rules.before 覚書

/etc/ufw/before.rules のコメント行の和訳。

before.rules には ufw コマンド行がルールへ追加される前に実行するべきルールを記述する。
設定するルールは下記のチェーンの一つとして登録する:

• ufw-before-input
• ufw-before-output
• ufw-before-forward

下記の行を削除してはならない。これを削除した場合、エラーが発生する。

*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]

必須の行はここまで。

loopback における送受信を許可する。

-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT

既に存在する接続のパケットを処理する。

-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

不正なパケットを破棄する。(loglevel が medium 以上である場合に記録を残す)

-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

受信における icmp コードを受入れる。

-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

転送における icmp コードを受入れる。

-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT

dhcp クライアントの動作を許可する。

-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT

ufw-not-local

-A ufw-before-input -j ufw-not-local

if LOCAL, RETURN

-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN

if MULTICAST, RETURN

-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN

if BROADCAST, RETURN

-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN

上記以外の non-local パケットは破棄する。

-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP

MULTICAST mDNS のサービス探査を許可する。
(必ず前述の MULTICAST 行のコメントを外しておくこと)

-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT

MULTICAST UPnP のサービス探査を許可する。
(必ず前述の MULTICAST 行のコメントを外しておくこと)

-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT

COMMIT 行を削除してはならない。削除した場合、ルールは適用されない。

COMMIT