iptablesのパケットフィルタの基本コマンド例

iptablesの基本的な使用例についてのメモ。
最初に使いたくなるのはfilterテーブルだと思うのでfilterテーブルでパケット破棄するルールの設定例を紹介する。

まずはパケットのフィルタリングテーブルを表示

iptables -nvL　でfilterテーブルの内容を確認できる。

# iptables -nvL
Chain INPUT (policy ACCEPT 798 packets, 69179 bytes)
 pkts bytes target     prot opt in     out     source          destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source          destination         

Chain OUTPUT (policy ACCEPT 793 packets, 70755 bytes)
 pkts bytes target     prot opt in     out     source          destination         
# 

パケットのフィルタリングを設定してみる

UDPで送信元IPアドレスが10.10.10.0/24で、送信先アドレスが20.20.20.5で、送信先ポート番号が20000で、eth0インタフェースに入ってくるパケットを、破棄する設定を入れるコマンドはこんな感じ。

# iptables -A INPUT -p udp -i eth0 -s 10.10.10.0/24 -d 20.20.20.5 --dport 20000 -j DROP

• チェインについて

入ってくるパケットに対しては INPUT チェインを指定。送信するパケットに対しては OUTPUT チェイン、転送するパケットに対しては FORWARD チェイン。
-A [チェイン] でルールを追記。
-I [チェイン] [数字] でルールを数字で指定されたインデックスに挿入。

- プロトコルについて
-p でプロトコル指定(tcp / udp / icmp)。

- NWインタフェースについて
-i でパケットが入ってくるインターフェース名を指定。

- IPアドレス、ポート番号について
-s で送信元IPアドレス、-dで送信先IPアドレス、--dportで送信先ポート番号の指定。

- パケットの処理方法について
-j でパケットの処理方法を指定(DROP(破棄) / ACCEPT(許容) / REJECT(拒否))。

再度filterテーブルを確認。

コマンド投入後にルールを再表示するとこんな感じでINPUTチェインにルールが追加されたことがわかる。

# iptables -nvL
Chain INPUT (policy ACCEPT 121 packets, 9944 bytes)
 pkts bytes target     prot opt in     out     source          destination         
    0     0 DROP       udp  --  eth0   *       10.10.10.0/24   20.20.20.5        udp dpt:20000

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source          destination         

Chain OUTPUT (policy ACCEPT 110 packets, 9142 bytes)
 pkts bytes target     prot opt in     out     source          destination         

IPパケットのフィルタリングを削除

ルールの解除は、設定投入時のコマンドに対し、-Aを-Dに変更するだけでOK。

# iptables -D INPUT -p udp -i eth0 -s 10.10.10.0/24 -d 20.20.20.5 --dport 20000 -j DROP

あるいは、インデックス指定でも削除可能。

# iptables -D INPUT 1

ルールの全消し

ルールをすべて削除したいときは -F オプション。危険なので気軽に打たないこと。

# iptables -F

もっと深くしりたい？

• 他のオプションについて
  
  iptablesの全オプションはこちらのURLが参考になります。
  
  https://linuxjm.osdn.jp/html/iptables/man8/iptables.8.html
  
  
• チェインやテーブルについて
  
  チェインには、今回紹介した INPUT / OUTPUT / FORWARD の他にも、PREROUTING / POSTROUTING などがあります。
  
  また、テーブルについても、今回のフィルタ(filter)テーブルの他にも nat や mangle などがあります。
  
  これらのチェインやテーブルは、パケットフローの中でどの部分にルールを適用するかによって使い分けることになります。
  
  
  パケットフローの仕組みは以下の図が参考になります。iptablesの領域は「Network Layer」の箇所です。
  
  https://commons.wikimedia.org/wiki/File:Netfilter-packet-flow.svg