Iptables 基本: 一般的なファイアウォールルールとコマンド

☑️ TODO

便利なIptables設定例を追加する
便利なカーネル設定 (sysctl) の構成を追加する
外部リソースへのリンクを追加する
高度な設定例、コマンド、ルールを追加する

Iptablesの設定に役立つツール
マニュアル/ハウツー/チュートリアル
便利なカーネル設定 (sysctl) の構成
仕組み
Iptablesルール
高度な設定例
- NFQUEUEターゲットを使用したPythonでのパケット処理
  - 特定の送信元からのすべてのパケットをACCEPT (filter:INPUT) し、その他すべてをDROP
  - 独自のポートノッキングスクリプトを作成してSSHアクセスを保護

Iptablesの設定に役立つツール

  :small_orange_diamond: Shorewall - GNU/Linux用の高度なゲートウェイ/ファイアウォール設定ツール。
  :small_orange_diamond: Firewalld - 動的に管理されるファイアウォールを提供。
  :small_orange_diamond: UFW - Ubuntuのデフォルトファイアウォール設定ツール。
  :small_orange_diamond: FireHOL - Linuxファイアウォールとトラフィックシェーピング要件のためのシンプルかつ強力な設定を提供。

マニュアル/ハウツー/チュートリアル

  :small_orange_diamond: ベストプラクティス: iptables - by Major Hayden
  :small_orange_diamond: An In-Depth Guide to Iptables, the Linux Firewall
  :small_orange_diamond: Advanced Features of netfilter/iptables
  :small_orange_diamond: Linux Firewalls Using iptables
  :small_orange_diamond: Debugging iptables and common firewall pitfalls?
  :small_orange_diamond: Netfilter Hacking HOWTO
  :small_orange_diamond: Per-IP rate limiting with iptables

便利なカーネル設定 (sysctl) の構成

rp_filter

ルーティングの三角測量を無効にします。同じインターフェイスからクエリに応答し、別のインターフェイスからは応答しません。また、IPスプーフィングから保護します。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/rp_filter = 1 EOF

- [rp_filter と LPIC-3 Linux セキュリティ](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Linux カーネル rp_filter 設定 (リバースパスフィルタリング)](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [リバースパスフィルタリング](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians

  > _不正な IP アドレスを持つパケットのログ記録を有効にする。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/log_martians = 1
EOF

マーティアンパケットのログ記録の有用性は何ですか？

send_redirects

すべてのインターフェースでIPv4 ICMPリダイレクトパケットの送信を無効にします。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/send_redirects = 0 EOF

- [送信元ルーティングを無効にする](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-server_security-disable-source-routing)
- [ICMPリダイレクトとは何か、ブロックすべきか](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)

##### accept_source_route

  > _送信元ルーティングされたパケット（Strict Source Route (SSR) または Loose Source Routing (LSR) オプションが設定されたパケット）を無効にする。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/accept_source_route = 0
EOF

accept_redirects

ICMPリダイレクトの受け入れを無効にする。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/conf/all/accept_redirects = 0 EOF

- [ICMPリダイレクトとは何か、ブロックすべきか？](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)
- [Red Hat Enterprise Linuxオペレーティングシステムは、インターネットプロトコルバージョン4（IPv4）のインターネット制御メッセージプロトコル（ICMP）リダイレクトメッセージを無視する必要があります。](https://www.stigviewer.com/stig/red_hat_enterprise_linux_7/2018-11-28/finding/V-73175)

##### tcp_syncookies

  > _SYNフラッド対策（サービス拒否（DOS）攻撃からの保護）を有効にする。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/tcp_syncookies = 1
EOF

icmp_echo_ignore_broadcasts

pingブロードキャストへの応答を無効にする。```bash cat << EOF >> /etc/sysctl.d/40-custom.conf net/ipv4/icmp_echo_ignore_broadcasts = 1 EOF

- [ICMPブロードキャストの利点とは？](https://superuser.com/questions/306065/what-is-icmp-broadcast-good-for)
- [システムはブロードキャストアドレスに送信されたICMPv4に応答してはならない。](https://www.stigviewer.com/stig/red_hat_enterprise_linux_6/2018-11-28/finding/V-38535)

##### ip_forward

  > _IPルーティングを有効にします。ファイアウォールがネットワーク（NATを含む）を保護している場合に必要です。_```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/ip_forward = 1
EOF

