リモートからiptables設定について

Question

こんばんわ。
サーバーが違う場所にあり、
触れない状態です。
なので、sshにてiptablesの設定をしたいです。

OS:Fedora7
iptablesのパス /sbin/iptables

リモートからiptablesの設定についてですが、
http://fedorasrv.com/iptables.shtml
を参考にしてしましたが、
/sbin/iptables -P INPUT   DROP
したら、接続が切れますので。。。

グーグルで調べても、
リモートから上記のサイトのような設定をして行くのが見つかりませんでした・・・

どうしたら上手くリモートからiptablesを設定出来ますでしょうか？

P.S
iptablesについて初心者です。

宜しくお願いします。

umasikajiro · Accepted Answer

あなたのアドレスが 常に 192.0.0.1 で固定されている前提で
う～～んと、何度も書いたり消したりで おかしなことに成っているとまずいので
ご苦労ですが 今のiptables.shは 名前を変えて保存し
もう一度  http://fedorasrv.com/iptables.shtml から コピーしてください
##確認
#!/bin/bash　　　＜＝1行目が  これで
/etc/rc.d/init.d/iptables start　＜＝231行目がこれ
　　＜＝232行目(最終行)が空行になっていることを確認してください
そしたら 以下で書き換え部分も含めて１～38行目までを通しで書きます
------この下の行が1行目-----
#!/bin/bash
export PATH=$PATH:/sbin/
# ↑この記述により ifconfigやiptablesの前にいちいち/sbin/ と入れないで済みます
#---------------------------------------#
# 設定開始                              #
#---------------------------------------#

# インタフェース名定義
LAN=eth0

#---------------------------------------#
# 設定終了                              #
#---------------------------------------#

# 内部ネットワークのネットマスク取得
LOCALNET_MASK=`ifconfig $LAN|sed -e 's/^.*Mask:$[^ ]*$$/\1/p' -e d`

# 内部ネットワークアドレス取得
LOCALNET_ADDR=`netstat -rn|grep $LAN|grep $LOCALNET_MASK|cut -f1 -d' '`
LOCALNET=$LOCALNET_ADDR/$LOCALNET_MASK


# ファイアウォール停止(すべてのルールをクリア)
/etc/rc.d/init.d/iptables stop

# デフォルトルール(以降のルールにマッチしなかった場合に適用するルール)設定
iptables -P INPUT   DROP   # 受信はすべて破棄
iptables -P OUTPUT  ACCEPT # 送信はすべて許可
iptables -P FORWARD DROP   # 通過はすべて破棄

# 自ホストからのアクセスをすべて許可
iptables -A INPUT -i lo -j ACCEPT

# 内部からのアクセスをすべて許可
iptables -A INPUT -s $LOCALNET -j ACCEPT
iptables -A INPUT -s 192.0.0.1 -j ACCEPT
# ↑この行追加
# 内部から行ったアクセスに対する外部からの返答アクセスを許可＜＝これが38行目になるはず

以上です 38行目から下はいじる必要有りません
exitや 入力待ちのは TEST用ですので 本番には必要有りません
では ガンバ！！

umasikajiro · Answer

要するに いろいろ書くと混乱するわけですね 了解です。

ではiptables.shの
# 内部ネットワークのネットマスク取得
LOCALNET_MASK=`ifconfig $LAN|sed -e 's/^.*Mask:$[^ ]*$$/\1/p' -e d`
　　↓
LOCALNET_MASK=`/sbin/ifconfig $LAN|sed -e 's/^.*Mask:$[^ ]*$$/\1/p' -e d`
####こちらにも /sbin/ を入れてください

それで 実行してからコマンドラインで
# iptables -nL|more -10　　＜＝と打った結果が↓

Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  192.168.0.0/23       0.0.0.0/0   ＜＝この行があなたの環境に合わせて出てくるか確認してください        
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
LOG        all  -f  0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 4 prefix `[IPTABLES FR
AGMENT] : ' 
DROP       all  -f  0.0.0.0/0            0.0.0.0/0           
DROP       tcp  -- !192.168.0.0/23       0.0.0.0/0           multiport dports 135,137,138,139,445 
DROP       udp  -- !192.168.0.0/23       0.0.0.0/0           multiport dports 135,137,138,139,445

umasikajiro · Answer

>iptables.sh: line 16: ifconfig: command not found
１． まず #!/bin/bash の次の行に
export PATH=$PATH:/sbin/
　と追記してください

