- 締切済み
ipchainsのNATについて
ken2の回答
- ken2
- ベストアンサー率36% (86/235)
/usr/sbin/ipmasqadm portfw -a -P tcp -L 210.154.xxx.171 80 -R 192.168.0.30 80 この”/usr/sbin/ipmasqadm”を使います。 お話の内容からいくと、上記のような記述になると思います。 参考URLに記述例があります。 こんな感じでしょうか?
関連するQ&A
- ＦＴＰ （Ｎｏ．２）
元々ipchainsとiptablesが入っていましたが、設定がややっこしくなるので、iptablesをはずしました。/etc/sysconfig/ipchainsのファイルは手書きです。 :input ACCEPT :forward ACCEPT :output ACCEPT -A input -s 0/0 -d 0/0 -i lo -j ACCEPT -A input -s 0/0 -d 0/0 -i eth0 -j ACCEPT -A input -s ***.***.***.*** 53 -d 0/0 -p udp -j ACCEPT -A input -s ***.***.***.*** 53 -d 0/0 -p udp -j ACCEPT -A output -i eth1 -p tcp -s 192.168.1.1 1024:65535 -d any/0 21 -j ACCEPT -A input -i eth1 -p tcp ! -y -s any/0 21 -d 192.168.1.1 1024:65535 -j ACCEPT -A output -i eth1 -p tcp -s 192.168.1.1 1024:65535 -d any/0 1024:65535 -j ACCEPT -A input -i eth1 -p tcp ! -y -s any/0 1024:65535 -d 192.168.1.1 1024:65535 -j ACCEPT -A input -i eth1 -p tcp -s any/0 20 -d 192.168.1.1 1024:65535 -j ACCEPT -A output -i eth1 -p tcp ! -y -s 192.168.1.1 1024:65535 -d any/0 20 -j ACCEPT -A input -s 0/0 -d 0/0 -p tcp -y -j REJECT -A input -s 0/0 -d 0/0 -p udp -j REJECT ***.***.***.***はDNS名です。 MASQの設定は/etc/rc.d/rc.localでしています。 # Routing /sbin/ipchains -A forward -s 192.168.1.0/24 -j MASQ 心当たりあるのはmodulesでip_masq_ftpを組もうとして失敗して、検索したら7.2では消されたらしいです。iptableにするのも一つの手ですが、ipchainsでは何とかならないでしょうか？ 長くなりましたが、ご不明の点がありましたらお答えします、アドバイスよろしくお願いします。m(_ _)m 関連URL:http://www.okweb.ne.jp/kotaeru.php3?q=274130
- ベストアンサー
- その他(OS)
- ipmasqadm を使ったNATでPINGも転送する
こんにちわ RedHatLinux6.2jか7.0jを使っています ipmasqadmとIPchanisを使って NATとマスカレードの設定をしているのですが pingが転送できません っというのも ipmasqadmでicmpを指定できないですよね？ なので pingは全て転送もとのマシンが受け取ってしまいます /usr/sbin/ipmasqadm portfw -a -P tcp -L $210.XX.XX.XX 80 -R 192.168.XX.XX 80 という感じで指定しているのですが ーPにicmpを指定できないため 210.のマシンがPINGを受け取ってしまいます (WEBに関しては210.のアドレスの指定で192.168のマシンが見れる) 何かいい方法はないでしょうか？
- 締切済み
- その他（インターネット接続・通信）
- iptablesの設定について
IISとApachのテストサイトを構築しています。 LINUXマシンにNICを2枚差し、 インターネット側：FW-OUT(eth0) プライベート側：FW-IN(eth1) WEBサイトの仮想アドレスとして、 V_WEB(eth0:1) V_WIN2K(eth0:2) MAINTマシンからPINGは172.32.0.0は通るのですが、 当該マシンから両WEBページが閲覧できません。 記述は、 http://www.atmarkit.co.jp/flinux/rensai/security03/security03a.html を参考に変更しました。 何か手がかりがあればお願いします。 #!/bin/sh # # Define IP Address FW_OUT='172.32.0.100' FW_IN='192.168.0.1' V_WEB='172.32.0.10' V_WIN2K='172.32.0.20' R_WEB='192.168.0.10' R_WIN2K='192.168.0.20' MAINT='172.32.0.150' ANY='0.0.0.0' # # Flush chains /sbin/iptables -F # /sbin/iptables -P INPUT DROP /sbin/iptables -P FORWARD DROP /sbin/iptables -P OUTPUT DROP # /sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT /sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT # /sbin/iptables -A OUTPUT -p icmp -s $FW_OUT --icmp-type 0 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 8 -d $FW_OUT -j ACCEPT # /sbin/iptables -A OUTPUT -p icmp -s $V_WEB --icmp-type 0 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 8 -d $V_WEB -j ACCEPT /sbin/iptables -A OUTPUT -p icmp -s $V_WIN2K --icmp-type 0 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 8 -d $V_WIN2K -j ACCEPT # /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 0 -d $V_WEB -j ACCEPT /sbin/iptables -A OUTPUT -p icmp -s $V_WEB --icmp-type 8 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 0 -d $V_WIN2K -j ACCEPT /sbin/iptables -A OUTPUT -p icmp -s $V_WIN2K --icmp-type 8 -d $MAINT -j ACCEPT # /sbin/iptables -A INPUT -p TCP -s $MAINT --dport 22 -d $FW_OUT -i eth0 -j ACCEPT /sbin/iptables -A OUTPUT -p TCP ! --syn --sport 22 -s $FW_OUT -d $MAINT -o eth0 -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 80 -d $R_WEB -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s $R_WEB -d $ANY -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 443 -d $R_WEB -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 443 -s $R_WEB -d $ANY -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 80 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s $R_WIN2K -d $ANY -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 135 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 135 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 137 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 137 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 138 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 138 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 139 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 139 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 445 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 445 -s $R_WIN2K -d $ANY -j ACCEPT # # Flush Nat Rules # /sbin/iptables -t nat -F # # Nat Rules # /sbin/iptables -t nat -A POSTROUTING -s $R_WEB -o eth0 -p TCP -j SNAT --to $V_WEB /sbin/iptables -t nat -A POSTROUTING -s $R_WIN2K -o eth0 -p TCP -j SNAT --to $V_WIN2K # # End Of Rules [root@firewall FW]#
- 締切済み
- Linux系OS
- ポート110が開かない
rootでログイン後 以下の通りコマンドをうちました /sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT /sbin/iptables -A INPUT -p tcp --sport 110 -j ACCEPT /etc/init.d/iptables save /etc/init.d/iptables restart しかし、 http://www.cman.jp/network/support/port.html で確認するとポート110でアクセスできないといわれます。 なにか設定が足りてないでしょうか?
- ベストアンサー
- ハードウェア・サーバー
- ipchainsからiptablesの設定へ
お世話になります。 Linuxで2枚のNICでルーターの定義をしているものです。 LAN側の定義で。 kernel-2.2ではipchainsを使用して下記のように定義してきました。要するに、多く存在するパソコンの中で特定したものだけ、外へ出て行くクライアントのNATを設けたのです。 /sbin/ipchains -A forward -s 192.168.0.100/32 -d 0.0.0.0/0 -j MASQ これをkernel-2.4のiptablesでは下記のように定義するのでしょうか？ /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.100/32 -j MASQUERADE それと、iptables -L では、POSTROUTINGの定義の状態を確認する方法はないのでしょうか？以上2点をお願いします。
- ベストアンサー
- Linux系OS
- iptablesでポートフォアワードがうまくいかない。
お世話になります。下記の通りiptablesでフィルターとNATの定義をしました。 しかし、内部からネットへの接続は可能ですが、外部からWebサーバーにあるＨＰが見れない指摘を受け、その原因を調べています。 不備な点、ご指導賜りたく存じます。 eth0:1.2.3.4 ---------- | Linux | ----------- eth1:192.168.0.101 | websever:192.168.0.100 cla:192.168.0.102～ modprobe iptable_nat modprobe ip_conntrack_ftp modprobe ip_nat_ftp iptables -F iptables -t nat -F iptables -t mangle -F iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT iptables -A INPUT -i lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT iptables -A OUTPUT -o lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j ACCEPT iptables -A OUTPUT -o eth1 -d 192.168.0.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -d 1.2.3.4 -j ACCEPT iptables -A OUTPUT -p tcp --dport 80 -s 1.2.3.4 -j ACCEPT iptables -A INPUT -p tcp --dport 53 -d 1.2.3.4 -j ACCEPT iptables -A OUTPUT -p tcp --dport 53 -s 1.2.3.4 -j ACCEPT iptables -t nat -A PREROUTING -p tcp -d 1.2.3.4 -i eth0 --dport 80 -j DNAT --to 192.168.0.100:80 iptables -A FORWARD -i eth1 -o eth0 -s 192.168.0.0/24 -j ACCEPT iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4 iptables -t nat -A POSTROUTING -s 192.168.0.102/32 -o eth0 -j MASQUERADE
