB
>>692
FORWARD でも 7721 を許可しないとダメじゃない?
/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j ACCEPT
んー、こんな感じのルールを追加かなぁ。未確認だけど。
0699login:Penguin03/06/12 07:41ID:7Hrv7mJB
>>694
って、君のルールでは INPUT も OUTPUT も eth0 になってるけど、大丈夫?
0700login:Penguin03/06/12 15:42ID:wXoAXDh8
700（σ´Д｀）σｹﾞｯﾂ!　　
0701login:Penguin03/06/12 19:57ID:0rWbDqKn
>699　698
INPUT OUTPUTともeth0にしないと外に出て行けない模様・・・。

/sbin/iptables -A FORWARD -i eth0 -p tcp -d 192.168.1.3 --dport 7721 -j
ACCEPT
も足してみたがだめぽ。

何が足りないのでしょう。
BBSポートは開けなくても関係ないのですよね？
0702login:Penguin03/06/12 21:50ID:IUhvIjAF
俺は下の設定だけでOKだよ。

# Winny用設定
$IPTABLES -t nat -A PREROUTING -p tcp --dport 7743 -i eth1 -j DNAT --to 192.168.1.8

eth1　は外向きね
0703login:Penguin03/06/13 08:01ID:CHhh0mQD
##for winny
/sbin/iptables -A FORWARD -i eth0 -p tcp --dport 7721 -j ACCEPT
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 7721 -i eth1 -j DNAT --to 192.168.1.3

702を参考にこれだけにしてみた。
winny v.1.14
ノードは「切断」のまま。
0704login:Penguin03/06/13 20:46ID:CHhh0mQD
702さん。
winny以外のiptableの中身を見せてもらえませんか？
0705login:Penguin03/06/14 23:50ID:x4RlFOIG
## for winny
/sbin/iptables -A PREROUTING -t nat -p tcp -i eth1 --dport 7743 -j DNAT --to 192.168.1.3
/sbin/iptables -A FORWARD -p tcp -d 192.168.1.3 --dport 7743 -i eth0 -j ACCEPT

上記のように変更(portをデフォルトに変更)。
後、下記を追加。

# 外部に転送される接続開始パケットを許可
/sbin/iptables -A FORWARD -m state --state NEW -i eth0 -j ACCEPT

とすると、とりあえず検索リンクノードがつながった。転送ノードも。
が、ポート警告が多発。何が原因だろー・・・。
0706login:Penguin03/06/15 12:28ID:azlVQyvB
結局、これが必要でした。

/sbin/iptables -A FORWARD -m state --state NEW -i eth1 -j ACCEPT

0707login:Penguin03/06/22 19:40ID:fmmjVQJB
(･∀･)renice!
0708login:Penguin03/06/22 21:57ID:UWWv2/TA
(･∀･)nurse!!
0709login:Penguin03/06/24 15:18ID:g0iS44ms
次の方どうぞ〜
0710login:Penguin03/06/24 19:34ID:hmazE3h+
では次です。
こてこてのWIN＆NORTONユーザーです。
RedHat8.0です。iptablesで↑みたいにアプリケーション(デーモン？)ごとに
in&outを設定できないのでしょうかあと、目的地アドレスなど...、ワイルドカードは設定できますか？
できるのであればその書式を教えてください。
0711_03/06/24 19:46ID:Ff9f5Auo
http://homepage.mac.com/hiroyuki44/
0712login:Penguin03/06/24 23:13ID:a09y3Re5
>>710
具体的に何をやりたいのかを書いてくれないと、アドバイスできないよ。

> アプリケーション(デーモン？)ごとにin&outを設定できないのでしょうか
それはポートの指定という事?
> 目的地アドレスなど...
--to-destination とか?
> ワイルドカードは設定できますか？
何についてワイルドカードを指定したいの?

