はじめに netfilterについて少し調べてみました。 いろいろと認識の相違があったことがわかったので、記録します。 認識の相違 CentOS8（に限らずだけど）では、以下のことがわかった。 iptablesはiptablesではなくnftablesである firewall-cmdで設定したルールはiptablesでは表示されない すべてのルール確認はnftを使う Linuxでのパケットの流れについて netfilter netfilterはLinuxでパケットの処理をする基本ルール インタフェイスで受信したパケットがどんな処理をされていくか、というやつです。 netfilter.orgによると、 netfilterは、カーネルモジュールがネットワークスタックにコールバック関数を登録できるようにするLinuxカーネル内の一連のフックです。登録されたコールバック関数は、ネットワークスタック
たとえば、かつてiptablesで設定していたIPv4に関連するパケットフィルタリング設定は、nftablesにおいては「ip」というアドレスファミリに紐付けたテーブルを作成することで設定できる。同様に、ip6tablesやarptables、ebtablesで設定していたものはそれぞれ「ip6」や「arp」、「bridge」というアドレスファミリに紐付けたテーブルで設定する。 「inet」「および「netdev」アドレスファミリはnftablesで新たに導入されたもので、まず「inet」はIPv4およびIPv6の両方を対象にした設定を行えるアドレスファミリだ。従来IPv4とIPv6の両方にまたがったフィルタリングルールを設定したい場合はiptablesとip6tablesの両方で同じようなルールを追加する必要があったが、nftablesではinetアドレスファミリで指定することで単一の設
この記事はRed Hat DeveloperのWhat comes after ‘iptables’? Its successor, of course: nftablesを、許可をうけて翻訳したものです。 ::: By Florian Westphal October 28, 2016 ::: パフォーマンス： ユーザビリティ： nftablesとは何ですか？ 何が置き換えられますか？ なぜiptablesを置き換えるのか？ nftablesでの高水準な機能 判断マップ（ジャンプテーブル） flow文 inetファミリー はじめる チェーンの追加 NAT 既知の制限 関連記事 nftablesは、既存のiptables、ip6tables、arptables、ebtablesを置き換えることを目指した、新たなパケット分類フレームワークです。これは、長く使われてきた ip/ip6table
こんにちは。 さくらのVPSで使えていた6rdトライアルが3/31で終わってしまいました。 ところで、だいぶ前からさくらのVPSではネイティブなIPv6アドレスが配布され、利用できていました。(「さくらのVPS」大阪リージョン IPv6アドレス提供開始のお知らせ) しかしながら、配布されているアドレスは1個のみで使い勝手がよくなく、それが6rdを最後まで使っていた理由でもありました。 まぁサービスが終わってしまったのなら移行せざるを得ないということで重い腰を上げて作業した次第です。 さくらVPSのIPv6 前述の通り、現在さくらVPSで使えるIPv6はネイティブ接続になっています。 単純にVPSでIPv6アドレスを使うだけなら以下の設定だけで十分です。 /etc/network/interfaces1 2 3 4 iface eth0 inet6 static address 2403:3
Linux Kernel 3.13から、パケットフィルタリングやNATなどを管理するツールであるiptablesに代わって、nftablesが採用されている。このnftablesに関して、iptablesに対する利点や、コマンド操作の違いについて簡単に解説する。 Linux 3.13登場 Linux 3.13は何より、nftablesの最初のオフィシャルリリースである。nfstablesは、既存のiptablesで知られる{ip, ip6, arp, eb}tablesフレームワークを置き換える目的を持ったプロジェクトだ。Linux 3.13に含まれるnftablesはまだ完全ではなく、いくつかの重要な機能が不足しているが、今後のLinuxバージョンで登場してくるだろう。既に多くのケースでは使い物になるものだが、完全なサポート(nftablesがiptablesよりも高いレベルに達するとい
