さくらVPS初期設定　その３（iptables編）

iptablesの設定

新しく契約したさくらVPS（バーチャル・プライベート・サーバー）の初期設定を備忘録として記載します。Macから接続しているので、Macユーザーの参考になればと。
今回は「iptablesの設定」です。

３−１. iptablesとは

　iptablesとは、IPv4 のパケットフィルタとNAT管理するツールのことです。ファイアーウォール機能となるので、用途を勘案し理解しながら進めて行きたいと思います。

３−２. iptablesコマンド

　iptablesを設定する上で、必要な項目を纏めます。

チェイン

チェイン	説明
-P (policy)	指定チェインのポリシーを変更
-A (–append)	指定チェインに新しいルールを追加
-D (–delete)	指定チェインのルールを削除
-N (–new-chain)	新しいユーザー定義チェインを作成
-X (–delete-chain)	指定ユーザー定義チェインを削除
-F	ルールの初期化（※policyの設定は初期化されません）

条件

条件	説明
-j (–jump) ターゲット	条件に合った際のアクションを指定
-p (–protocol) プロトコル名	プロトコル名(tcp, udp, icmp, all)を指定
-s (–source) IPアドレス	送信元アドレス(IPアドレスかホスト名)を指定
-d (–destination) IPアドレス	送信先アドレス(IPアドレスかホスト名)を指定
–sport 送信元ポート番号	送信元ポート番号(80, httpなど)を指定
–dport 宛先ポート番号	宛先ポート番号(80, httpなど）を指定
-i (–in-interface) デバイス	パケット入力のインターフェースを指定
-o (–out-interface) デバイス	パケットを出力するインターフェースを指定

アクション

アクション	説明
ACCEPT	パケットの通過を許可
DROP	通過しようとするパケットの破棄
LOG	ログの取得
REJECT	パケットを拒否し、ICMPメッセージを返信

３−３. 現在の登録状況を確認

　まだiptablesの登録を行っていないので、何も登録されていないと思いますが、確認してみます。登録したユーザーnewuserで接続します。

[newuser@ ~]$ sudo iptables -nL
[sudo] password for newuser: 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

　何も登録されていませんので、設定を行って行きたいと思います。

３−４. iptablesの追加方法

　iptabkesの追加： iptables -A <チェイン> <条件> <アクション>で追加を行います。

*filter
# INPUTチェイン宣言（全ての入力パケットを許可する）
:INPUT ACCEPT [0:0]
# FORWARDチェイン宣言（全ての転送パケットを許可する）
:FORWARD ACCEPT [0:0]
# OUTPUTチェイン宣言（全ての出力パケットを許可する）
:OUTPUT ACCEPT [0:0]

#Firewallのセッティング
:Firewall-setting1-INPUT - [0:0]
-A INPUT -j Firewall-setting1-INPUT
-A FORWARD -j Firewall-setting1-INPUT
# ループバックインターフェースへの入力パケットを許可する
-A Firewall-setting1-INPUT -i lo -j ACCEPT
# 全てのICMPパケットを許可する。
-A Firewall-setting1-INPUT -p icmp --icmp-type any -j ACCEPT
# Remote Mail Checking Protocolを許可する。
-A Firewall-setting1-INPUT -p 50 -j ACCEPT
# IMP Logical Address Maintenanceを許可する。
-A Firewall-setting1-INPUT -p 51 -j ACCEPT
# multicastDNSを許可する
-A Firewall-setting1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
# 接続状態が「ESTABLISHED(確立),RELATED」の時にアクセスを許可する
-A Firewall-setting1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 外部からTCPポート20番（ftp-data接続）へのアクセスを許可
-A Firewall-setting1-INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT
# 外部からTCPポート21番（ftp接続）へのアクセスを許可
-A Firewall-setting1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
# 外部からTCPポートxxxxxx番（SSH接続）へのアクセスを許可
-A Firewall-setting1-INPUT -m state --state NEW -m tcp -p tcp --dport xxxxxx -j ACCEPT
# 外部からTCPポート80番（HTTP接続）へのアクセスを許可
-A Firewall-setting1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
# 拒否された ICMP パケットの応答としてエラーパケットを返す
-A Firewall-setting1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

上記のような内容で登録します。</ br> ssh接続で使用するポートはxxxxxとしているので、自分で設定したポート番号に変更します。

]
[newuser@ ~]$ sudo vi /etc/sysconfig/iptables

iptablesというファイルが無いので、新しい画面が開きます。上記で考えたファイアウォールパターンをコピーしてペーストします。「:wq」で書き込み終了します。登録したiptabelesを有効にするため再起動します。再起動後、iptables -nLで有効になった内容を確認します。

[newuser@ ~]$ sudo /etc/rc.d/init.d/iptables restart
[newuser@ ~]$ sudo iptables -nL

これでファイアフォールの設定が終わったので、次はApacheのインストールを行いたいと思います。