とりあえず、man 8 iptables とか JF の関連文書をさらっと流し読みする
事をおすすめするよ。
0713login:Penguin03/06/25 00:10ID:KwvN6Qqp
>>712
ありがとうございます。http://www.linux.or.jp/
のドキュメントを探ってみました。ずいぶん詳しく書いてあるんですね。
今まで検索で探した個人サイトと薄い雑誌片手にいじってたので
灯台下暗しな感じです。とりあえずここ読んでいろいろやってみます。
0714login:Penguin03/07/01 12:20ID:WonPOf/8
(･∀･)renice!
0715login:Penguin03/07/01 19:34ID:42y6vZ+A
ほいほい次の方どうぞ〜
0716login:Penguin03/07/01 23:04ID:fS8NPmw8
窓OSが外に出すパケットって何がありますかねぇ
くだらんパケットを外に出したくないのだが…
>>600,601だけでいいのかな？
0717login:Penguin03/07/02 04:54ID:zXlsx5Mm
>>716
> 窓OSが外に出すパケットって何がありますかねぇ
いろいろ。

ちなみに、>>600,601 は外に出るパケットじゃないぞ?
NetBIOS / SMB がらみをステたいんなら、
iptables -j DROP -A WAN_OUT -p tcp --sport 137:139
iptables -j DROP -A WAN_OUT -p udp --sport 137:139
iptables -j DROP -A WAN_OUT -p tcp --sport 445
iptables -j DROP -A WAN_OUT -p udp --sport 445
な感じかな。単純に。
0718login:Penguin03/07/02 06:34ID:FyzJOg48
gaintickerも遮断しないと...。
0719login:Penguin03/07/02 20:43ID:inxQOqpT
sport？ dportでなくて？
072071703/07/02 20:49ID:H0iI59Zt
うへ。-A WAN_OUT って何だよ! 自分の設定そのまま書いてしまったよ。
iptables -N WAN_OUT
iptables -j WAN_OUT -A OUTPUT -o ppp0
iptables -j WAN_OUT -A FORWARD -o ppp0
みたいにして適当に置換してくださいな。

>>718
gainticker って何ですか? ぐぐってもわからんかった。
072171703/07/02 20:57ID:H0iI59Zt
>>719
これらは s も d も同じポートなんでどっちでも OK だと
思いましたが…… なんか自信なくなってきた。
072271703/07/02 22:20ID:H0iI59Zt
>>719
いろいろ検索してみたら、やっぱり dport の方が正しいみたい。
それと、OUTPUT ではなくて -t NAT -A PREROUTING で弾いてる
例も見つかった。
0723login:Penguin03/07/03 01:01ID:ht5694mz
この窓系パケットの吐き出しを確認されると
「こいつ電源入れたな、ﾌﾌﾌﾌ」とか覗き見されているような気がする悪寒
0724login:Penguin03/07/03 14:19ID:dXk/b8vm
>>718
すまそ。gaintrickerじゃなくてgain_trickler_*****.exeでした。gain_tricklerでググればいくつかでてきますね。
漏れはdivx　スパイでググッたけど。

divxコーデックのpro-free版入れると広告ソフトがバンドルされるってやつで、
具体的にはgain_trickler_*****.exeがポート80からポップアップ広告とか発生させるソフトを
勝手にインストールしにいったり。訴訟問題になってるとかどうとか。

gain_trickler_*****.exeが起動してないとdivxでエンコードできない。
アンインストールとかも、フォルダごと削除とかもダメ。
けど、起動してればオフラインでもエンコードできます。
つまり、ファイアウォールで遮断しちゃえばいいわけです。

>>710 みたいにWIN上で遮断してればいいけど、LINUXルータ使うってことになると、
クライアントの80番を遮断しなくちゃならなくて使い物にならないかな。
WIN上のアプリ、ポートを特定して遮断するiptablesの設定は漏れもわかりません。

以上はdivxコーデックのpro-free版の話で、
見るだけでいいって人はfree版だからgain_tricklerは出てこないと思います。
0725login:Penguin03/07/04 01:32ID:WvGXfYby
$iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 137:139 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p tcp -d 0/0 --dport 445 -j DROP
$iptables -A OUTPUT -s 192.168.0.0/24 -p udp -d 0/0 --dport 445 -j DROP