Internally our DDoS mitigation team is sometimes called "the packet droppers". When other teams build exciting products to do smart things with the traffic that passes through our network, we take joy in discovering novel ways of discarding it. CC BY-SA 2.0 image by Brian Evans Being able to quickly discard packets is very important to withstand DDoS attacks. Dropping packets hitting our servers,
ども、大瀧です。 Linuxで静的NATを組むときの定番はNetfilter(iptables)ですが、iptablesのnatテーブルの運用にはconntrack(コネクション追跡テーブル)のサイジングがつきまといます。そこで今回は静的NATを組むLinuxカーネルのもうひとつの機能として、iproute2によるStateless NAT構成をご紹介します。 動作確認環境 Linuxディストリビューション : Amazon Linux 2.0 RC iproute2のバージョン : 3.10.0 構成例と設定コマンド 今回はありがちな静的NAT構成として、以下で設定してみます。 クライアントPCはNAT Box宛(192.168.1.1)のリクエストを送出、NAT Boxの静的NATでWebサーバー宛(10.10.0.100)にDNAT、戻り用にSNATもペアで設定する感じですね。ipt
アドレスフファミリーの完全な定義は nft(8) の ADDRESS FAMILIES セクションを参照してください。 以下で例示しているコマンドの family は全て任意であり、指定しなかった場合は ip が使われます。 テーブルの作成 以下のコマンドで新しいテーブルが追加されます: # nft add table family table テーブルの表示 全てのテーブルを表示するには: # nft list tables テーブル内のチェインとルールの表示 指定したテーブルの全てのチェインとルールを表示するには: # nft list table family table 例えば inet ファミリーの filter テーブルのルールを全て表示するには: # nft list table inet filter テーブルの削除 テーブルを削除するには: # nft delete ta
わたしの日記は日々の出来事の鬱憤晴らしの毒だし日記がメインです。 相当病んでいます。くだを巻いています。許容出来る方のみのアクセスをお願いします。 また、この日記へのリンクは原則自由にして頂いても結構ですが、 写真への直リンクを張るのはご遠慮下さい。内容に関しては、一切保証致しません。 カテゴリ一覧 Network, Internet, IPv6, DC, NTT, Comp, Linux, Debian, FreeBSD, Windows, Server, Security, IRC, 大学, Neta, spam, 食, 生活, 遊び, Drive, TV, 仕事, とあるサーバで、システム管理者がポートを変更しており、既存のポートではないデータベースを構築してしまい、一部のミドルウェアで非常に不都合が出てしまいました。んで、対応策を考えた結果...どうしたかという と。。。 環境は
追記 2009-04-03 まったくもってブコメでいただいた指摘の通りです＞＜ h2onda linux, tcpdump tcpdump(というかlibpcap)は、データリンク層(OSI layer2)レベルでパケットを取得する packet プロトコルを使ってるので、そうなります。参照: man packet(7) 2009/04/02 はてなブックマーク - h2ondaのブックマーク / 2009年4月2日 tt_clown network 細かいけど，図は逆（NIC が下）のが良いかなと思った．/ "ip"tables と言う位だから，IP層でパケットをフィルタしてるて事だろうな．tcpdumpはEthernet Frameも見えるので，後は分かるな？・・・てとこか． 2009/04/02 はてなブックマーク - tt_clownのブックマーク / 2009年4月2日 pack
これを実行すると現状のフィルタリングルールを確認することができ、下記のように表示されると思います。(下記の表示結果はubuntu12.04の場合です) Chain INPUT (policy ACCEPT 0 packets, 0 bytes) target port opt source destination Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) target port opt source destination Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes) target port opt source destination
