Resource Archive

解説

「出る」以外は原則拒否
:input DENY
:forward DENY
:output ACCEPT
Saving `input'.
接続が完了した物は許可
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -i eth1 -p 6 -j ACCEPT ! -y
マシン内部の通信は許可
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -i lo -j ACCEPT
内部ＬＡＮからの通信は許可（通常企業などはこのようなポリシーにはしないで
内部からも制限します
内部からはアプリケーションレベルプロキシーにて通信を代行するのが一般的）
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -i eth0 -j ACCEPT
外部から内部のＩＰからのように見えるパケットは拒否
-A input -s 192.168.2.0/255.255.255.0 -d 0.0.0.0/0.0.0.0 -i eth1 -j REJECT -l
クラックしてきたりする人のＩＰを拒否
-A input -s 攻撃してくる人ＩＰ/255.255.255.0 -d 0.0.0.0/0.0.0.0 -i eth1 -j DENY
ＤＮＳの名前解決をできるようにする
-A input -s 0.0.0.0/0.0.0.0 53:53 -d ＭＹＩＰ/255.255.255.255 1024:65535 -i eth1 -p 17 -j ACCEPT
ＦＴＰデータポートの通信を許可する（ｐａｓｓｉｖｅモード通信とすればこの設定はいらないので設定しなくてもいいでしょう、なれない人がＵＰロード等をブラウザでないようなツールを使ってするような場合で、説明がうざい場合は設定するといいかも）
-A input -s 0.0.0.0/0.0.0.0 20:20 -d ＭＹＩＰ/255.255.255.255 1024:65535 -p 6 -j ACCEPT -l
ＮＴＰ時刻同期の問い合わせ許可
-A input -s 0.0.0.0/0.0.0.0 123:123 -d ＭＹＩＰ/255.255.255.255 123:123 -p 17 -j ACCEPT
会社からのｓｓｈを許可する
-A input -s 会社ＩＰ/255.255.0.0 500:65532 -d ＭＹＩＰ/255.255.255.255 22:22 -p 6 -j ACCEPT -l
特定のＩＰからのｓｓｈを許可する。
-A input -s 許可ＩＰ/255.255.0.0 500:65535 -d ＭＹＩＰ/255.255.255.255 22:22 -p 6 -j ACCEPT -l
ＮＴＰ返答を許可する。（通常宛先ポートはこの範囲にあるようであるけど、場合によってはこの範囲をはずれて
通信に失敗することがあるので、注意）
-A input -s 0.0.0.0/0.0.0.0 123:123 -d ＭＹＩＰ/255.255.255.255 61000:65535 -p 17 -j ACCEPT
ｐｉｎｇの返答を許可する（これがないと内部かｒあｐｉｎｇ打っても返事が返ってこない）
-A input -s 0.0.0.0/0.0.0.0 0:0 -d 0.0.0.0/0.0.0.0 -p 1 -j ACCEPT
自分宛でない物は拒否
-A input -s 0.0.0.0/0.0.0.0 -d ! ＭＹＩＰ/255.255.255.255 -i eth1 -j DENY
ＭＳネットワーク共有はログに出るとうざいので拒否（ログなし）
-A input -s 0.0.0.0/0.0.0.0 -d ＭＹＩＰ/255.255.255.255 137:138 -i eth1 -p 17 -j DENY
このポート番号もたくさんくるのでログを出さないで拒否
-A input -s 0.0.0.0/0.0.0.0 -d ＭＹＩＰ/255.255.255.255 6970:6970 -i eth1 -p 17 -j DENY
これは特にあいて無くても問題ないのでログなし拒否する（このポートへの問い合わせはＮＴＰサーバーから等結構くる）
-A input -s 0.0.0.0/0.0.0.0 -d ＭＹＩＰ/255.255.255.255 113:113 -i eth1 -p 6 -j DENY
上記ルールに当てはまらないパケットはすべてログを出して拒否する
-A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -j DENY -l
Saving `forward'.
内部からの外向け通信はマスカレードする
-A forward -s 192.168.2.0/255.255.255.0 -d 0.0.0.0/0.0.0.0 -i eth1 -j MASQ
それ以外のフォワードは拒否
-A forward -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -j REJECT -l
Saving `output'.
内部向けのパケットは外には出さない
-A output -s 0.0.0.0/0.0.0.0 -d 192.168.2.0/255.255.255.0 -i eth1 -j REJECT -l

なるほどなるほど。
私の場合、FreeBSD(98)のipfwでルータを構築してるん
で、ipchainsはあまり良く解からないんですが、解説
付きで大変参考になります。

これをiptablesでやろうとするとどうなるの？＞なおき

いや，実はRH8の標準が iptables だったので(爆)
＃自分でやれってか(^^;？

WinCVSのマニュアルと交換条件ちぅことで（ぉぃ