仙石浩明の日記: IPv6 (2)
IPv6ブリッジ機能付きルーター (ブルータ) を使えば、 NAT 内の LAN でそのまま IPv6 を使えるわけで、 IPv6 の敷居は一気に下がる。 つまり、ほとんどの OS がすでに IPv6 をサポートしているので、 ルータが IPv6 を素通し (ブリッジ) しさえすれば、 LAN 内で IPv6 を意識せずに使える。 今まで通り IP を (NAT 経由したプライベートアドレスで) 使いながら、IPv6 のオイシイところ (end-to-end 通信ができる) だけを ツマミ食いできるわけで、 今度こそ (^^;) IPv6 が普及するのではないかと... Linux でブルータを実現するには、 まずブリッジ機能をカーネルに組み込んでおく。 # brctl show br0 bridge name bridge id STP enabled interfaces br0 80
tcpdump(iptraceなど)とfirewall(ipsec、iptablesなど)はどっちが先？
tcpdump(iptraceなど)とfirewall(ipsec、iptablesなど)はどっちが先？ ソケット通信がハーフオープンになってしまうって事象が発生しました。 こういう時には、tcpdumpで調べますよねってことで、通信トレースを取得して解析をしてみると、どうやら、ハンドシェイクの時に、syn、syn ackと通信があってackが返せていないって感じでした。 syn、syn ackまで通信ができているってことは、ネットワークルーティングや機器間のFirewallとかには問題ないだろうって推測で、 ソースとなる機器側がackを返せない理由を調べていました。 結果として、機器自体のfirewall（AIXでしたので、IPsecのフィルター）で該当のインバウンド通信が閉じていたからなんですけど、 まてよと、インバウンドを閉じているなら、tcpdumpにsyn ackが記録されたのは
はじめてCentOS8をさわったらnf_tablesにやられた - 自分のメモ帳
QNAPにはvirtualization stationというものがある。ここにCentOS8を入れてみた。CentOS-8.2.2004-x86_64-minimal.isoをダウンロードしてきて起動ディスクに指定してインストールした。 気づいたこと YUMからDNFになった。以下はmanより。 DNF is the next upcoming major version of YUM, a package manager for RPM-based Linux distributions. pythonを入れた。簡単にPython 3.6.8が入りました。 # dnf update # dnf install python3 大昔からselinuxは盲目的にdisableにしてきた。とりあえずしてみた。 # vi /etc/selinux/config ---変更--- SELINUX
iptables から nftables にサクッと切り替える | みむらの手記手帳
どうもみむらです。 Red Hat Enterprise Linux 8 になって iptables から nftables に本格的に切り替えが始まりました。 CentOS 8 もこれを受けて nftables への切り替えが必要になってきました。 参考資料：Linuxにおける新たなパケットフィルタリングツール「nftables」入門 https://knowledge.sakura.ad.jp/22636/ firewalld で書いていれば影響を受けないらしいのですが iptables で直接ルールを書いている人なので、これを機に nftables に変換してしまおうかと。 実はさくっと切り替えられる とりあえず変換して nftables で管理出来るようになればよいのであれば 下記の２パターンの方法で変換可能です。 パターン1 : iptables-restore-translat
TCPの各種状態の作り方 - hana_shinのLinux技術ブログ
1 はじめに 2 検証環境 2.1 ネットワーク構成 2.2 版数 3 TCPの状態遷移 4 LISTEN状態の作り方 5 ESTABLISHED状態の作り方 6 SYN-SENT状態の作り方 6.1 作成手順 6.2 後始末(iptablesの設定削除) 7 SYN-RECEIVED状態の作り方 7.1 作成手順 7.2 後始末(iptablesの設定削除) 8 FIN-WAIT-1状態の作り方 8.1 作成手順 8.2 後始末(iptablesの設定削除) 9 FIN-WAIT-2状態の作り方 9.1 作成手順 10 CLOSE-WAIT状態の作り方 10.1 作成手順 11 LAST-ACK状態の作り方 11.1 作成手順 11.2 後始末(iptablesの設定削除) 12 TIME-WAIT状態の作り方 12.1 作成手順 13 CLOSING状態の作り方 Z 参考情報 1 はじ
ufwをインストールして使ってみた - Qiita
第132回 関西Debian勉強会でufwのお話を聴く機会があり、raspbianにもインストールして使ってみた ufwとは？ Uncomplicated FireWall(複雑ではないファイアーウォール) インストールする
CentOS vsftpdを使うまでの道のり : その日のアガタ
備忘録です。 CentOS6にvsftpdが入ってるので使えるようにするのが目的。 久しぶりにLinux触ったら色々戸惑ったので書き残します。 ソースコードやコマンドは見た目をどう分ければよいのか...とりあえず、引用を使いました。 流れ 1. vsftpd.conf 設定して起動 2. iptablesでポート解放 3. selinuxを有効化して必要な設定on 1.vsftpd.conf設定 利用可能なユーザを指定するタイプにしました。 ログはxferlogよりvsftpdログ派。なのでvsftpd.logだけにしました。 /etc/vsftpd/vsftpd.conf anonymous_enable=NO local_enable=YES write_enable=YES local_umask=022 ・・・ファイル作成時にパーミッションを664にしたい dirmessage
