iptablesを使いこなす

##はじめに

iptablesというのは、Firewall(ファイアウォール)の一種で外部からのアクセスを制限するルールを設定します。iptablesの他には、ufwが有名です。

ufwのほうがシンプルに使えますが、iptablesのほうが一般的です。

Arch Linuxの場合は、iproute2が依存しているためデフォルトでもインストールされます。

$ sudo pacman -S iptables

##iptables.rules

iptables.rulesというのは、iptablesのルールを書いた設定ファイルです。デフォルトで置かれてる場合もあれば、ない場合もあります。ない場合は、/usr/shareや/etc/iptablesなどからサンプルファイルがあると思うので、それを持ってきて編集しましょう。例えば、Arch Linuxの場合は、以下の様な形でシンプルな設定が一瞬で可能となります。ただし、この設定は中身を見てもらっても分かる通り、外部からのアクセスを一旦ほぼすべて制限するものです。したがって、SSHなどで特定ポートのみを許可している場合などは注意しましょう。有効にするとアクセスできなくなります。

# cp /etc/iptables/simple_firewall.rules /etc/iptables/iptables.rules
# cat /etc/iptables/iptables.rules

# systemctl start iptables
# systemctl enable iptables

ここで、例えば、local ssh, git push, git pullなどの基本的なアクセスを実現したいのであれば以下の様な感じになります。

/etc/iptables/iptables.rules

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -s 192.168.1.1/255.255.255.0 -p tcp --dport 11234 -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j DROP
-A INPUT -4 -p icmp -j ACCEPT
-A INPUT -6 -p icmp6 -j ACCEPT
COMMIT

テーブル一覧	内容
filter	パケットフィルタリングを参照するテーブルを指定する。
nat	新しいセッションを開くパケットが参照するテーブルを指定する。
mangle	特別なパケットが参照するテーブルを指定する。

チェーン一覧	テーブル
INPUT	入力（受信）パケット
OUTPUT	出力（送信）パケット
FORWARD	フォワードするパケット
PREROUTING	受信時を宛先アドレスを変換するチェイン
POSTROUTING	送信時に送信元アドレスを変換するチェイン

ターゲット一覧	内容
ACCEPT	パケットの通過を許可
DROP	パケットを破棄
RETRUN	チェーン内のルール評価を終了する
MASQUERADE	「-ｔ nat」と「-A POSTROUTING」と同時に用いて送信元IPとポート番号を書き換える
REJECT	パケットを拒否し、ICMPメッセージを返信
PREROUTING	特定ポートにリダイレクト
LOG	Logを採取する
SNAT	パケットの送信元アドレスを修正する。natテーブルでpostroutingチェーンでのみ利用できる。
DNAT	パケットの送信先アドレスを修正する。natテーブルでpostroutingチェーンでのみ利用できる。

オプション一覧	内容
-p [!] <protocol>	ルールで使うプロトコル（tcp、udp、icmp、all）を指定
-s [!] <address> [/<netmask>]	送信元アドレス。IPアドレスのほかにホスト名などでも指定できる
-d [!] <address> [/<netmask>]	接続先アドレス。IPアドレスのほかにホスト名などでも指定できる
--sport <port>	送信元ポートを指定する。
--dport <port>	送信先ポートを指定する。
-i <interface>	パケットが入ってくるインターフェイス（eth0、eth1など）を指定
-o <interface>	パケットが出ていくインターフェイスを指定
-j <target>	パケットがマッチしたときのアクション（ターゲット）を指定
-t <table>	テーブル（filter、nat、mangle）を指定
-m <module>	モジュールを指定する。-pで暗黙に指定されるので省略することも可。
--icmp-type [!] <type>	ICMPでタイプ名を指定する。( iptables -p icmp
で表示されるタイプを指定。
!	-p、-s、-dなどで、条件を反転する。「! 192.168.0.1」とすると、「192.168.0.1以外」という意味になる

--stateで指定可能なものは以下があります。

名称	状態
INVALID	既存のコネクションとは関係のないパケット
NEW	新しいコネクションの接続に関するパケット
ESTABLISHED	接続済みコネクションのパケット
RELATED	接続済みコネクションに関連して発生した新たなコネクションパケット

コマンド一覧	内容
iptables [ -t <table> ] -A	append。最後尾に追加。
iptables [ -t <table> ] -L	line-numbers。設定内容表示。
iptables [ -t <table> ] -D	delete。既存のルールの削除。
iptables [ -t <table> ] -F	flush。指定したチェーン全てを削除。
iptables [ -t <table> ] -I	insert。先頭にチェーンを追加。ルール番号を指定することで任意の場所に挿入。
iptables [ -t <table> ] -P	チェーン内全体で有効なポリシーを定義。デフォルトはAccept。
iptables [ -t <table> ] -N	new。新しいチェーンを作成。

##iptstate

次に、iptstateというものを紹介します。htopのようなもので、ログをグラフィカルに表示してくれるので分かりやすいです。

$ sudo pacman -S iptstate

$ sudo iptstate

参考