iptables 見かたはコレをまずはおさえておけばOK

[LAST UPDATE : 2016/05/30 ]

前提知識
– – –

パケットフィルタリングとは

カーネルが処理するパケットを検査し、不要なパケットは遮断するなどのルールに基づき処理を行う。

iptablesとは

パケットフィルタリングやNAT（ネットワークアドレス変換）の設定を行う機能およびコマンド。
Linuxカーネルにはnetfilterというのパケット処理機能が組み込まれていて、iptablesはこれを利用する。
iptablesの理解には「テーブル」「チェイン」の概念理解は必要です。

テーブルとは

iptablesで作成するルール群（後述のチェイン）の使用目的を決定するもの。
ルールを作成する際に指定したテーブルによって、デフォルトで使用できるチェインやアクション（後述のターゲット）に制限がかかる等、ルールの使用目的（フィルタリング or NATなど）を明確化する為に用意されている。

主なテーブル
filter パケットフィルタリング用
nat　　 NAT用

チェインとは・・・ルールです。

パケットの処理方法を定義したルール群。
チェインにルールを追加していきます。
また同時に、チェインはどのタイミングでルールを適用するかを表します。

INPUT

ローカルホスト（ローカルプロセス）宛のパケットに対してルールを適用

OUTPUT

ローカルホストで生成されたパケットに対してルールを適用

FORWARD

ローカルホストを経由するパケットに対してルールを適用

PREROUTING

入ってきたパケットの内容を書き換えるためにルールを適用

POSTROUTING

出て行くパケットの内容を書き換えるためにルールを適用

＃テーブル「filter」を指定した場合はデフォルトで「INPUT」「OUTPUT」「FORWARD」が使用できる。
＃テーブル「nat」を指定した場合は「OUTPUT」「PREROUTING」「POSTROUTING」が使用できる。

ターゲットとは・・・アクションです。

ACCEPT　　　　　　　通過を許可
DROP　　　　　　　　破棄
REJECT　　　　　　　拒否（通信元に通知）
MASQUERADE 送信元IPアドレスと送信元ポート番号を変更
SNAT　　　　　　　　送信元IPアドレスを指定したIPアドレスに変更
LOG　　　　　　　　ログに記録

ルールで使用する主なオプション

-s IPアドレス　　　　　　送信元のIPアドレスを指定
-d ipアドレス　　　　　　送信先のIPアドレスを指定
–sport ポート番号　　　送信元のポート番号を指定
–dport ポート番号　　　送信先のポート番号を指定
-p プロトコル　　　　　　プロトコルの指定（tcp,udp,icmp,all)
-i インターフェース名　　　受信するインターフェースの指定
-o インターフェース名　　　送信するインターフェースの指定
-j ターゲット　　　　　　　適用するターゲット（アクション）の指定

– – –

■ iptablesの機能を有効化する

# service iptables restart

■ iptablesの機能を自動的に起動する

# chkconfig iptables on

■ 基本パケットの種類

INPUT（入力）
OUTPUT（出力）
FORWARD（転送）

■ パケットフィルタリング条件の表示

# cat /etc/sysconfig/iptables
・
・
COMMIT

*filter
:INPUT DROP [0:0]
・
・
#COMMIT

で、iptablesの内容を記述しているファイルを直接見れる。
パケットフィルタリングの条件は*filter から #COMMIT の間に記述されている。
ただ、ファイルを直接見るよりも以下のコマンドで見た方が整形され分かりやすい。

■ ［書式］パケットフィルタリングのルール一覧表示

iptables [-t テーブル名] ーL[チェイン]
＊テーブルを指定しない場合は、パケットフィルタリング用のfilterテーブル、
それに属するチェイン、ルールの一覧表示
＊チェインを指定しない場合は、全てのチェインのルールが表示される。

# iptables -v -L
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
		pkts bytes target     prot opt in     out     source               destination
		11835   17M ACCEPT     all  --  any    any     anywhere             anywhere            state RELATED,ESTABLISHED
		3   144 ACCEPT     icmp --  any    any     anywhere             anywhere
		2   120 ACCEPT     all  --  lo     any     anywhere             anywhere
		0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            state NEW tcp dpt:ss
		202 13759 REJECT     all  --  any    any     anywhere             anywhere            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
		pkts bytes target     prot opt in     out     source               destination
		・
		・

Chain毎に空行区切りで表示される。
出力結果の一行目
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
は INPUT チェーンのデフォルトポリシーが ACCEPT でデフォルトポリシーが適用されたパケットの数とバイト数を表す。
ちなみに、INPUTチェーンの最後に全条件にマッチするREJECTがあるので、デフォルトポリシーが適用されるパケットは 0 packets, 0 bytes　となっている。
その次の行以降にあるカラムはそれぞれ
target：適用されるアクション(ACCEPT, DROP, REJECT, LOG, …)
prot：プロトコル
opt：オプション
in：受信するNIC(lo, eth0, …)
out：送信するNIC(lo, eth0, …)
source：送信元IP
destination：送信先IP

■ 特定のチェインのパケットフィルタリング条件の表示

-L オプションの後に引数でチェイン名を付けると、
特定のチェインのパケットフィルタリング条件だけを表示できる。

# iptable -v -L INPUT
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
		pkts bytes target     prot opt in     out     source               destination
		11837   17M ACCEPT     all  --  any    any     anywhere             anywhere            state RELATED,ESTABLISHED
		3   144 ACCEPT     icmp --  any    any     anywhere             anywhere
		2   120 ACCEPT     all  --  lo     any     anywhere             anywhere
		0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            state NEW tcp dpt:ssh
		202 13759 REJECT     all  --  any    any     anywhere             anywhere            reject-with icmp-host-prohibited

■ IPマスカレードルールを追加する場合

＊IPマスカレード：複数のプライベートアドレスをひとつのグローバルアドレスとポート番号に割り当てます。
チェイン（ルール）：出て行くパケットに対するルール→ POSTROUTING オプション A でルール追加（ADD)
ターゲット（アクション）：MASQUERADE オプション j で指定
インターネット側インターフェース：eth0 ＃送信するインターフェースオプション o で指定
LAN内のアドレス：172.16.0.0/24 ＃送信元NWアドレスオプション s で指定

IPマスカレードルールはテーブル、チェインは下記の通り。
テーブル：NAT
チェイン：出て行くパケットの内容を書き換える→ POSTROUTEING

上記をふまえると、下記の通りとなります。

iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -o eth0 -j MASQUERADE

■考えてみよう

FW：10.0.0.10
ローカルNW192.168.0.0/24 からインターネットへのアクセスに対して、FWでNATによるアドレス変換を実施する。

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 0/0 -j SNAT – -to -source 10.0.0.10

TCPの特定パケット（SYN,ACK､。。）の情報をログに書き込む

s
iptables -I INPUT -s 0.0.0.0 -d 192.168.0.44/32 \
–p tcp \
–tcp-flags ALL SYN,ACK,PSH,URG,RST,FIN \
-j LOG

以上です。

ソーシャルゲーム基盤運用側から見渡す解像度