仕組み

マスター

Iptablesルール

ルールの保存

Debian系```bash

netfilter-persistent save

###### RedHat ベース```bash
service iptables save

アクティブなiptablesルールを詳細付きで一覧表示する```bash

iptables -n -L -v

#### アクティブな iptables ルールを行番号と詳細情報付きで一覧表示する```bash
iptables -n -L -v --line-numbers

アクティブなiptablesルールをすべて表示する```bash

iptables -S

#### INPUTチェーンのルールをテーブルとして一覧表示```bash
iptables -L INPUT

INPUTチェーン内のすべてのルール仕様を表示する```bash

iptables -S INPUT

#### パケット数と合計サイズを表示```bash
iptables -L INPUT -v

行番号と詳細出力で INPUT または OUTPUT チェーンルールを表示する```bash

iptables -L INPUT -n -v iptables -L OUTPUT -n -v --line-numbers

#### チェーンと番号によるルール削除```bash
iptables -D INPUT 10

仕様によるルールの削除```bash

iptables -D INPUT -m conntrack --ctstate INVALID -j DROP

#### すべてのルールをフラッシュし、すべてのチェーンを削除し、すべてを受け入れる```bash
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

すべてのチェーンをフラッシュ```bash

iptables -F

#### 単一チェーンのフラッシュ```bash
iptables -F INPUT

ファイアウォールルールの追加```bash

iptables -I INPUT 2 -s 202.54.1.2 -j DROP

#### ループバック接続を許可する```bash
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

確立済みおよび関連する受信接続を許可する```bash

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

#### 確立された送信接続を許可する```bash
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT

内部から外部へ```bash

iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

#### 無効パケットの破棄```bash
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

IPアドレスをブロックする```bash

iptables -A INPUT -s 192.168.252.10 -j DROP

#### ブロックとIPアドレスと拒否```bash
iptables -A INPUT -s 192.168.252.10 -j REJECT

ネットワークインターフェースへの接続をブロックする```bash

iptables -A INPUT -i eth0 -s 192.168.252.10 -j DROP

#### すべての受信SSHを許可```bash
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

特定のIPアドレスまたはサブネットからのSSH受信を許可する```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 外部へのSSH接続を許可```bash
iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

特定のIPアドレスまたはサブネットからの受信Rsyncを許可する```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 873 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 873 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### すべての受信HTTPを許可```bash
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT

すべての受信HTTPSを許可```bash

iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### 全ての受信HTTPおよびHTTPSを許可```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

特定のIPアドレスまたはサブネットからのMySQLを許可する```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### MySQLを特定のネットワークインターフェースに許可する```bash
iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

特定のIPアドレスまたはサブネットからのPostgreSQL```bash

iptables -A INPUT -p tcp -s 192.168.240.0/24 --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### PostgreSQLを特定のネットワークインターフェースに許可する```bash
iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

送信SMTPメールのブロック```bash

iptables -A OUTPUT -p tcp --dport 25 -j REJECT

#### すべての受信SMTPを許可```bash
iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCEPT

すべての受信IMAPを許可```bash

iptables -A INPUT -p tcp --dport 143 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 143 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### すべての受信IMAPSを許可```bash
iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate ESTABLISHED -j ACCEPT

すべての受信POP3を許可```bash

iptables -A INPUT -p tcp --dport 110 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -p tcp --sport 110 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### すべての受信POP3Sを許可```bash
iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate ESTABLISHED -j ACCEPT

公開インターフェースでプライベートネットワークアドレスをドロップする```bash

iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j DROP iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### Facebookネットワークへのすべての送信をドロップする

FacebookのASを取得:```bash
whois -h v4.whois.cymru.com " -v $(host facebook.com | grep "has address" | cut -d " " -f4)" | tail -n1 | awk '{print $1}'

iptables -A OUTPUT -s "$i" -j REJECT

done

#### パケットのログとドロップ```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

デフォルトでは、すべてが /var/log/messages ファイルに記録されます:```bash tail -f /var/log/messages grep --color 'IP SPOOF' /var/log/messages

#### 限られたログエントリ数でのパケットのログ記録とドロップ```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

MACアドレスからのトラフィックをドロップまたは許可```bash

iptables -A INPUT -m mac --mac-source 00:0F:EA:91:04:08 -j DROP iptables -A INPUT -p tcp --destination-port 22 -m mac --mac-source 00:0F:EA:91:04:07 -j ACCEPT

#### ICMP Ping Request のブロックまたは許可```bash
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
iptables -A INPUT -i eth1 -p icmp --icmp-type echo-request -j DROP

`multiport` を使用した複数ポートの指定```bash

iptables -A INPUT -i eth0 -p tcp -m state --state NEW -m multiport --dports ssh,smtp,http,https -j ACCEPT

#### `random*` または `nth*` によるロードバランシング```bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 4 --packet 0 \
    -j DNAT --to-destination ${ip}:80
done

または```bash _ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m random --average 25
-j DNAT --to-destination ${ip}:80 done

#### `limit` と `iplimit*` を使用した接続数の制限```bash
iptables -A FORWARD -m state --state NEW -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m limit --limit 20/hour --limit-burst 5 -j ACCEPT

または```bash iptables -A INPUT -p tcp -m state --state NEW --dport http -m iplimit --iplimit-above 5 -j DROP

#### 最近の接続を照合するためのリストの管理```bash
iptables -A FORWARD -m recent --name portscan --rcheck --seconds 100 -j DROP
iptables -A FORWARD -p tcp -i eth0 --dport 443 -m recent --name portscan --set -j DROP

パケットデータペイロード内の `string*` に対するマッチング```bash

iptables -A FORWARD -m string --string '.com' -j DROP iptables -A FORWARD -m string --string '.exe' -j DROP

#### `time*` を使用した時間ベースのルール```bash
iptables -A FORWARD -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m time --timestart 21:30 --timestop 22:30 --days Mon,Tue,Wed,Thu,Fri -j ACCEPT

