Iptabales設定編

 

設定するネットワーク構成

 ルーター(外側):ISPのDHCPサーバーから割り当てられたIPアドレス

 ルーター(内側):192.18.1.1

 クライアントPC:192.168.*.*

設定のルール

+デフォルトポリシー破棄

+IPマスカレードとパケットフィルタリングのルール

・ループバックは無条件に許可

Internetからの22番(SSH)、25番(SMTP)、80番(HTTP)、110番(POP3)

 67番(bootps:DHCPサーバー)、68番(bootps:DHCPクライアント)を許可

LANからInternetへのNetBIOS関連ポート(137〜139、445番)を破棄

Internetからの送信元IPアドレスがプライベートアドレスのパケットを

 破棄(スプーフィング対策)

Internetからの宛先IPアドレスがプライベートアドレスのパケットを破

 棄(スプーフィング対策)

・ポートスキャン対策を行う

SYNフラッド攻撃対策を行う

ping of death対策を行う

・ブロードキャストパケットを破棄

・接続の戻りパケットは許可

LANからルーターへの接続は許可

NetBIOS関連のパケットは、インターネットには出さない

+サーバーのIPアドレスは「192.168.1.3」とする

 

設定手順

@ipchains-->iptables

 1:chkconfig --del ipchains  [ENTER]

 2:reboot  [ENTER]

 

Aフィルタリングルールを消去する

 3:/sbin/iptables -F  [ENTER]

 4:/sbin/iptables -F -t nat  [ENTER]

 

Bデフォルトポリシーを設定

 5:/sbin/iptables -P INPUT DROP  [ENTER]

 6:/sbin/iptables -P FORWARD DROP [ENTER]

 7:/sbin/iptables -P OUTPUT DROP [ENTER]

 

Cループバックを許可する

 8:/sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT [ENTER]

 9:/sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT [ENTER]

 

DLANからInternet側に送ったかのように装う不信なパケットはログを採る

10:/sbin/iptables -A INPUT -i eth0 -s 192.168.1.0/24 -j LOG –logprefix "CAUTION!! SPOOFING PAKCET" [ENTER]

 

EInternetからの送信元IPアドレスがプライベートアドレスのパケットを破棄

11:/sbin/iptables -A INPUT -i eth0 -s 10.0.0.0/8 -j DROP [ENTER]

12:/sbin/iptables -A INPUT -i eth0 -s 172.16.0.0/12 -j DROP [ENTER]

13:/sbin/iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP [ENTER]

 

FInternetからの宛先IPアドレスがプライベートアドレスのパケットを破棄

14:/sbin/iptables -A INPUT -i eth0 -d 10.0.0.0/8 -j DROP [ENTER]

15:/sbin/iptables -A INPUT -i eth0 -d 172.16.0.0/12 -j DROP [ENTER]

16:/sbin/iptables -A INPUT -i eth0 -d 192.168.0.0/16 -j DROP [ENTER]

 

GInternetから22番(SSH)、25番(SMTP)、80番(HTTP)、110番(POP3)

 67番(bootps:DHCPサーバー)、68番(bootps:DHCPクライアント)への接続を許可

17:/sbin/iptables -A INPUT -i eth0 -p tcp -s 0.0.0.0/0 -d 0.0.0.0/0 --dport 22 -j ACCEPT [ENTER]

18:/sbin/iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT [ENTER]

19:/sbin/iptables -A INPUT -i eth0 -p tcp -s 0.0.0.0/0 -d 0.0.0.0/0 --dport 25 -j ACCEPT [ENTER]

20:/sbin/iptables -A INPUT -i eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT [ENTER]

21:/sbin/iptables -A INPUT -i eth0 -p tcp -s 0.0.0.0/0 -d 0.0.0.0/0 --dport 80 -j ACCEPT [ENTER]

22:/sbin/iptables -A INPUT -i eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT [ENTER]

23:/sbin/iptables -A INPUT -i eth0 -p tcp -s 0.0.0.0/0 -d 0.0.0.0/0 --dport 110 -j ACCEPT [ENTER]

24:/sbin/iptables -A INPUT -i eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT [ENTER]

 

Hブロードキャストパケットを破棄

25:/sbin/iptables -A INPUT -i eth0 -d 255.255.255.255 -j DROP [ENTER]

26:/sbin/iptables -A INPUT -i eth0 -d 224.0.0.1 -j DROP [ENTER]

 

I接続戻りパケットを許可する

27:/sbin/iptables -A INPUT -i eth0 -m state --state ESTABLISHED -j ACCEPT [ENTER]

 

JLANからルーターへの接続は許可

28:/sbin/iptables -A INPUT -i eth0 -j ACCEPT [ENTER]

 

KLANからインターネット側に送ったかのように装う不審なパケットはログを採る

29:/sbin/iptables -A FORWARD -i eth0 -s 192.168.1.0/24 -j LOG --logprefix "CAUTION!!SPOOFING PACKET" [ENTER]

