iptables
コマンド
| コマンド | 説明 |
|---|---|
| -A | 指定したチェインの最後にルールを追加 |
| -S | 指定したチェインから削除 |
| -P | 指定したチェインのポリシーを変更 |
| -L[チェイン] | リスト表示 |
| -N チェイン | ユーザー定義チェインを作成 |
| -X チェイン | ユーザー定義チェインを削除 |
| -l | ルール番号を指定してルールを挿入 |
| -F チェイン | 指定したチェイン内のルールを全て削除 |
チェイン
| チェイン | 説明 |
|---|---|
| INPUT | 入ってくるパケット |
| OUTPUT | 生成されたパケット |
| FORWARD | 経由するパケット |
| PREROUTING | 入ってきたパケットを変換 |
| POSTROUTING | 出て行くパケットを変換 |
ターゲット
| ターゲット | 説明 |
|---|---|
| ACCEPT | 許可 |
| DROP | 破棄 |
| REJECT | 拒否(送信元に通知) |
| MASQUERADE | 送信元IPアドレスとポート番号の変換 |
| SNAT | 送信元IPアドレスの変換 |
| DNAT | 送信先IPアドレスの変換 |
| LOG | ログに出力 |
ルール
| ルール | 説明 |
|---|---|
| -s | 送信元IP |
| -d | 送信先IP |
| --sport | 送信元ポート |
| --dport | 送信先ポート |
| --to | 宛先を指定 |
| -j | 適用されるターゲット |
| -p | プロトコル |
| -i | 入力インタフェース |
| -o | 出力インタフェース |
オプション
| オプション | 説明 |
|---|---|
| -v | 詳細表示 |
| -n | 数値で表示 |
| --line-numbers | ルール番号表示 |
例
FORWARDチェインポリシーをDROPに変更。
# iptables -P FORWARD DROP
192.168.0.0/24から送られきたICMPパケットを拒否。
# iptables -A INPUT -p icmp -s 192.168.0.0/24 -j REJECT
ログを記録する場合は、LOGターゲットを使います。
# iptables -A INPUT -p tcp -dport 80 -j LOG --log-prefix "HTTP access..."
saveとrestore
# service iptables save
※centos7では、iptables-servicesパッケージのインストールが必要です。
もしくは
# iptables-save > /etc/sysconfig/iptables
# iptables-restore > /etc/sysconfig/iptables
ポート転送
eth1に届いた8080番ポートを、192.168.1.2:80に届くようにする。
# iptables -t nat -A PREROUTING -p tcp --dport 8080 -i eth1 -j DNAT --to 192.168.1.2:80
iptables6
使い方は、iptablesと同じです。
ルーターとしての利用
パケット転送
Linuxをルーターとして利用する場合は、異なるネットワーク間でのパケット転送を許可する必要があります。
そのためには、次の値が 1 である必要があります。
#echo 1 > /proc/sys/net/ipv4/ip_forward
#echo 1 > /proc/sys/net/ipv6/conf/all/forwarding
恒久的に設定するには、/etc/sysctl.conf に適切なエントリを記述したり、
/etc/sysconfig/network に次の通り記述します。
FORWARD_IPv4=yes
IPV6FORWARDING=yes
napt
192.168.0.0/24 からeth0 へ出ていくパケットは、MASQUERADE を利用する。
# iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j MASQUERADE
snat
192.168.0.1 から ens33 へでていくパケットは SNAT される。
# iptables -t nat -A POSTROUTING -o ens33 -j SNAT --to-source 192.168.0.1
dnat
ens38 から入ってくるパケットは 192.168.0.2 へ変換される。
# iptables -t nat -A PREROUTING -i ens34 -j DNAT --to-destination 192.168.0.2
firewall
とりあえず、CENTOS7 からは、firewall に変わっているので、ここを主に抑えておく。
ゾーン
| ゾーン | 説明 |
|---|---|
| public | インターネット上の公開サーバー用（デフォルト） |
| dmz | DMZ |
| work | 社内LANにあるクライアントPC用 |
| home | 家庭内LANにあるクライアントPC用 |
| internal | |
| external | 外部ネットワークのインターフェース設定用 |
| block | 受信パケットを全て拒否 |
| drop | 受信パケットを全て破棄 |
| trusted | 通信を許可 |
firewall-cmdのオプション
| オプション | 説明 |
|---|---|
| --state | 状態表示 |
| --reload | 再読み込みして反映 |
| --permanent | 永続設定する |
| --get-zones | 定義されているゾーンを一覧表示 |
| --get-services | 定義されているサービスを一覧表示 |
| --list-all | 指定したゾーンで有効な項目を全て表示 |
| --list-services | 指定したゾーンで有効なサービスを全て表示 |
| --add-services=サービス名 | 指定したサービスを有効にする（許可する） |
| --add-port=ポート番号/tcp・udp | 指定したポート番号を許可する |
| --remove-service=サービス名 | 指定したサービスを無効にする（拒否する） |
| --remove-portポート番号/tcp・udp | 指定したポート番号を拒否する。 |
| --zone=ゾーン | ゾーンを指定する（デフォルトはPublic） |
ufw
Ubuntu では、より簡単にファイヤウォールの設定ができる、ufwを使うのが一般的です。
- ファイヤウォールのルールは番号が若い順から評価される。
- 評価したルールは、/etc/ufw/user.rules(IPv4)、/etc/ufw/user6.rules(IPv6)に保存される。
ufwのオプション
| サブコマンド | 説明 |
|---|---|
| enable | 有効 |
| disable | 無効 |
| status | 状態表示 |
| status numberef | 状態をルール番号とともに表示 |
| status verbose | 状態を詳細に表示 |
| allow | 許可 |
| delete | 削除 |
| insert | ルール番号を指定して追加 |
| default | デフォルトのポリシーを設定 |
セキュリティ対策
Smurf対策
ブロードキャストを無視する場合は、次のように指定します。
ICMP echo request がブロードキャストの場合は無視して、ICMP echo reply を返しません。
これは、Smurf対策（特定のコンピュータに繋がるかどうか確認する「ping」コマンドで使われるパケットの送信元を偽装し、標的に向けて大量のパケットを送りつける攻撃手法。）の一つです。
#echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
SYS flood対策
SYS flood対策 (TCPの3ウェイハンドシェイクにおいて、第1段階のSYNパケットを連続して送信する攻撃) には、tcp_syncookies を 1 にするとよい。
#echo 1 > /proc/sys/net/ipv4/tcp_syncookies
リンク
ハマる前に理解する「Firewalld」の設定方法、「iptables」との違い
iptables -t nat -A POSTROUTING -s 192.168.1.32 -j SNAT --to-source 192.168.1.254