２． #5で書いた exit は未だ外さないでください
　　　それでまた  sh -x iptables.sh します
　　今度はアドレス/マスクが出てくるはずです
　　その値を 取り合えずメモして置いてください

３． last との比較
># last admin で打つと、IPではなくホストが表示される
# last -i ユーザー名  　＜＝でどうですか？(お使いのサーバーでは last -d がリンクされているらしい)

　それで駄目なら 例えば 出てきたホスト名が  TEST-PC だったら
# ping -n TEST-PC   ＜＝と打つとIPアドレスが出ます(そのクライアントPCでエコー遮断していなければですが)

なんとかIPアドレスが取れたら その値が ２．で取得した アドレス/マスク の範囲内に収まるか確認します

###取り合えず以上までを確認ください

## オマケ：
# いずれにしろ sh スクリプトの書き方や Linuxコマンドを もう少し調べた方が良いかもしれませんね
# 参考サイトを列記しておきます

pathの設定： http://cisco250.hp.infoseek.co.jp/Linux/path/

LINUXコマンド系の参考サイト：
 「Linuxコマンド逆引き大全」  http://itpro.nikkeibp.co.jp/article/COLUMN/20060224/230579/
「Linuxコマンド百科辞典」  http://www.21linux.com/
「Linuxコマンドcom」  http://xn--linux-op4dtfrgoh.com/
「＠IT Linux Square」  http://www.atmarkit.co.jp/flinux/

umasikajiro · Answer

しつこくてすみません。 なんか不安になったので、、
>+ LOCALNET=192.168.1.0/255.255.255.0 　＜＝この行が正しい事を確認してください
判ると思いますが、これはサーバーのIPアドレスが含まれるかではなくて
あなたがログインするときのIPアドレスが範囲に含まれるかです。
調べるには 例えば lastコマンドを使います。
例えばあなたのログイン時のユーザー名が tarou だとすると コマンドラインで
$ last tarou  ＜＝こう打つと
tarou   pts/1        192.168.1.40     Thu Jun 12 13:15   still logged in   
tarou   pts/0        192.168.0.100     Thu Jun 10 13:06   still logged in   
こんなのが出ますが 6/12のログインはOKですけども
　6/10の方は 192.168.1.0/255.255.255.0 の範囲に含まれませんね
そうなると 少なくとも初期状態でiptables.shに記述されているアドレス/マスクの自動取得では
カバーできませんし
LANのアドレスですから ACCEPT_COUNTRY でも駄目だと思います
そういうときは LOCALNET=$LOCALNET_ADDR/$LOCALNET_MASK  行に直接数値を入れるか
または #4に書いた 参考URL：[iptablesテンプレート] などを見て 追記する必要があると思います

umasikajiro · Answer

またまた わかる範囲で書きます
>この時点でSSHから外れてしまって、おかしくならないでしょうか？
１．まず 念のために /etc/sysconfig/iptables を適当なところにコピーしておきます
２．iptables.sh のアドレス取得だけを行うように追記します
前略
LOCALNET=$LOCALNET_ADDR/$LOCALNET_MASK
exit　　＜＝iptables.shの、ここにexit を追加してください
# ファイアウォール停止(すべてのルールをクリア)
以下略

３．コマンドラインで   # sh -x iptables.sh
結果例：
+ LAN=eth0
++ ifconfig eth0
++ sed -e 's/^.*Mask:$[^ ]*$$/\1/p' -e d
+ LOCALNET_MASK=255.255.255.0
++ netstat -rn
++ grep eth0
++ cut -f1 '-d '
++ grep 255.255.255.0
+ LOCALNET_ADDR=192.168.1.0
+ LOCALNET=192.168.1.0/255.255.255.0   　＜＝この行が正しい事を確認してください
+ exit

umasikajiro · Answer

#3を書いて直後に見直したら、、
>サーバーが違う場所にあり、
これって LAN内じゃないってことですか？
ならば
iptables -A INPUT -p tcp --dport 22 -j ACCEPT_COUNTRY
　行で 日本国内からの port22接続は許可されていると思うのですが
　念のためクライアントマシンの グローバルアドレスを調べて
iptables -A INPUT -p tcp -s 210.1.144.0/20  --dport 22 -j ACCEPT
　とかで出来ませんかねえ？

