仙石浩明の日記: IPv6 (2)
IPv6ブリッジ機能付きルーター (ブルータ) を使えば、 NAT 内の LAN でそのまま IPv6 を使えるわけで、 IPv6 の敷居は一気に下がる。 つまり、ほとんどの OS がすでに IPv6 をサポートしているので、 ルータが IPv6 を素通し (ブリッジ) しさえすれば、 LAN 内で IPv6 を意識せずに使える。 今まで通り IP を (NAT 経由したプライベートアドレスで) 使いながら、IPv6 のオイシイところ (end-to-end 通信ができる) だけを ツマミ食いできるわけで、 今度こそ (^^;) IPv6 が普及するのではないかと... Linux でブルータを実現するには、 まずブリッジ機能をカーネルに組み込んでおく。 # brctl show br0 bridge name bridge id STP enabled interfaces br0 80
tcpdump(iptraceなど)とfirewall(ipsec、iptablesなど)はどっちが先？
tcpdump(iptraceなど)とfirewall(ipsec、iptablesなど)はどっちが先？ ソケット通信がハーフオープンになってしまうって事象が発生しました。 こういう時には、tcpdumpで調べますよねってことで、通信トレースを取得して解析をしてみると、どうやら、ハンドシェイクの時に、syn、syn ackと通信があってackが返せていないって感じでした。 syn、syn ackまで通信ができているってことは、ネットワークルーティングや機器間のFirewallとかには問題ないだろうって推測で、 ソースとなる機器側がackを返せない理由を調べていました。 結果として、機器自体のfirewall（AIXでしたので、IPsecのフィルター）で該当のインバウンド通信が閉じていたからなんですけど、 まてよと、インバウンドを閉じているなら、tcpdumpにsyn ackが記録されたのは
Linuxにおける新たなパケットフィルタリングツール「nftables」入門 | さくらのナレッジ
たとえば、かつてiptablesで設定していたIPv4に関連するパケットフィルタリング設定は、nftablesにおいては「ip」というアドレスファミリに紐付けたテーブルを作成することで設定できる。同様に、ip6tablesやarptables、ebtablesで設定していたものはそれぞれ「ip6」や「arp」、「bridge」というアドレスファミリに紐付けたテーブルで設定する。 「inet」「および「netdev」アドレスファミリはnftablesで新たに導入されたもので、まず「inet」はIPv4およびIPv6の両方を対象にした設定を行えるアドレスファミリだ。従来IPv4とIPv6の両方にまたがったフィルタリングルールを設定したい場合はiptablesとip6tablesの両方で同じようなルールを追加する必要があったが、nftablesではinetアドレスファミリで指定することで単一の設
Ubuntuでufwを設定する - exoself
ufw (Uncomplicated Firewall) は主にUbuntuで採用されているiptablesのラッパーで，pythonで実装されている． iptablesをより平易な構文で使えるようになるのが利点だ． ネットワークにあまり詳しくないサーバエンジニアにとっては，iptablesはそれなりに難解なものらしい． 筆者はインフラ系のSEとして，Reflexive ACLやLock and Key ACLに始まり，Time Based ACLやEEMとTCLを駆使したEvent Driven ACLなど，変態的なアクセス制御をCisco謹製ルータで実装してきた身としては，iptablesは構文も平易で機能も充実しておりなかなか便利なやつである．最初はBSDのipfwより設定書きにくいなーなどと思ったものだが． 閑話休題 今回は Ubuntu Server 12.10 quantal
linuxマシンのルータ化 その3 iptablesの設定（IPマスカレード） - ひよっこエンジニアの日記
前回でpppoeでの接続ができるようになりました。今回はiptablesを設定することで、ルータ配下の端末がインターネットに出られるようにします。 Step1 NIC間の転送の設定 /etc/sysctl.confファイルのnet.ipv4.ip_forwardの値を0から1に変更します。変更しただけでは設定が反映されないことに注意してください。 # Controls IP packet forwarding #net.ipv4.ip_forward = 0 net.ipv4.ip_forward = 1 以下のコマンドで上の設定を有効化します。 # sysctl -p Step2 IPマスカレードの設定 WAN側に接続しているポートが、eth0の場合でインターネットに出られるようになります。 ただし、デフォルトゲートウェイをeth0のIPアドレスに設定する必要があります。 iptable
