iptablesとipfilterでパケットフィルタリング
iptablesで
先日、仕事で「あるサーバに送信される、特定のTCPポート番号向けのパケットを廃棄する」という動作をさせる必要がある事が判ったので、Linuxならiptablesというツールで実現できる、という事で色々調べてみました。
目的
Redhat EnterpriseLinux 5のサーバにて、hogeサーバ(192.168.0.1)のTCP 5002番向けパケットを全てREJECTする。
iptables設定
vi /etc/sysconfig/iptables
以下のように編集
*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -p tcp --dport 5002 -d 192.168.0.1 -j REJECT -A FORWARD -p tcp --dport 5002 -d 192.168.0.1 -j REJECT -A OUTPUT -p tcp --dport 5002 -d 192.168.0.1 -j REJECT -A INPUT -j LOG --log-level info --log-prefix "[iptables] " -A OUTPUT -j LOG --log-level info --log-prefix "[iptables] " -A FORWARD -j LOG --log-level info --log-prefix "[iptables] " COMMIT
iptablesを有効化
service iptables start
フィルタ設定の確認
# iptables-save
以下のように表示されていれば設定どおりに動いていることになります。
# Generated by iptables-save v1.3.5 on Fri Aug 26 14:14:53 2011 *filter :INPUT ACCEPT [3921:507273] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [4106:413124] -A INPUT -d 192.168.0.1 -p tcp -m tcp --dport 5002 -j REJECT --reject-with icmp-port-unreachable -A INPUT -j LOG --log-prefix "[iptables] " --log-level 6 -A FORWARD -d 192.168.0.1 -p tcp -m tcp --dport 5002 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -j LOG --log-prefix "[iptables] " --log-level 6 -A OUTPUT -d 192.168.0.1 -p tcp -m tcp --dport 5002 -j REJECT --reject-with icmp-port-unreachable -A OUTPUT -j LOG --log-prefix "[iptables] " --log-level 6 COMMIT # Completed on Fri Aug 26 14:14:53 2011
これで、ポート5002番をLISTENしているhogeサーバ上のアプリケーションにアクセスしたところ、通信できないエラーとなりました。やりたい動作になったようです。
ipfilterでフィルタリング
その後、hogeサーバ上で、ポート5002番向けにやってくるパケットを廃棄させる必要が出てきたのですが、hogeサーバはSolaris10で動いているのでiptablesが使えません。代わりにipfilterというツールが用意されているので、これまた調べつつ以下のように設定してみました。
/etc/ipf/ipf.conf を編集して以下の行を追加:
block in log on e1000g0:2 proto tcp from any to 192.168.1.1 port = 5002
ipfilterの有効化
# svcadm enable ipfilter
これでいけました。
ではー。