これで接続が維持できたら　確認します。量が多すぎて見づらいのでログに落とします
#  iptables -nL>/hoge/tmp/iptest.log

ACCEPT     tcp  --  210.1.144.0/20       0.0.0.0/0           tcp dpt:22 
と成っている行が有ればOKだと思います。
[iptablesテンプレート]　　 http://www.atmarkit.co.jp/flinux/rensai/iptables01/iptables01b.html
「日本のIPアドレス」 http://www.cgis.biz/tools/access.php

umasikajiro · Answer

失礼いたしました。さすがに#1のは無かったですね。わかる範囲で書いてみます
・うちのはFC5ですが そのページの通りに設定して全然問題なく作動しています
・切断されると言う事は iptables -P INPUT DROP は機能しているが
　　許可する条件 or LANのIPアドレス取得のどちらかがおかしいのではないかと思います

　　iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 行の下に以下の10行を追加してください
　これで入力待ちの時に Y または yを入れると続行します
# TEST入力待ち Yまたはy入力で次の処理
while [ 1 ]; do
/bin/echo -n "Y/N: ";read line
case $line in
[yY])
 break
;;
esac
done
# TEST入力待ちは以上迄
　(あまりスマートじゃないけど ^^;)
　追加したら
# sh -x ./iptables.sh 　＜＝と打ってください

　####入力待ちまでのうちでの実行結果は
[hoge@hoge hogege]# sh -x iptables.sh
+ LAN=eth0
++ ifconfig eth0
++ sed -e 's/^.*Mask:$[^ ]*$$/\1/p' -e d
+ LOCALNET_MASK=255.255.255.0
++ netstat -rn
++ grep eth0
++ grep 255.255.255.0
++ cut -f1 '-d '
+ LOCALNET_ADDR=192.168.1.0
+ LOCALNET=192.168.1.0/255.255.255.0
+ /etc/rc.d/init.d/iptables stop
ファイアウォールルールを適用中:                            [  OK  ]
チェインポリシーを ACCEPT に設定中filter                   [  OK  ]
iptables モジュールを取り外し中                            [  OK  ]
+ iptables -P INPUT DROP
+ iptables -P OUTPUT ACCEPT
+ iptables -P FORWARD DROP
+ iptables -A INPUT -i lo -j ACCEPT
+ iptables -A INPUT -s 192.168.1.0/255.255.255.0 -j ACCEPT
+ iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
+ '[' 1 ']'
+ /bin/echo -n 'Y/N: '
Y/N: + read line
＜＝ここで入力待ち

上のは 192.168.1.1～192.168.1.254までのLANの場合です

#### それでも駄目なら もっと詳しい人の回答を待ちましょう (^^;)
###   或いは http://fedorasrv.com/patio/patio.cgi  ＜＝質問掲示板へ

ops · Answer

こんばんわ、

/sbin/iptables -P INPUT DROP
をすることで、一切リモートからの受付が拒絶されてしまいます。
参考になるURLを載せておきます。
sshぐらいは明けておき、/etc/host.allowのTCPラッパーで制御してみてはどうでしょうか。

=========================
From RHCE Current

参考URL：http://penguin.nakayosi.jp/linux/iptables.html

umasikajiro · Answer

私が状況を勘違いしているのかもしれませんが、、
http://fedorasrv.com/iptables.shtml に書いてあるのは
iptables.sh と言うfileに記述する内容です
　([root@fedora ~]# chmod 700 iptables.sh 行の上迄)

コマンドとして /sbin/iptables -P INPUT DROP と打つのでは有りませんよ

その下の行の
[root@fedora ~]# vi iptables_functions
は iptables_functions と言う名前のfileの内容です
#####
このページの作者さんはコマンドラインの画面そのものに説明を加えていますので
[root@fedora ~]#  ←行頭がこれで始まる行はコマンドラインでの入力
[root@fedora ~]# vi /hoge/hoge.sh　 ← vi コマンドで/hoge/hoge.sh と言うfileを編集
viの付く行から下は そのfileの編集内容

と言う事なのですが、、、

リモートからiptables設定について

あなたのアドレスが 常に 192.0.0.1 で固定されている前提で

要するに いろいろ書くと混乱するわけですね 了解です。

>iptables.sh: line 16: ifconfig: command not found

しつこくてすみません。

この回答への補足

またまた わかる範囲で書きます

#3を書いて直後に見直したら、、

失礼いたしました。

こんばんわ、

私が状況を勘違いしているのかもしれませんが、、

この回答への補足

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング

あなたのアドレスが常に 192.0.0.1 で固定されている前提で

要するにいろいろ書くと混乱するわけですね了解です。

またまたわかる範囲で書きます