1. パケットフィルタリングの
パケ ト ルタリ グ
考え⽅
2013/02/23
⼩岩 秀和(hide@local.or.jp)
⼀般社団法⼈LOCAL、エストコスモ、KaigiFreaks、88nite、奥野⼀⾨

2. 提 供
株式会社 エストコスモ
@makies
ここいわ

3. アジェンダ

4. •TCP/IP通信の基本
•考え⽅
•基本的な書き⽅

5. TCP/IP通信
の基本
基本

6. なにせ30分なので、
おおざっぱです
おおざ ぱです

7. TCP通信の流れ
1.通信元が通信先に要求する
1 通信元が通信先に要求する
通信元＜「お前とつながりたいんやー」
2.通信元と通信先で接続を確⽴する
通信元＜「こういう感じでどうや？」
通信先＜「いいでー」
3.通信が開始される
通信元＜「そぉーれ」
通信元＜「そぉ れ」
通信先＜「きゃっきゃうふふふ」

8. 通信元 通信先
IPアドレス
ドレ IPアドレス
ドレ
xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy
プロトコル プロトコル
TCP/UDP TCP/UDP
ポート ポート
1〜65535
1 65535 1〜65535
1 65535

9. ⽤語について
src 通信元
src_ip 通信元のIPアドレス
通信 ドレ
src_port
src port 通信元のポート番号
dst 通信先
dst_ip 通信先のIPアドレス
dst_post 通信先のポート番号
protcol 通信に使うプロトコル

10. ポート番号について
通信元
ランダムで決定される
通信先
⽤途別に⼀意で決まってる
httpなら80とか。

11. Webサーバにアクセスする場合:
通信元 通信先
IPアドレス IPアドレス
xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy
プロトコル プロトコル
TCP TCP
ポート ポート
1 65535
1〜65535 80

12. Webサーバにアクセスする場合:
src dst
src_ip
p dst_ip
p
xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy
protcol protcol
TCP TCP
src_port dst_port
1〜65535 80

13. そろそろ
フィルタ
します

14. ⽤語について
accept/permit 許可
deny/drop 破棄
reject 拒否
any 全て

15. 破棄と拒否の違い
破棄(deny、drop)
通信元になにも返事しない
拒否(reject)
通信元に明⽰的に拒否する
通信 的 拒

16. フィルタの基本の書き⽅
通信元（条件A)から
通信先（条件B)への
通信を 許可 or 破棄(拒否)

17. Webサーバへのアクセスを許可する場合:
src dst
src_ip
p dst_ip
p
全てのIPアドレス yyy.yyy.yyy.yyy
protcol protcol
TCP TCP
src_port
src port dst_port
dst port
全てのポート番号 80

18. フィルタの書き⽅
通信元
(全てのIPアドレス,TCP,全てのポート)
から
通信先
(IPアドレスyyy.yyy.yyy,TCP,80)
(IPアドレスyyy yyy yyy TCP 80)
への通信を
許可

19. フィルタの書き⽅
src(any, tcp, any)
dst(yyy.yyy.yyy,TCP,80)
accept

20. 複数のフィルタ連携
• 設定順に評価される
• マッチングしたらそこで終わり
グ 終
• 許可のル ルから書いて最後に
許可のルールから書いて最後に
拒否する

21. 複数のフィルタ連携
#おまじない（あとで解説します)
（ 解説
iptables -A INPUT -i eth0 -j ALLINPUT
iptables -A FORWARD -i eth0 -j ALLINPUT
A i j
#webサ バ のアクセスを許可(http)
#webサーバへのアクセスを許可(http)
iptables -A ALLINPUT -p tcp --dport 80 -j ACCEPT
#メールサーバへのアクセスを許可(smtp)
iptables -A ALLINPUT -p tcp --dport 25 -j ACCEPT
#マッチしなかったパケットを破棄
iptables -A ALLINPUT -j DROP

22. それぞれでの
書き⽅

23. Webサーバへのアクセスを許可する場合:
src dst
src_ip
p dst_ip
p
全てのIPアドレス yyy.yyy.yyy.yyy
protcol protcol
TCP TCP
src_port
src port dst_port
dst port
全てのポート番号 80

24. iptables

25. 考え⽅
Linuxのfirewall
サーバ上で設定する
インターフェイスに対して
フィルタ定義をおこなう
タ定義

26. Webサーバ
The eth0
internet
ここに定義する

27. iptables -A INPUT -i eth0 -j ALLINPUT
iptables -A FORWARD -i eth0 -j ALLINPUT
iptables -A ALLINPUT -p tcp --dport 80 -j ACCEPT
p p p p j

28. RTX1100

29. 考え⽅
YAMAHAのルータ
ルールを作成し
インターフェイスに
タ
そのルールを定義する
そのル ルを定義する

30. RTX1100 Webサーバ
The lan1 lan2 eth0
internet
ここに定義する

31. ip filter 1010 pass * yyy.yyy.yyy.yyyy tcp * 80
ip lan1 secure filter in 1010

32. SSGシリ ズ
SSGシリーズ

33. 考え⽅
Juniper社のファイアウォール
ルールを作成し
ゾーンとゾーンの間に
そのルールを定義する
定義

34. ここに定義する
SSG Webサーバ
untrust DMZ
The eth1 eth2 eth0
internet
trust
eth3 eth4

35. set interface "ethernet1" zone "Untrust"
set interface "ethernet2" zone "DMZ“
set policy id 1 from " Untrust " to "DMZ"
"Any" “yyy.yyy.yyy.yyy" “HTTP" permit
set policy id 2 from "Untrust" to "DMZ"
"Any" "Any" "ANY" deny log

36. まとめ

37. • 通信元と通信先を意識する
• パケットの気持ちになる
• 機械は設定したとおりに動く