 

Lポートスキャン予防線を張る

30:/sbin/iptables -A INPUT -p tcp --source-port 80 --destination-port 1024:65535 -j ACCEPT [ENTER]

31:/sbin/iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST -m limit --limit 1/s -j ACCEPT [ENTER]

 

Mpingへの応答拒否(ステルス化)

32:/sbin/iptables -A INPUT -p icmp --icmp-type desination-unreachable -j ACCEPT [ENTER]

33:/sbin/iptables -A INPUT -p icmp --icmp-type source-quench -j ACCEPT [ENTER]

34:/sbin/iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT [ENTER]

35:/sbin/iptables -A INPUT -p icmp --icmp-type parameter-problem -j ACCEPT [ENTER]

 

NSYNフラッド攻撃の撃退措置をとる

36:/sbin/iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT [ENTER]

 

Oping of death攻撃対策

37:/sbin/iptables -A INPUT -p icmp --icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT [ENTER]

 

PInternetからの送信元IPアドレスがプライベートアドレスのパケットを破棄

38:/sbin/iptables -A FORWARD -i eth0 -s 10.0.0.0/8 -j DROP [ENTER]

39:/sbin/iptables -A FORWARD -i eth0 -s 172.16.0.0/12 -j DROP [ENTER]

40:/sbin/iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP [ENTER]

 

QInternetからの宛先IPアドレスがプライベートアドレスのパケットを破棄

(NetBIOS関連のパケットは、Internetに出さない)

41:/sbin/iptables -A FORWARD -i eth0 -d 172.16.0.0/12 -j DROP [ENTER]

42:/sbin/iptables -A FORWARD -i eth0 -d 192.168.0.0/16 -j DROP [ENTER]

 

RNetBIOS関連のパケットは、Internetに出さない

43:/sbin/iptables -A FORWARD -p tcp -m multiport --source-port 135,137,138,139,445 -j DORP [ENTER]

44:/sbin/iptables -A FORWARD -p udp -m multiport --source-port 135,137,138,139,445 -j DORP [ENTER]

45:/sbin/iptables -A FORWARD -p tcp -m multiport --destination-port 135,137,138,139,445 -j DORP [ENTER]

46:/sbin/iptables -A FORWARD -p udp -m multiport --destination-port 135,137,138,139,445 -j DORP [ENTER]

 

SInternetから22番(SSH)、25番(SMTP)、80番(HTTP)、110番(POP3)

 67番(bootps:DHCPサーバー)、68番(bootps:DHCPクライアント)への接続を許可

47:/sbin/iptables -A FORWARD -i eth0 -o tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

48:/sbin/iptables -A FORWARD -i eth0 -o tcp --sport 22 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

49:/sbin/iptables -A FORWARD -i eth0 -o tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

50:/sbin/iptables -A FORWARD -i eth0 -o tcp --sport 25 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

51:/sbin/iptables -A FORWARD -i eth0 -o tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

52:/sbin/iptables -A FORWARD -i eth0 -o tcp --sport 80 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

53:/sbin/iptables -A FORWARD -i eth0 -o tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

54:/sbin/iptables -A FORWARD -i eth0 -o tcp --sport 110 -m state --state NEW,ESTABLISHED -j ACCEPT [ENTER]

 

21:接続戻りパケットを許可する

55:/sbin/iptalbes -A FORWARD -i eth1 -o eth0 -m sate --state ESTABLISED -j ACCEPT [ENTER]

 

22:NATの設定

56:/sbin/iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE [ENTER]

57:/sbin/iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 22 -j DNAT --to-destination 192.168.1.3 [ENTER]

58:/sbin/iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 25 -j DNAT --to-destination 192.168.1.3 [ENTER]

59:/sbin/iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.3 [ENTER]

60:/sbin/iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 110 -j DNAT --to-destination 192.168.1.3 [ENTER]

 

設定完了

接続テスト後、正常に接続可能であることを確認後設定がOS再起動後に有

効となるようにするために、xtermなどのターミナルを開き以下の操作を行う

 

@現在のiptablesの設定をファイルに書き込む

61:/sbin/iptables-save > /etc/sysconfig/iptables [ENTER]

 

Aファイル内容の確認を行う

62:less /etc/sysconfig/iptables [ENTER]

 

Bチェックを終えたら「q」キーを押す

63:q [ENTER]

 

C起動スクリプトにiptablesが含まれているかチェックする

64:/sbin/chkconfig --list [ENTER]

 

Diptablesの「3:」「5:」がONになっていることを確認する

 ※OFFになっていた場合「/sbin/chkconfig --add iptables」を実行し、

 起動時にiptablesが利用できるようにする。

 

参考文献

安井健次郎、榊原大輔 著「Linuxでパソコンをルーターにする」ディー・アート


RedHat7.3Install偏へ
Top


SEO [PR] おまとめローン Windows7 冷え性対策 動画 掲示板 レンタルサーバー ライブチャット SEO