- 締切済み
- その他(OS)
- ipmasqadmをiptablesで定義する方法について
お世話になります。 Linuxをルーター機能で2枚のNIC構成で作成しています。 kernel-2.2では下記のコマンドでDMZにあるWebサーバーにポートフォアワードしていました。 /sbin/ipmasqadm portfw -a -P tcp -L 1.2.3.4 80 -R 192.168.0.101 80 これをkernel-2.4ではiptablesを使用して構成するようですが、その定義がいまいち理解できていません。 その定義方法は下記のものだけでよろしいのでしょうかをお尋ねします。つまり、下記のみで外部からDMZゾーンにあるWebサーバーへのアクセスが可能かどうか？です。 /sbin/iptables -A FORWARD -p tcp -s 0.0.0.0 --dport 80 -d 192.168.0.101 -j ACCEPTなど・・・ /sbin/iptables -A PREROUTING -t nat -p tcp -d 1.2.3.4 --dport 80 -j DNAT --to 192.168.0.101:80 以上のヒントをお願いします。
- ベストアンサー
- Linux系OS
- YahooBBのNAT
ルータはTrio3G plusです。 http://172.16.255.254/P_Frouter_napt.html でNATの設定があります。 http://172.16.255.254/helpNAT.html にはNATの説明が有り、TCP/UDPのポート番号とか書いてあります。 その説明を見る限りではNATでなくNAPTやLinuxのマスカレードだと思うのですが、本当にNATの企画なのでしょうか？NATとはポートまでは区別しないの企画だと思っていましたが。そして、同時インターネットも1台だと思っていましたが試してみると2台接続で2台ともインターネットできました。
- ベストアンサー
- その他（インターネット接続・通信）
- サーバーでポート587番が開放できない
現在O社のVPSでメールサーバーを構築し、ポート587番を開放したくてiptablesの編集を行いましたが、開放されません。 O社のサポートに問い合わせをしても3日返事ももらえなくて困ってます。 有識者の方のアドバイスをいただきたくて投稿いたしました。 ● VPSのOSはCentos6.2です。 ● SELinuxは無効になっています。 ------------------------------------------------------- # iptables -n -L で確認すると次の用に出力されます。 --------------------------------------------------- Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:21 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:443 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:587 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:110 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:143 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:465 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited Chain FORWARD (policy ACCEPT) target prot opt source destination REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited Chain OUTPUT (policy ACCEPT) target prot opt source destination ------------------------------------------------------------------------------- ● cat /etc/sysconfig/iptables で確認すると以下のとおりです。 *** CKFILTER 省略 **** -A INPUT -i lo -j ACCEPT -A INPUT -s xxx.xxx.xxx.0/24 -j ACCEPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -f -j LOG --log-prefix "FRAGMENT DROP:" --log-level 7 -A INPUT -f -j DROP -A INPUT ! -s xxx.xxx.xxx.0/24 -p tcp -m multiport --dports 135,137,138,139,445 -j DROP -A INPUT ! -s xxx.xxx.xxx.0/24 -p udp -m multiport --dports 135,137,138,139,445 -j DROP -A INPUT -p icmp -m icmp --icmp-type 8 -j PINGOFDEATH -A INPUT -d 255.255.255.255/32 -j DROP -A INPUT -d 224.0.0.1/32 -j DROP -A INPUT -p tcp -m tcp --dport 113 -j REJECT --reject-with tcp-reset -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT -A INPUT -p tcp -m tcp --sport 20 -j ACCEPT -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT -A INPUT -p tcp -m tcp --dport 4000:4029 -j ACCEPT -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT -A INPUT -p tcp -m tcp --dport 587 -j ACCEPT -A INPUT -p tcp -m tcp --dport 465 -j ACCEPT -A INPUT -p tcp -m tcp --dport 110 -j ACCEPT -A INPUT -p tcp -m tcp --dport 995 -j ACCEPT -A INPUT -p tcp -m tcp --dport 143 -j