iptables の履歴(No.4)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• iptables へ行く。
  • 1 (2012-09-11 (火) 04:43:35)
  • 2 (2012-09-11 (火) 04:44:45)
  • 3 (2013-02-24 (日) 17:38:51)
  • 4 (2016-04-13 (水) 07:48:06)

Tag: iptables

目次†

参考情報†

• iptablesの設定…詳しい書式など。
• プチ・パケットフィルタリング - いますぐ実践! Linuxシステム管理 / Vol.067
• CentOSをサーバーとして活用するための基本的な設定
• 連載記事 「習うより慣れろ！ iptablesテンプレート集」

設定†

• ssh(22)、http(80)はどこからでも許可にした
• /etc/sysconfig/iptables を編集する

  *filter
  :INPUT ACCEPT [0:0]
  :FORWARD ACCEPT [0:0]
  :OUTPUT ACCEPT [0:0]
  :RH-Firewall-1-INPUT - [0:0]
  -A INPUT -j RH-Firewall-1-INPUT
  -A FORWARD -j RH-Firewall-1-INPUT
  -A RH-Firewall-1-INPUT -i lo -j ACCEPT
  -A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
  -A RH-Firewall-1-INPUT -p 50 -j ACCEPT
  -A RH-Firewall-1-INPUT -p 51 -j ACCEPT
  -A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
  -A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
  -A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
  -A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
  -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
  -A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
  COMMIT
  

• iptablesを反映させる

  # /etc/init.d/iptables restart

• iptablesの設定を確認しておく

  # iptables -L
  Chain INPUT (policy ACCEPT)
  target     prot opt source               destination         
  RH-Firewall-1-INPUT  all  --  anywhere             anywhere            
  
  Chain FORWARD (policy ACCEPT)
  target     prot opt source               destination         
  RH-Firewall-1-INPUT  all  --  anywhere             anywhere            
  
  Chain OUTPUT (policy ACCEPT)
  target     prot opt source               destination         
  
  Chain RH-Firewall-1-INPUT (2 references)
  target     prot opt source               destination         
  ACCEPT     all  --  anywhere             anywhere            
  ACCEPT     icmp --  anywhere             anywhere            icmp any 
  ACCEPT     esp  --  anywhere             anywhere            
  ACCEPT     ah   --  anywhere             anywhere            
  ACCEPT     udp  --  anywhere             224.0.0.251         udp dpt:mdns 
  ACCEPT     udp  --  anywhere             anywhere            udp dpt:ipp 
  ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ipp 
  ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
  ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http 
  ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:10100 
  REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited 
  

httpsを通す†

• 上の設定に加えて以下を追加する。

  -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT

Tips†

外向きのSMTP接続を制限する†

• 192.168.1.1以外の接続を拒否する設定。

  # iptables -A OUTPUT -p tcp --dport smtp -d ! 192.168.1.1 -j DROP