iptablesで設定するファイヤーウォールで、ポート番号を範囲指定する - Qiita
はじめに 今までiptablesでポート番号の口を空ける際に、1ポートづつスクリプトで空けてたため凄く設定に時間がかかっていました。 目に余ったのでググったら普通にやり方があったので覚書 ポートの範囲は:で指定 通常のこんな風にdportにポート番号を1つ指定する代わりに、
iptablesでftpを通す - Pistolfly
iptablesでftpを通すには、以下のように21番ポートをあけるだけでは、LISTコマンドが通らない。 # iptables -A INPUT -p tcp --dport 21 -j ACCEPT ip_conntrack_ftpとip_nat_ftp二つのモージュールをロードする必要がある。 /etc/sysconfig/iptables-configに以下の記述をしておけば、自動的にロードされる。 IPTABLES_MODULES="ip_conntrack_ftp ip_nat_ftp" iptables-configを変更したら、iptablesを再起動する。 # service iptables restart モジュールがロードされていることを確認。 # lsmod Module Size Used by nf_nat_ftp 7361 0 nf_conntrack_ft
iptablesでFTP(パッシブモード)を許可する
今回はパッシブモードでの接続を許可する設定方法について見ていきます。 まず、パッシブモードで使用するポートを確認しましょう。 上図のように、データコネクションで使用するポートはランダムであり定まっていません。そのため、単純なパケットフィルタで許可しようとすると、次のようなパケットフィルタルールを適用する必要があります。 FTPクライアント(From) FTPサーバー(To) 上表のとおり、ほとんどのポートを開放する必要があり、これではパケットフィルタを設定する意味がありません。そこでiptablesにその問題を解決してくれるモジュールを組み込む対応を取ります。 「ip_conntrack_ftp」というモジュールを組み込んでおくと、データコネクションやパッシブモードの対応を自動で行ってくれます。 コントロールコネクション用のポート開放 「ip_conntrack_ftp」モジュールの組み込
Linuxにおける新たなパケットフィルタリングツール「nftables」入門 | さくらのナレッジ
たとえば、かつてiptablesで設定していたIPv4に関連するパケットフィルタリング設定は、nftablesにおいては「ip」というアドレスファミリに紐付けたテーブルを作成することで設定できる。同様に、ip6tablesやarptables、ebtablesで設定していたものはそれぞれ「ip6」や「arp」、「bridge」というアドレスファミリに紐付けたテーブルで設定する。 「inet」「および「netdev」アドレスファミリはnftablesで新たに導入されたもので、まず「inet」はIPv4およびIPv6の両方を対象にした設定を行えるアドレスファミリだ。従来IPv4とIPv6の両方にまたがったフィルタリングルールを設定したい場合はiptablesとip6tablesの両方で同じようなルールを追加する必要があったが、nftablesではinetアドレスファミリで指定することで単一の設
iptablesの設定【最小構成】 - Qiita
#!/bin/sh # iptables 初期化 iptables -F INPUT iptables -F OUTPUT iptables -F FORWARD # 受信を破棄 / 送信を許可 / 通過を拒否 iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP # 自ホストからのアクセスをすべて許可 iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # 内部から行ったアクセスに対する外部からの返答アクセスを許可 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # ping(icmp)許可 iptables -I INPUT -
iptablesのデバグ
12.4. iptablesのデバグiptables のデバグはなかなか骨が折れる。というのも iptables がいつも分かりやすいエラーメッセージばかり出すとは限らないからだ。そこで、 iptables でよくあるエラーメッセージと、それが出る理由をおさらいしておこう。 まず最初が "Unknown arg" エラー。出る原因はいろいろとある。例えば下のようなメッセージだ。 work3:~# iptables -A INPUT --dport 67 -j ACCEPT iptables v1.2.9: Unknown arg `--dport' Try `iptables -h' or 'iptables --help' for more information. この例なら、使用している引数がひとつだけなので解決はあまりにも容易い。このエラーメッセージにお目にかかるのは、普通、長い長
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Filtre layer 2 multicast packet
Ubuntu ufw: set a rule on a per interface basis
How can I fix the iptables error message "unable to initialize table 'filter'"?
赚钱宝设备，刷机后，故障记录，Debian 10系统，iptables v1.8.2 (nf_tables): TABLE_ADD failed (Invalid argument): table filter 2022-3-5 | Dasmz
Copy UFW rules between servers
ユーザ空間でのステート
Iptablesチュートリアル 1.2.2