パケットの，iptables の旅路を観察するときの注意点 : DSAS開発者の部屋
前回の記事に関連して，IPsec を通るパケットの振る舞いを観察しようと，各テーブルのデフォルトチェインの先頭に，ログ出力するルールを組み込んでパケットを流していました．このようなものです． iptables -t mangle -I POSTROUTING 1 -j LOG --log-prefix "/man POS/ " iptables -t mangle -I PREROUTING 1 -j LOG --log-prefix "/man PRE/ " iptables -t mangle -I FORWARD 1 -j LOG --log-prefix "/man FOR/ " iptables -t mangle -I OUTPUT 1 -j LOG --log-prefix "/man OUT/ " iptables -t mangle -I INPUT 1 -j LOG -
Why is the kernel community replacing iptables with BPF?
Apr 17, 2018Why is the kernel community replacing iptables with BPF? Author Note: this is a post by long-time Linux kernel networking developer and creator of the Cilium project, Thomas Graf The Linux kernel community recently announced bpfilter, which will replace the long-standing in-kernel implementation of iptables with high-performance network filtering powered by Linux BPF, all while guarant
Iptables Tutorial 1.2.2
Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.1; with the Invariant Sections being "Introduction" and all sub-sections, with the Front-Cover Texts being "Original Author: Oskar Andreasson", and with no Back-Cover Texts. A copy of the license is included in the section entitled "GNU Free Documentation License".
conntrack がロードされたサーバで LVS-DR を構成する場合の注意点 - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。インフラ開発チームの深谷です。 Linux の conntrack モジュールがロードされたサーバーで、レイヤー4 (L4) ロードバランサを LVS-DR で構成したところ、 パケットフィルタが正常に働かず、通信はできるものの、一部のパケットは落ちるという挙動に悩まされました。 今回はこの問題について詳細に解析し、原因と対策がわかったのでご紹介いたします。 発生した問題 今回の問題は、Ubuntu を使って L4 ロードバランサを実装している時に遭遇しました。 構築したロードバランサには、セキュリティ対策のため iptables のラッパーである UFW を使って、 パケットフィルタをかけていました。 ロードバランサの実装には、Linux カーネルに実装されている LVS を使いました。 LVS ではいくつかのパケット転送方式をサポートしており、今回はパフォーマンスに優れる
デッドマンスイッチによるiptablesの安全な変更 - ろば電子が詰まつてゐる
古本屋で「Red Hat Linux Firewalls」の本を手に入れたのでパラパラしていたら、面白いiptablesのネタを見つけました。のでちょっと紹介します。 Red Hat Linux Firewalls (redhat PRESSシリーズ) 作者: ビルマッカーティ,Bill McCarty,中川和夫,ヴァインカーブ出版社/メーカー: ソフトバンククリエイティブ発売日: 2003/04メディア: 単行本購入: 1人 クリック: 5回この商品を含むブログ (4件) を見る この本は2003年発行ということで、既にいろんな記述が古くなっているのは確か。しかしiptablesやファイアウォールの基本的な考え方などはそうそう変わるもんでもないので、今読んでも参考になります。 リモートホストのiptables設定時の悩み RedHatやCentOSなどRH系Linuxのリモートホストにs
iptablesの設定 入門編 - Murayama blog.
Linux勉強中です。 今日はiptablesを試してみます。 参考書籍はこちら。 Ubuntuで作るLinuxサーバー (日経BPパソコンベストムック) 作者: 日経Linux出版社/メーカー: 日経BP出版センター発売日: 2008/12/12メディア: 大型本購入: 6人 クリック: 369回この商品を含むブログ (11件) を見る そうそう、この本オススメです。 タイトルにもあるとおり、サーバ構築がメインでして、 内容も浅すぎず、深すぎずちょうどいいです。 暇な人は本屋さんへGO。 で、勉強した内容をまとめます。 iptablesとは iptablesはパケットフィルタリング機能をもつソフトウェアです。 ファイアウォールやNATとして利用できます。 CentOSの場合は、デフォルトでインストールされており、 ファイアウォールの設定もデフォルトで有効になっています。 iptables
あなたの大量配信サーバip_conntrack 溢れていませんか？ | ブログ | 株式会社イー・エージェンシー
ip_conntrackを設定する理由 パケットフィルタリングツールであるiptablesは、パケットを解析するときにip_conntrackというファイルにトラッキング情報を記録します。 ip_conntrackには、最大トラッキング数があり、それをオーバーすると新規セッションを弾いてしまって、ネットワークパフォーマンスの劣化を招きます。 /var/log/messageにこのようなメッセージが出ていたら、ip_conntrackが溢れている状態です。 大量のトラフィックを捌くロードバランサーやキャッシュなどの目的を持ったLinuxマシンで、iptablesを使っているときには、ip_conntrackの最大トラッキング数を忘れずに設定しておきましょう。 ここでは、手元のマシンCentOS 5と6で設定をしていきます。 検証環境 CentOS 6.3(64bit) CentOS 5.8(
ip_conntrack_maxの限界に挑む - ひげろぐ
つい先日管理しているメモリ2GBのウェブサーバーのip_contrack_maxを50万にしてみた。 # echo '500000' > /proc/sys/net/ipv4/netfilter/ip_conntrack_max 不意な事情でアクセスがバーストしてしまい、他に手もなかったのでやむなくの緊急処置として。 結果事態は無事収束。あやういところじゃった。 経過 事態が起きた当初のip_conntrack_maxはデフォルトの65535だったのだが、怒濤のごときアクセスにたちまち上限まで攻め立てられたので10万にして、それでも焼け石に水だったのでダメ元で50万にしてみたという。 ダメ元というのはip_conntrack_maxの上限値がメモリ64MBごとに4096って情報があったので無理かと思っていたため。 でもなんだか普通にいけた。 この情報はもう古いってことかな。 ちなみに15万
iptablesの設定
iptablesの設定 [サーバの実験室 Redhat/Fedora] 作成 : 2005/01/27 修正 : 2011/05/05 "サーバの実験室"の検索 iptables パケットフィルタリング、NA(P)Tを設定するためのパッケージ。 環境によってはカーネルの再構築が必要になるが、Fedora Core 3では不要。 参考になる文書 netfilter.orgのチュートリアル。 あと、manpage。 インストール FTPサイトまたはFedoraCore3 CD Disk1からRPMパッケージをもらってきて、インストール。 # rpm -Uvh iptables-1.2.11-3.1.i386.rpm yumを使ってもよい。 # yum install iptables chkconfigユーティリティで、サーバ起動時にサービスが開始するよう設定する。 # chkconfig i
俺史上最強のiptablesをさらす - Qiita
#!/bin/bash ########################################################### # このスクリプトの特徴 # # 受信・通過については基本的に破棄し、ホワイトリストで許可するものを指定する。 # 送信については基本的に許可する。ただし、サーバが踏み台になり外部のサーバに迷惑をかける可能性があるので、 # 心配な場合は、送信も受信同様に基本破棄・ホワイトリストで許可するように書き換えると良い。 ########################################################### ########################################################### # 用語の統一 # わかりやすさのためルールとコメントの用語を以下に統一する # ACCEPT :
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