TTL値に基づくパケットマッチング```bash

iptables -A INPUT -s 1.2.3.4 -m ttl --ttl-lt 40 -j REJECT

#### ポートスキャン対策```bash
iptables -N port-scanning
iptables -A port-scanning -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN
iptables -A port-scanning -j DROP

SSHブルートフォース対策```bash

iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --set iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

#### Syn-flood 保護```bash
iptables -N syn_flood

iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn_flood -j DROP

iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT

iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP

iptables -A OUTPUT -p icmp -j ACCEPT

SYNPROXYによるSYNフラッド攻撃の緩和```bash

iptables -t raw -A PREROUTING -p tcp -m tcp --syn -j CT --notrack iptables -A INPUT -p tcp -m tcp -m conntrack --ctstate INVALID,UNTRACKED -j SYNPROXY --sack-perm --timestamp --wscale 7 --mss 1460 iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

#### SYNでない新しいパケットをブロック```bash
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

または```bash iptables -t mangle -A PREROUTING -p tcp ! --syn -m conntrack --ctstate NEW -j DROP

#### 強制フラグメントパケットチェック```bash
iptables -A INPUT -f -j DROP

XMAS パケット```bash

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

#### すべてのNULLパケットをドロップ```bash
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

一般的でないMSS値のブロック```bash

iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP

#### 不正なTCPフラグを持つパケットをブロック```bash
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

プライベートサブネットからのパケットをブロック（スプーフィング）```bash

_subnets=("224.0.0.0/3" "169.254.0.0/16" "172.16.0.0/12" "192.0.2.0/24" "192.168.0.0/16" "10.0.0.0/8" "0.0.0.0/8" "240.0.0.0/5")

for _sub in "${_subnets[@]}" ; do iptables -t mangle -A PREROUTING -s "$_sub" -j DROP done iptables -t mangle -A PREROUTING -s 127.0.0.0/8 ! -i lo -j DROP

## 高度な設定例

### NFQUEUEターゲットを使用したPythonでのパケット処理

  > _このターゲットは、nfnetlink_queueハンドラーを使用してパケットをユーザースペースに渡します。パケットは16ビットのキュー番号で識別されるキューに入れられます。ユーザースペースは必要に応じてパケットを検査および変更できます。ユーザースペースはその後、パケットをドロップするかカーネルに再注入する必要があります。_

#### 特定の送信元からのすべてのパケットを（filter:INPUT上で）ACCEPTし、その他すべてをDROPする

  > _このルールは、すべてのfilter:INPUTパケットをNFQUEUEターゲットを使用してキュー1に転送します。_```bash
iptables -A INPUT -j NFQUEUE --queue-num 1

netfilter queue 1 にバインドしてパケットを処理するスクリプト。```python #!/usr/bin/python3

from netfilterqueue import NetfilterQueue from scapy.all import *

def packetanalyzer(pkt): ip=IP(pkt.get_payload()) if(ip.src=="192.168.122.1"): print(f"New packet from {ip.src}") pkt.accept() else: pkt.drop()

nfqueue=NetfilterQueue() nfqueue.bind(1, packetanalyzer) nfqueue.run()

#### 独自のポートノッキングスクリプトを作成してSSHアクセスを保護する

  > _すべてのSSHリクエストをDROPし、NFQUEUEターゲットを使用して秘密のポートリクエストをユーザースペースに送信する。_```bash
iptables -t filter -I INPUT -p tcp --dport 22 -j DROP
iptables -t raw -I PREROUTING -p tcp --sport 65534 --dport 65535 -j NFQUEUE --queue-num 1

このスクリプトは netfilter queue 1 からパケットをキャプチャし、ポートノッキングのために SOURCEPORT と SECRETPORT をチェックし、送信元が EXPIRETIME（デフォルトは 30 分）の間 SSH に接続できるようにします。```python #!/usr/bin/python3

from os import system from netfilterqueue import NetfilterQueue from scapy.layers.inet import IP from time import time

SOURCEPORT=65534 SECRETPORT=65535 EXPIRETIME=30 ALLOWED={}

def portknocking(pkt): packet=IP(pkt.get_payload()) currtime=time() for item in list(ALLOWED): if(currtime-ALLOWED[item] >= EXPIRETIME*60): del ALLOWED[item] if(packet.sport==SOURCEPORT and packet.dport==SECRETPORT and packet.src not in ALLOWED): print(f"Port {packet.dport} knocked by {packet.src}:{packet.sport}") system(f"iptables -I INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT") system(f"echo 'iptables -D INPUT -p tcp --dport 22 -s {packet.src} -j ACCEPT' | at now + {EXPIRETIME} minutes") ALLOWED[packet.src]=time() pkt.drop()

nfqueue=NetfilterQueue() nfqueue.bind(1, portknocking)

try: nfqueue.run() except KeyboardInterrupt: print("\nExit with Keyboard Interrupt")

> _コンピュータからポートノッキングを行い、SSH接続を許可するには、次のコマンドを実行してください:_```bash
nc -p 65534 SERVER 65535

iptables-essentials

人気