1. iptablesの基本概念

1.1 ルールの構成要素

ルール(rule)：パケットの条件に合致した場合、定義された処理アクションを実行する判定ロジック
※ チェーン内での評価順序はルールの追加順序で決定

主な構成要素：

マッチ条件（AND条件で複数指定可能）
- 基本条件：IPアドレス/ポート番号/TCPフラグ（SYN/ACK等）
- 拡張条件：高度なマッチング機能
処理アクション（ターゲット）
- ビルトインアクション：ACCEPT/DROP/REJECT/SNAT/DNATなど
- カスタムチェーン：複雑な条件をグループ化して管理

チェーン戦略：

ホワイトリスト方式：明示的に許可したもののみ通過
ブラックリスト方式：明示的に拒否したもの以外を通過（デフォルト）

1.2 ルール作成時の考慮ポイント

実装する機能 → テーブル選択（filter/natなど）
パケットの経路 → チェーン選択（INPUT/OUTPUTなど）
通信方向 → 送信元/送信先の特定
ビジネス要件 → マッチ条件の精緻化

1.3 事前環境設定

# CentOS 7/8の場合
sudo systemctl disable --now firewalld.service

# CentOS 6の場合
sudo service iptables stop
sudo chkconfig iptables off

2. iptablesコマンド詳細解説

2.1 基本構文

iptables [-t テーブル] サブコマンド チェーン [ルール番号] マッチ条件 -j ターゲット

主なサブコマンド

オプション	説明
-A	チェーン末尾にルール追加
-I	指定位置にルール挿入
-D	ルール削除
-L	ルール一覧表示
-F	チェーン内全ルール削除
-N	カスタムチェーン作成
-X	空のカスタムチェーン削除
-P	デフォルトポリシー設定

マニュアル

 iptables [-t table] {-A|-C|-D} chain rule-specification
 iptables [-t table] -I chain [rulenum] rule-specification
 iptables [-t table] -R chain rulenum rule-specification
 iptables [-t table] -D chain rulenum
 iptables [-t table] -S [chain [rulenum]]
 iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
 iptables [-t table] -N chain
 iptables [-t table] -X  [chain]
 iptables [-t table] -P chain target
 iptables [-t table] -E old-chain-name new-chain-name
 rule-specification = [matches...]  [target]
 match = -m matchname [per-match-options]
 target = -j targetname [per-target-options]

2.2 カスタムチェーン活用例

チェーン作成と関連付け

# WEB用カスタムチェーン作成
sudo iptables -N WEB_CHAIN

# 80/443ポート許可ルール追加
sudo iptables -A WEB_CHAIN -p tcp --dport 80 -j ACCEPT
sudo iptables -A WEB_CHAIN -p tcp --dport 443 -j ACCEPT

# INPUTチェーンからカスタムチェーン呼び出し
sudo iptables -A INPUT -s 10.0.0.0/24 -j WEB_CHAIN

ルールの詳細確認

sudo iptables -vnL --line-numbers

出力例：

Chain WEB_CHAIN (1 references)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:443

カスタムチェーン削除手順

# 関連ルールを先に削除
sudo iptables -D INPUT 1

# チェーン内ルールを全削除
sudo iptables -F WEB_CHAIN

# カスタムチェーン削除
sudo iptables -X WEB_CHAIN

3. 実践的な活用テクニック

3.1 複数ポートの一括指定

sudo iptables -A WEB_CHAIN -p tcp -m multiport --dports 80,443,8080 -j ACCEPT

3.2 特定ホストのアクセス制限

# 10.0.0.6からの接続を拒否
sudo iptables -I WEB_CHAIN 2 -s 10.0.0.6 -j DROP

# ICMPプロトコルのみ許可
sudo iptables -A WEB_CHAIN -p icmp -j ACCEPT

3.3 チェーン評価の早期終了

# 特定条件でメインチェーンに戻る
sudo iptables -I WEB_CHAIN 3 -s 10.0.0.100 -j RETURN

4. トラブルシューティングTips

ルールの優先順位：上から順に評価されるため、詳細な条件を先に記述
ログ出力活用：問題のあるパケットをログに記録して分析
```
sudo iptables -A INPUT -j LOG --log-prefix "[IPTABLES DEBUG] "
```
ポリシー確認：デフォルトポリシーが意図しない動作を引き起こしていないか確認
```
sudo iptables -S | grep POLICY
```

4.1 カスタマイズ

[root@centos8 ~]#iptables -N web_chain 
[root@centos8 ~]#iptables -N web_chain -t nat
[root@centos8 ~]#iptables -X web_chain -t nat
[root@centos8 ~]#iptables -E web_chain WEB_CHAIN
[root@centos8 ~]#iptables -A WEB_CHAIN -s 10.0.0.6 -p tcp -m multiport  --dports 
80,443 -j REJECT
[root@centos8 ~]#iptables -R WEB_CHAIN 1  -s 10.0.0.6 -p tcp -m multiport  -
dports 80,443,8080 -j REJECT
[root@centos8 ~]#iptables -vnL  WEB_CHAIN
 Chain WEB_CHAIN (1 references)
 pkts bytes target     prot opt in
     out     
1    
60 REJECT     tcp  --  *      *       
source
 10.0.0.6             
               destination 
0.0.0.0/0   
         multiport dports 80,443,8080 reject-with icmp-port-unreachable
 [root@centos8 ~]#iptables -AINPUT -j WEB_CHAIN 
 [root@centos8 ~]#iptables -X WEB_CHAIN
 iptables v1.8.2 (nf_tables):  CHAIN_USER_DEL failed (Device or resource busy): 
chain WEB_CHAIN
 [root@centos8 ~]#iptables -F  WEB_CHAIN
 [root@centos8 ~]#iptables -X WEB_CHAIN
iptables v1.8.2 (nf_tables):  CHAIN_USER_DEL failed (Device or resource busy): 
chain WEB_CHAIN
 [root@centos8 ~]#iptables -D INPUT 1
 [root@centos8 ~]#iptables -X WEB_CHAIN

5. まとめ

iptablesの効果的な運用には、以下のポイントが重要です：

ネットワーク要件の明確化
適切なチェーン設計
カスタムチェーンを活用したルールのグループ化
定期的なルールの見直しと最適化