そとに出さないようにするにはこれでいいのかえ？
0726login:Penguin03/07/04 12:09ID:I/1UFkk5
(･∀･)renice!
0727login:Penguin03/07/06 23:47ID:lEtq+gmE
(･∀･)renice!
0728login:Penguin03/07/08 15:14ID:nDf4bQ70
(･∀･)renice!
0729login:Penguin03/07/10 11:46ID:F+4jQmU5
ちょい質問

NIC2枚刺しのマシンで1つをppp0でグローバルIP、もう１つを192.168.0.1でルーター代わりにして
192.168.0.2という別マシンにApacheを入れてポート80を外に出したりすることは
可能でしょうか?
0730login:Penguin03/07/10 12:22ID:k/quGmdE
>>729 可能。
0731login:Penguin03/07/10 12:57ID:wmM20Chd
>>729
ポートフォワードするって事? 可能です。
DNAT PREROUTING --dport --to あたりをキーワードにして検索
すれば、もこもこと出てくるかと。
0732login:Penguin03/07/10 13:33ID:F+4jQmU5
おお、出来るのね！
3枚刺しでDMZ作ると吉ですかね？まぁ2枚でもいいや出来るとわかればさっそく
IPTABLEをマスターせねば
0733login:Penguin03/07/11 23:55ID:gM+iqZg7
>>729
実際運用中。（自宅鯖なので自己満足以外の何物でもない）
0734login:Penguin03/07/11 23:58ID:gM+iqZg7
ちなみに、
eth0が内部 192.168.0.*
ppp0(eth1)を外へ
eth2がDMZ 192.168.1.*
の３枚挿し
0735login:Penguin03/07/12 12:01ID:KIX2ylEa
4枚刺すとDMZ2とか出来るの(w
0736login:Penguin03/07/14 02:43ID:YDflspfA
age
0737山崎 渉03/07/15 11:17ID:2JhhXBQM

　__∧＿∧_
　|（　　＾＾ ）|　＜寝るぽ（＾＾）
　|＼⌒⌒⌒＼
　＼ |⌒⌒⌒~|　　　　　　　　　山崎渉
　　 ~￣￣￣￣
0738login:Penguin03/07/15 12:04ID:KhvjxSuE
(･∀･)renice!
0739login:Penguin03/07/17 19:58ID:rpTi+qmn
特定のIPアドレスを弾く方法がわからん…

特にカンコック
0740login:Penguin03/07/18 19:50ID:oqc32GAg
>>739
IP アドレス指定して DROP すりゃいいだけじゃないの?
0741login:Penguin03/07/20 22:47ID:mKHQx37j
カンコックウザー
0742login:Penguin03/07/21 06:13ID:Ys+NsPMS
ルータの作り方がわかりません
まず環境を書きます
PCは2台あります
ノートにRedhat9（NISが2枚）　eth0=192.168.0.2 eth1=null(pppoe用）
デスクにWindows2000（NISが2枚） eth0=192.168.0.1 eth1=null(pppoe用）
ハブが1個(port5)あります
接続はpppoe（フレッツADSL8M）です

redhatでiptablesでルーターにしたいんですがどうもNATがうまくいきません
Windows2000での設定もよくかりません
ご教授お願いします
0743login:Penguin03/07/21 10:14ID:Ri0+aoIL
>>742　>>1から読むべしコピペとEthデバイスの書き換え程度で動くよ
0744login:Penguin03/07/21 15:34ID:GdFmfJHS
>>740

