Resource Archive

すんげー簡単に説明します。

正確な情報が知りたい方は
# man iptables
http://www.linux.or.jp/JF/JFdocs/NAT-HOWTO.html
http://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO.html
を参照ください

この情報を使うのはかってですが、私は責任を持ちませんのでよろしくお願いします。

ＮＡＴやマスカレードやポートフォワーディングをしたい場合は
＊ｎａｔのところに書きます

パケットフィルターをしたいときには
＊ｆｉｌｔｅｒに書きます。

ルータ当ての物は　-A INPUT　をつける
フォワードする物は　-A FORWARD　にする

と言う感じです。

ここで
:logdeny - [0:0]
-A logdeny -j LOG
-A logdeny -j DROP
と言うような記述があります。

これはｌｏｇｄｅｎｙというテーブルを新たに作っています
説明としては
-A logdeny -j LOG ログを取る！！
-A logdeny -j DROP　パケットを落とす（通さない）
と言う感じです
実際のコマンドとしては
iptables -N logdeny
iptables -A logdeny -j LOG
iptables -A logdeny -j DROP
をやったのと同じになります。

では各行の説明

# Generated by iptables-save v1.2.7a on Thu Feb 20 14:39:11 2003
*nat ＮＡＴやマスカレードやポートフォワーディングに関することをかく
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

eth1から192.168.254.254の８０番ポート当てにきたパケットの行き先を192.168.2.124:80にする
-A PREROUTING -d 192.168.254.254 -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.2.124:80

eth0から192.168.254.254の２２番ポート当てにきたパケットの行き先を192.168.2.124:22にする
-A PREROUTING -d 192.168.254.254 -i eth1 -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.2.124:22

eth1から出てゆくパケットはeth0のアドレスでマスカレードする
-A POSTROUTING -o eth1 -j MASQUERADE

COMMIT
# Completed on Thu Feb 20 14:39:11 2003
# Generated by iptables-save v1.2.7a on Thu Feb 20 14:39:11 2003
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [9:1076]
:logdeny - [0:0]

＜＜ルータ当て＞＞
接続が確立してたり、要求に対する応答である物は許可する
（前は１２３とか５３をこべつに許可していましたがいらないようです）
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

ｅｔｈ１以外からの接続要求パケットは許可する
-A INPUT -i ! eth1 -m state --state NEW -j ACCEPT

ｅｔｈ１からのその他のパケットはすべて不許可にしてログを取って落とす
-A INPUT -i eth1 -j logdeny

＜＜転送パケット＞＞
接続が確立してたり、要求に対する応答である物は許可する
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

ｅｔｈ１以外からの接続要求パケットは許可する
-A FORWARD -i ! eth1 -m state --state NEW -j ACCEPT

ｅｔｈ１からの８０番ポート（ｗｗｗ）へのパケットは許可する
-A FORWARD -i eth1 -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT

ｅｔｈ１で192.168.255.100からのｓｓｈ接続要求は許可する
-A FORWARD -s 192.168.255.100 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT

ｅｔｈ１で192.168.254.200からのｓｓｈ接続要求は許可する
-A FORWARD -s 192.168.254.200 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT

ｅｔｈ１からの不正なパケットまたは接続要求パケットはログを取って落とす
-A FORWARD -i eth1 -m state --state INVALID,NEW -j logdeny

それ以外のパケットはすべて落とす
-A FORWARD -j DROP

ログテーブルの設定ログをとる
-A logdeny -j LOG
落とす
-A logdeny -j DROP
COMMIT
# Completed on Thu Feb 20 14:39:11 2003

うむこれはちょっとセキュリテーホールガありますな

どこだか当ててください

＜＜考える時間１時間＞＞

では答えです

-A FORWARD -i eth1 -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT
-A FORWARD -s 192.168.255.100 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
-A FORWARD -s 192.168.254.200 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
ここなんですが

同じサブネット内のマシンからクラックを受けた場合、これでは８０番ポートについては自由に
どのマシンにでもつなぎにいけますし

２２番ポートについてはルータとなっているマシンからのクラックである場合は内部の好きな
マシンに対して接続に行くことができます。

方法としてはクラックするマシンから192.168.2のセグメントに対して、192.168.254.254をルータとするルーティングを
設定して後はふつうに ｈｔｔｐ://192.168.2.20 などどすればいいです
192.168.2.124以外のマシンにつなげます。
(とはいえ試験してないからなできないかも・・・できなければＯＫだ)

と言うことで

-A FORWARD -i eth1 -d 192.168.2.124 -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT
-A FORWARD -s 192.168.255.100 -d 192.168.2.124 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
-A FORWARD -s 192.168.254.200 -d 192.168.2.124 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT

と言う風にするととりあえず192.168.2.124だけに対してパケットが行きます。

２２番はこのように考えると接続できるのが許可ＩＰだけではないのですが、ここはｓｓｈｄの設定で
逃げることとします。
(ルータがクラックされてしまっては手の打ちようが少ないです。)

コマンドラインから同じポリシーを反映するために

実行する場合

リモートでやらないでください。ローカルでルートでやってください
リモートでやると、場合によっては二度と接続が戻ってきません・・・
（デフォルトポリシーがＤＥＮＹの場合）

ローカルで作業してください。

iptables -F
iptables -t nat -A PREROUTING -d 192.168.254.254 -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.2.124:80
iptables -t nat -A PREROUTING -d 192.168.254.254 -i eth1 -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.2.124:22
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A INPUT -i ! eth1 -m state --state NEW -j ACCEPT
iptables -t filter -A INPUT -i eth1 -j logdeny
iptables -t filter -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A FORWARD -i ! eth1 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -d 192.168.2.124 -i eth1 -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -s 192.168.255.100 -d 192.168.2.124 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -s 192.168.254.200 -d 192.168.2.124 -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -i eth1 -m state --state INVALID,NEW -j logdeny
iptables -t filter -A FORWARD -j DROP
iptables -t filter -N logdeny
iptables -t filter -A logdeny -j LOG --log-level 5
iptables -t filter -A logdeny -j DROP

です