iptablesによるIPマスカレード(NAT) - エーエイチレフ linuxサーバー技術情報
Linuxをルーターとして使用したい場合のマスカレード設定です。インターネットの接続へは１つのグローバルIPアドレスしかなく、その１つのIPアドレスをローカルネットワーク内で共有し、インターネットを利用する為にはIPマスカレードとパケット転送機能の設定が必要です。 以下のような構成があるとします。 ←eth0側 eth1側→ [グローバル] ---- [ゲートウェイPC(Linux)] ---- [ローカルPC] ネットワークの設定を適切に行っていればゲートウェイPCからはインターネットに接続できますが 他PCからはインターネットに接続できません。 これを接続できるようにするにはゲートウェイとなるPCにIPマスカレードの設定が必要です。 ゲートウェイとなるLinuxPCの設定 ゲートウェイとなるLinuxPCにはNICが二つ必要です。(グローバル側とローカル側) こ
Linuxでアプリケーションやユーザごとに、異なるdefault gateway を割り当てる変態ルーティングの方法 - お前の血は何色だ!! 4
Linuxで、アプリケーションやユーザごとに、異なるデフォルトゲートウェイを割り当てたくなる時があります。 普通は、優先度とかで自動で切り替えとか、そーゆー感じですが、 そうではなくて、 ユーザAは、デフォルトゲートウェイ1を必ず使い、ユーザBは、デフォルトゲートウェイ2を絶対に使う。 プロセスAは、デフォルトゲートウェイ1を必ず使い、プロセスBは、デフォルトゲートウェイ2を絶対に使う。 そんな風にしたい時があります。 まあ、人生は長いですから、そういう時もあるのです。 ネッツ PC 192.168.0.10 ---> HUB -->gateway1 192.168.0.100 -->gateway2 192.168.0.200 ユーザ user_proxygw は、192.168.0.200 を使い、 それ以外は、 192.168.0.100(default gw) を使うというのを考え
CentOS7でsshの許可はローカルだけにしたいときー！
coreosでdtrfs、RH系でxfsと、ファイルシステムが色々と採用されているっぽいのですが、initについては以下の参考サイトによると意外なことに。 Linux Daily Topics 2014年2月14日 問題の核心はinitにあらず ─Ubuntuの孤立 タイトルにも書いてありますが、Fedora／Red Hat，openSUSE、など比較的メジャーなディストリはsystemdを採用しつつあるらしく、Debianも一応利用可能という事でsystemdが使えるそうだ。 そんな訳で、CentOSもsystemdなんだけど、ファイアウォール回りも結構変わっていて、タイトルの通り、sshの入り口をローカルだけにしたいとき、例えば入口となるサーバーだけsshを開けておいて、他のサーバーはグローバルなsshは閉じているという構成にしたい時に、iptablesでは簡単にできていたのだけど、f
ファイアウォール構築(iptables) - CentOSで自宅サーバー構築
[root@centos ~]# yum -y install iptables-services ← iptables-servicesインストール [root@centos ~]# vi iptables.sh ← ファイアウォール設定スクリプト作成 （２）IPアドレスリスト更新チェック IPアドレスリストは頻繁に更新されるので、毎日自動でIPアドレスリストの更新有無をチェックし、更新がある場合はファイアウォール設定スクリプトを再起動するようにする。 [root@centos ~]# vi /etc/cron.daily/iplist_check.sh ← IPアドレスリストチェックスクリプト作成 #!/bin/bash PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin # 新旧IPLIST差分チェック件
あなたがnftablesを好きになるわけ | Yakst