もれは739じゃないんだけど

$IPTABLES -A ppp-in -s xxx.xxx.xxx.0/24 -j DROP

$IPTABLES -A ppp-out -d xxx.xxx.xxx.0/24 -j DROP

ではなんか弾いてくれないの。（私から鯖にアクセスできてしまうの）
何故
0745login:Penguin03/07/22 00:14ID:SbexNa9y
>>744
その条件の前に、xxx.xxx.xxx.0/24 を許可してしまうような設定が
されていたりしない?
そういう、条件を指定して DROP するような設定は、ルール (ppp-in
とか ppp-out) の最初の方に書いておくべきなんだけど、その辺どう?
0746login:Penguin03/07/22 00:16ID:Vt8vdmWh
俺はこんな風に記述してる。ちゃんと拒否されるよ。
対象アドレスは/etc/sysconfig/refuse-networkファイルに列挙。

eth_wan="eth0"
addr_wan="192.168.0.253"

/sbin/iptables -t filter -N LOGDROP
/sbin/iptables -t filter -A LOGDROP -j LOG
/sbin/iptables -t filter -A LOGDROP -j DROP

/sbin/iptables -t filter -N IN_WAN
/sbin/iptables -t filter -A INPUT -i $eth_wan -d $addr_wan -j IN_WAN

for NETWORK in `cat /etc/sysconfig/refuse-network|grep -e ^[0-9]`
do
/sbin/iptables -t filter -A IN_WAN -s $NETWORK -j LOGDROP
done
0747login:Penguin03/07/22 20:05ID:7nLOTT+A
うちの大学のSMTPサーバは内部（***.ac.jp）からしか利用できず、
自宅から使う場合はttsshのポートフォワーディングを使って利用していました。
（WindowsマシンとADSLモデム（グローバルIP）を直結）

最近Linuxルータを構築してNAT/IPマスカレードで運用していますが、
ポートフォワーディングができなくなりました。
大学へのssh接続はできるのですが、
Some Socket(s) required for port forwarding could not be initialized.
Some port forwarding services may be available.
という警告が出るようになってメールの送信ができません。
iptablesでどういう設定をすれば、今まで通り使えるようになるでしょうか？
074874703/07/22 20:07ID:7nLOTT+A
現在の設定は以下の通りです。
TTSSH -> Port Forwarding
「Local 10025 to remote "***.***.ac.jp" port 25(smtp)」

メーラー -> SMTPサーバ
localhost:10025

iptables （シェルスクリプト）
#!/bin/sh
IPTABLES="/sbin/iptables"
LAN="192.168.0.0/24"
# flush rules
$IPTABLES -t filter -F
$IPTABLES -t nat -F
# default policies
$IPTABLES -P FORWARD DROP
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
# unconditional trust in internal network
$IPTABLES -A INPUT -i eth0 -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -s $LAN -j ACCEPT
$IPTABLES -A FORWARD -d $LAN -j ACCEPT
# SSH
$IPTABLES -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT
# HTTP
$IPTABLES -A INPUT -i eth1 -p tcp --dport 80 -j ACCEPT
# Established/Related Connections
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# NAT/IP Masquerede for internal network
$IPTABLES -t nat -A POSTROUTING -s $LAN -o eth1 -j MASQUERADE
074974703/07/22 20:10ID:7nLOTT+A
補足
eth0が内部ネットワーク（192.168.0.0/24）で、eth1が外部（グローバルIP）です。
0750login:Penguin03/07/22 21:58ID:j7zVQ0Yu
>747

Linuxルータって大学側にあるの?
大学側にあるなら,iptablesの設定ではなくて,SSHではないの?

linuxルータで
ssh -L 10025:SMTPサーバ:25
とかやった?

075174703/07/22 23:28ID:7nLOTT+A
>>750
いえ、Linuxルータは自宅です。
ADSLモデムとWindowsマシンが直繋ぎだったのを、間にLinuxルータをはさむようにしたんです。
そうしてからttsshのポートフォワーディングが使えなくなりました。

> linuxルータで
> ssh -L 10025:SMTPサーバ:25
> とかやった?
これはルータ上で ssh 大学内サーバ -L 10025:大学SMTPサーバ:25 とやるってことでしょうか？
これをやってメーラーのSMTPサーバをルータにしてみましたが、ダメでした。
■ このスレッドは過去ログ倉庫に格納されています