iptablesで特定ユーザ以外のSMTP通信をブロックし、SPAMの踏み台になるのを防ぐ方法 2015/1/6 2015/1/6 CentOS, サーバ管理, セキュリティ サーバに侵入されてしまった時、非常によくあるのが「SPAMの踏み台にされる」ことです。 運良く(運悪く?)SPAMをバラ撒いているプログラムを発見出来ればいいのですが、「SPAMの踏み台にされている疑いがある 1が、そのプログラムは特定出来ない」というのが一番嫌なケースかもしれません。 なぜこのようなことが起こるのかと言うと、次のような2つの問題があるからです。 1. すべてのユーザが外部のTCP 25番ポートに通信出来てしまう。 2. ユーザが外部と通信した時のログが残らない。 この2点を解決すれば、 1. PostfixやSendmailなどの、限られたMTAのみが外部のTCP 25番ポートと通信出来る。MTA経
さくらのVPS ってデフォルトではファイアーウォールの設定何もされてないという記事をみて驚愕した。と、よく考えたら Ubuntu 10.04 LTS を再インストールしたから、どっちにしても初期状態だな。 とりあえず確かめた。 $ sudo iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination オウフ、デフォルトは空なのか…… iptables の設定めんどくせぇなーどうしようかなー、と思っていたら、どうも Ubuntu では ufw という
鳥頭なのでポート番号を覚えられません 少し語弊があると思いますが、ポート番号自体を覚えられないのではなく、その場で決めた特殊なポート番号が覚えられません。 今どきは1024以下に関わらずなんからの定番ポート番号があります。1521,3000,5432,8080などなど。 これらは事実上のwell-knownポートであり、このサービスはこの番号というのが体に染みついています。特に8080とかはブラウザデバッグするときアドレスとセットで勝手に体が入力してしまう程度に末端神経が毒されています。 何が言いたいのかというと、あるサービスに対してポートフォワードしたとき、そのポート番号をブラウザなりに打ち込んだりするときに少し間が開いてしまいなんか気持ち悪いというだけの話です。 動作を想定している環境 「VagrantとDockerを使って環境に依存せずにChefのお勉強がしたい」で書いたのですが、ぼ
前書き OpenSSLの脆弱性（CVE-2014-0160）が公開されました。 詳細はpiyokangoさんの素晴らしいまとめを参照してください。 OpenSSLの脆弱性（CVE-2014-0160）関連の情報をまとめてみた - piyolog エフセキュアブログにて、トーマツの岩井さんが書いた興味深い記事がありました。 エフセキュアブログ : Openssl Heartbleed 攻撃の検知について ＃根本的な対策ではなく、あくまで攻撃検知という意味で。 iptables log rules iptables -t filter -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" iptables block rules i
Openssl Heartbleed 攻撃の検知について 2014年04月11日18:08 ツイート hiroki_iwa1 オフィシャルコメント by：岩井 博樹 ここ数年で最悪の脆弱性と言われているOpenSSL Heartbleedですが、そろそろ脆弱性への対応を終え、ホッと一息いれている組織も多いのではないでしょうか。 ＃Shodanで確認する限りでは対応が追いついていないところがあるようですが・・・ また、個人レベルではSNSやクラウド・ストレージなどのパスワード変更も忘れずに実施しておきたいところです。 参考： The Heartbleed Hit List: The Passwords You Need to Change Right Now Heartbleed Bug Health Report [追記] さて、既に報道などでの報告の通り、今回の攻撃はサーバ上のログなど
Linuxカーネル3.13リリース、nftablesやブロックデバイスレイヤーの改良などが特徴 | SourceForge.JP Magazine 今ではもう誰も知らんと思うが、ワタシはかつて Linux JF (Japanese FAQ) Project に Linux 2.4 NAT HOWTO や netfilter/iptables FAQ の翻訳を提供しており、netfilter/iptables にはそれなりに精通していたのである。 余談だが、JF には他にもいくつかワタシの翻訳があるのだが、どれも10年以上経ち、現代的な価値は皆無だろうなぁ……。 それはさておき、iptables（正確にはそれに加えて ip6tables と arptables と ebtables）の後継となる nftables が Linux カーネルにマージされたんやね。ワタシなど nftables の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く