ACCEPT -A INPUT -p tcp -m tcp --dport 993 -j ACCEPT -A INPUT -m limit --limit 1/sec -j LOG --log-prefix "INPUT DROP:" --log-level 7 -A INPUT -j DROP -A FORWARD -m limit --limit 1/sec -j LOG --log-prefix "FORWARD DROP:" --log-level 7 -A FORWARD -j DROP -A OUTPUT ! -d xxx.xxx.xxx.0/24 -p tcp -m multiport --sports 135,137,138,139,445 -j DROP -A OUTPUT ! -d xxx.xxx.xxx.0/24 -p udp -m multiport --sports 135,137,138,139,445 -j DROP -A CKFILTER -j DROP -A PINGOFDEATH -m limit --limit 1/sec --limit-burst 4 -j ACCEPT -A PINGOFDEATH -j LOG --log-prefix "PINGDEATH DROP:" --log-level 7 -A PINGOFDEATH -j DROP COMMIT # Completed on Tue Apr 15 15:44:15 2014 ● iptablesの編集は次のスクリプト（http://centos.server-manual.com/centos6_iptables.html を参考にさせてもらっています。） -------------------------------------- なぜかポート587番は開放されません。 ● telnetで確認すると # telnet localhost 587 Trying 127.0.0.1... telnet: connect to address 127.0.0.1: Connection refused となります。 ネットでも検索しましたがヒットしませんでした。
- 締切済み
- Linux系OS
- DynDNSでIPの自動更新ができません
DynDNSのDynamicDNSを使っていますが30日間IPの更新しないと「期限切 れ」の通告が来ました。玄箱（初代）でOSはdebian(etch)です。 ddclientの設定ミスでしょうか？iptablesの設定ミスでしょうか？ (ddclientの導入手順） ddclientインストール # apt-get install ddclient ↓以下の質問に答えていく DDNSサービスはwww.dyndns.org 登録ドメイン名は[収得したアドレス] [ユーザー名]と[パスワード]入力 interfaceは無記入 PPPは[No] デーモンの自動起動は[yes] 更新間隔は[300] 起動しているddclientの機能を止めてからファイルの修正をする # /etc/init.d/ddclient stop # vi /etc/ddclient.conf daemon=600 #cache=/tmp/ddclient.cache #pid=/var/run/ddclient.pid use=web, web=checkip.dyndns.com/, web-skip='IP Address' login=登録したユーザ名 password=登録したパスワード protocol=dyndns2 server=members.dyndns.org wildcard=YES siruko.dyndns.org ←登録したドメイン名 #custom=yes, example.com syslog=yes # /etc/init.d/ddclient start (iptablesの設定) # iptables -L ←設定の閲覧 # iptables -F ←設定の初期化 # iptables -P FORWARD ACCEPT ←FORWARDの全てを許可 # iptables -P OUTPUT ACCEPT ←OUTPUTの全てを許可 # iptables -A INPUT -s 127.0.0.1 -j ACCEPT ←ループバックア ドレスは全て許可 # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ←接続済みのものは全て許可 # iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT ←www を許可 # iptables -A INPUT -p tcp -i eth0 --dport 25 -j ACCEPT ←postfixを許可 # iptables -A INPUT -p tcp -i eth0 --dport 20:21 -j ACCEPT ←ftpを許可 # iptables -A INPUT -p tcp -i eth0 --dport 50000:50029 -j ACCEPT ←ftp:PASVを許可 # iptables -A INPUT -p tcp -i eth0 -s 192.168.0.0/24 --dport 110 -j ACCEPT ←LAN内のpop3を許可 # iptables -A INPUT -p tcp -i eth0 -s 192.168.0.0/24 --dport 22 -j ACCEPT ←LAN内のsshを許可 # iptables -A INPUT -p tcp -i eth0 -s 192.168.0.0/24 --dport 445 -j ACCEPT ←LAN内のSamba接続許可 # iptables -A INPUT -p tcp -i eth0 -s 192.168.0.0/24 --dport 137 -j ACCEPT ←LAN内のSamba接続許可 # iptables -A INPUT -p udp -i eth0 -s 192.168.0.0/24 --dport 138 -j ACCEPT ←LAN内のSamba接続許可 # iptables -A INPUT -p udp -i eth0 -s 192.168.0.0/24 --dport 139 -j ACCEPT ←LAN内のSamba接続許可 # iptables -A INPUT -p udp -i eth0 -s 192.168.0.0/24 --dport 631 -j ACCEPT ←LAN内のCUPS接続許可 # iptables -P INPUT DROP # /etc/init.d/iptables save active # iptables-restore /var/lib/iptables/active # vi /etc/init.d/iptables_restore #!/bin/sh PATH=/bin:/usr/bin:/sbin:/usr/sbin iptables-restore /var/lib/iptables/active # chmod a+x /etc/init.d/iptables_restore # update-rc.d iptables_restore defaults # iptables -L # iptables -D INPUT 2 # iptables -D です。間違っている所を教えて下さい。
- 締切済み
- Linux系OS