The iifp project - 徒然な開発日記 : ファイヤーウォールのこと by admin

2007年2月15日(木曜日)

ファイヤーウォールのこと

カテゴリー:

ただ！フリーないまどきの開発事情

- admin @ 13時40分04秒

借りている専用サーバ（FedoraCore6）にHTTP・HTTPS・SSHを入れたので、セキュリティを強化しようと思います。
使用するコマンドは
#iptables
です。

まずは、現状の確認。
#iptables -L

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

と表示されました。
全部受け付けているようです。

取り合えず、未だTELNETやFTPのサービスが起動されているので、TELNETやFTPのサービスを取り除くことにします。
#vi /etc/xinetd.d/telnet

# default: on 

            # description: The telnet server serves telnet sessions; it uses  

            #       unencrypted username/password pairs for authentication. 

            service telnet 

            { 

                    flags           = REUSE 

                    socket_type     = stream 

                    wait            = no 

                    user            = root 

                    server          = /usr/sbin/in.telnetd 

                    log_on_failure  += USERID 

                    disable         = yes　←「no」を「yes」に 

            }

にする。
サービスを再起動
#

/etc/rc.d/init.d/xinetd restart

これでTELNETは使用できない。

FTPは
#service vsftp off
#chkcinfgi vsftp off
でサービスを停止する。

さて、いよいよ本題のファイヤーウォールの設定。
まず、
# iptables -P INPUT ACCEPT
# iptables -P FORWARD DROP
# iptables -P OUTPUT ACCEPT
1行目は、INPUT（入力）をACCEPT（許可）、2行目はFORWARD（ルータとして使用）はDROP（破棄）、OUTPUT（出力）はACCEPT。

次に
# iptables -F
取り合えず、ルールをクリアして。

cmp(ping)と自端末からの入力を許可
# iptables -A INPUT -p icmp -j ACCEPT
# iptables -A INPUT -i lo -j ACCEPT

Web、POP、smtp による接続を許可
# iptables -A INPUT -p tcp –dport 80 -j ACCEPT
# iptables -A INPUT -p tcp –dport 110 -j ACCEPT
# iptables -A INPUT -p tcp –dport 25 -j ACCEPT

ssh による接続を許可
# iptables -A INPUT -p tcp –dport 22 -j ACCEPT

必要なら・・・・・
ローカルの他端末からWebminでの接続を許可(Webminのポート:10000)
# iptables -A INPUT -s 192.168.0.0/24 -p tcp –dport 10000 -j ACCEPT

TCPの接続開始と応答、FTPデータなどを許可
# iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

他の接続はすべて破棄(ポリシーの再設定)
# iptables -P INPUT DROP
※この時点で、上記の設定が有効なので間違っても
※# iptables -F
※なんてしないように注意！！
※これやちゃって、サーバを再起動するはめになった・・・・

こんな感じで、他にもあるけど取り合えずOK！
それからルールを保存。（これしないとサーバ再起動時に設定が消える）
# /etc/init.d/iptables save
で、ファイヤーウォールの再起動
# service iptables restart
これでOK！

コメント (0) | トラックバック (0)

TrackBacks

このコメントのRSS

TrackBack URL : http://project.iifp.biz/modules/xmaoh0/archives/2007/02/15/67/trackback/

この投稿には、まだコメントが付いていません

投稿された内容の著作権はコメントの投稿者に帰属します。