Linux Kernel 3.13から、パケットフィルタリングやNATなどを管理するツールであるiptablesに代わって、nftablesが採用されている。このnftablesに関して、iptablesに対する利点や、コマンド操作の違いについて簡単に解説する。 Linux 3.13登場 Linux 3.13は何より、nftablesの最初のオフィシャルリリースである。nfstablesは、既存のiptablesで知られる{ip, ip6, arp, eb}tablesフレームワークを置き換える目的を持ったプロジェクトだ。Linux 3.13に含まれるnftablesはまだ完全ではなく、いくつかの重要な機能が不足しているが、今後のLinuxバージョンで登場してくるだろう。既に多くのケースでは使い物になるものだが、完全なサポート(nftablesがiptablesよりも高いレベルに達するとい
Stray Penguin - Linux Memo (iptables)
非常に役に立つ HOWTO に、 Oskar Andreasson の Iptables tutorial がある。日本語訳が存在しなかったので翻訳した (2006/01 本家にも掲載されました - Thank you, Oskar !)。 iptables は、カーネルが利用するIPパケットフィルタのルールを、操作するためのユーティリティ。カーネルそのものと密接に関係しており、kernel-2.2 では ipchains が使われていた。kernel-2.4 以降、 iptables が標準となる。ipchains とは比べものにならないほど、膨大な種類の操作オプションが用意されている。ipchains との最も大きな違いは、パケットを既存のコネクションとの関係性によって識別できる「コネクショントラッキング (接続追跡)」 というメカニズムを実装していること。この conntrack 機
Ubuntu日本語フォーラム / [解決済]iptables設定をPC起動時に反映するのには？
Linux(Ubuntu)を始めたものです。 動作環境は以下の通りです。 OSバージョン：8.10 Desktop 日本語 Remix カーネルバージョン：2.6.27-11 iptablesパッケージ：1.4.6-4ubuntu2 【事象】 Desktop版でiptablesを利用して、ファイアウォールを設定したいと思っています。そのために、以下のディレクトリにiptablesのポリシーを保存・反映させるシェルを配置して、PCを再起動したのですが、保存も起動時に反映をされません。この方法はインターネットで調べて参考にこの方法でやってみました。 ・iptableのポリシーを起動時にiptableに反映するシェル 配置ファイル：/etc/network/if-pre-up.d/iptables シェルの内容： #!/bin/sh iptables-restore < /etc/iptable
C-Production – UNIXとプログラミングの備忘録
大変ご無沙汰です。約1年半ぶりの更新です。 昨日、ブログを設置しているサーバでOSのアップデートに問題が発生したため、これを機に新サーバ・新OSに乗り換えることにしました。 現在のブログがマルチサイトのため、そのままでは新サーバの構築に苦戦すると予想されるため、他のブログの記事を統合しました。 統合内容は以下の通りです。 ・C-Production ・・・ メインサイトのため、他のブログを吸収して継続。 ・♪8thNote♪ ・・・ メインサイトに統合済みだったので、削除。 ・モバイル魂 ・・・ メインサイトに記事を引き継ぎ、並行稼働中。 ・無線のドキュメント ・・・ もともと閉鎖予定だったので、そのまま削除 外部SNSのアカウントについてはそのまま継続します。 今後ともよろしくお願いします。
Debianでiptablesファイルを置く場所について。
ひさしぶりにDebianでiptablesをいじる機会があって、「/etc/init.d/iptables」があるものだと思っていたらなかったという話。 woodyまではあったそれがsargeからは「/usr/share/doc/iptables/examples/oldinitdscript.gz」として外されてて、lennyではそれすらもなくなってる、という経緯らしい。 理由は、「/etc/init.d」にあると順番によってはiptablesのルールが有効になる前に他のサービスが上がってしまって、一次的に無防備になるのを防ぐためだとか。（だったらその旨を書いてどこかに置いておいてくれたらいいのに・・・。） で、どうするかというと、 「/etc/network/interfaces」で対象NICの「pre-up」と「post-down」にそれぞれルールの追加、削除を書く。 「/etc/n
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Filtre layer 2 multicast packet
ICMPコネクション
サービス終了のお知らせ