5. ステップ３：ファイアーウォールとアクセスポリシーの設定

#!/bin/sh
#
# ipchains.sh
#
# An example of a simple ipchains configuration. 
# 単純な ipchains 設定例
#
# This script allows ALL outbound traffic, and denies 
# ALL inbound connection attempts from the outside.
# このスクリプトは全ての外へのトラフィックを許可し、
# 全ての中への接続試行を拒否します。
#
###################################################################
# Begin variable declarations and user configuration options ######
# 変数の宣言とユーザ設定オプションの始まり
#
IPCHAINS=/sbin/ipchains
# This is the WAN interface, that is our link to the outside world.
# これは WAN インターフェース、つまり外部につながっている我々のリンク。
# For pppd and pppoe users.
# pppd と pppoe ユーザのために。
# WAN_IFACE="ppp0"
WAN_IFACE="eth0"

## end user configuration options #################################
### エンドユーザ設定オプション    #################################
###################################################################
# The high ports used mostly for connections we initiate and return
# traffic.
# 高い番号のポートはトラフィックの初期化と応答の設定のために
# 主に用いられる。
LOCAL_PORTS=`cat /proc/sys/net/ipv4/ip_local_port_range |cut -f1`:\
`cat /proc/sys/net/ipv4/ip_local_port_range |cut -f2`

# Any and all addresses from anywhere.
# 任意の場所からの任意の全てのアドレス
ANYWHERE="0/0"

# Let's start clean and flush all chains to an empty state.
# 全てのチェインをすっかり空の状態に。
$IPCHAINS -F  

# Set the default policies of the built-in chains. If no match for any 
# of the rules below, these will be the defaults that ipchains uses.
# 組み込みのチェインをデフォルトのポリシーにセット。以下のルールのどれにも
# マッチしないなら、これらは ipchains が用いるデフォルトになる。
$IPCHAINS -P forward DENY
$IPCHAINS -P output ACCEPT
$IPCHAINS -P input DENY 

# Accept localhost/loopback traffic.
# localhost/loopback トラフィックは受け入れる。
$IPCHAINS -A input -i lo -j ACCEPT

# Get our dynamic IP now from the Inet interface. WAN_IP will be our
# IP address we are protecting from the outside world. Put this
# here, so default policy gets set, even if interface is not up
# yet.
# ここでInet インターフェースから我々の動的な IP を得る。
# WAN_IP は我々が外の世界から守っている IP アドレスになる。
# ここでこれをおいておくと、もしインターフェースがまだ用意されてなくても、
# デフォルトのポリシーがセットされる。
WAN_IP=`ifconfig $WAN_IFACE |grep inet |cut -d : -f 2 |cut -d \  -f 1`

# Bail out with error message if no IP available! Default policy is 
# already set, so all is not lost here.
# もしどのIP も使えないなら、エラーメッセージを出して抜け出す。
# デフォルトのポリシーが既に設定されているので、全てがここで失われる
# わけではない。
[ -z "$WAN_IP" ] && echo "$WAN_IFACE not configured, aborting." && exit 1

# Accept non-SYN TCP, and UDP connections to LOCAL_PORTS. These are
# the high, unprivileged ports (1024 to 4999 by default). This will
# allow return connection traffic for connections that we initiate
# to outside sources. TCP connections are opened with 'SYN' packets.
# 非-SYN TCP を受け入れ、LOCAL_PORTS への UDP 接続を受け入れる。
# これらは高い番号で、割り当てのないポート（デフォルトでは1024から4999)。
# これは我々が外部のソースへ通信を始める時の接続の、
# 返答の接続通信を許可する。
# TCP 接続は 'SYN' パケットとともに開かれている。
$IPCHAINS -A input -p tcp -s $ANYWHERE -d $WAN_IP $LOCAL_PORTS ! -y -j ACCEPT 

# We can't be so selective with UDP since that protocol does not
# know about SYNs.
# UDP はSYNについて知らないので、これと選択しては使えない。
$IPCHAINS -A input -p udp -s $ANYWHERE -d $WAN_IP $LOCAL_PORTS -j ACCEPT 

## ICMP (ping)
#
# ICMP rules, allow the bare essential types of ICMP only. Ping
# request is blocked, ie we won't respond to someone else's pings,
# but can still ping out. 
# ICMP の規則、ICMP の最低限の本質的な型だけを許す。
# Ping 要求はブロックされる。つまり、我々は誰かのping には応答せず、
# ping を出すことはできる。
$IPCHAINS -A input  -p icmp  --icmp-type echo-reply \
   -s $ANYWHERE -i $WAN_IFACE -j ACCEPT
$IPCHAINS -A input  -p icmp  --icmp-type destination-unreachable \
   -s $ANYWHERE -i $WAN_IFACE -j ACCEPT
$IPCHAINS -A input  -p icmp  --icmp-type time-exceeded \
   -s $ANYWHERE -i $WAN_IFACE -j ACCEPT

###################################################################
# Set the catchall, default rule to DENY, and log it all. All other
# traffic not allowed by the rules above, winds up here, where it is
# blocked and logged. This is the default policy for this chain
# anyway, so we are just adding the logging ability here with '-l'.
# Outgoing traffic is allowed as the default policy for the 'output'
# chain. There are no restrictions on that.
# なんでも箱をおき（デフォルトルールは DENY）、全てのログをとる。
# 上のルールで許可されない他の全ての通信は、ここで引き上げ、
# ブロックされてログが取られる。とにかく、これはこのチェインの
# デフォルトのポリシーなので、ここで'-l' オプションでログ能力を付け加えるだけ。
# 外へ出て行く通信は 'output' チェインのデフォルトポリシーとして許可する。
# これについては何の制限もおかない。
$IPCHAINS -A input -l -j DENY

echo "Ipchains firewall is up `date`."

##-- eof ipchains.sh

 

#!/bin/sh
#
# iptables.sh
#
# An example of a simple iptables configuration. 
# iptables 設定のシンプルな例
#
# This script allows ALL outbound traffic, and denies 
# ALL inbound connection attempts from the Internet interface only.
# このスクリプトは全ての外向きの通信を許可し、
# 全ての内側への接続試行を拒否します。
###################################################################
# Begin variable declarations and user configuration options ######
# 変数宣言とユーザ設定オプションの開始。
#
IPTABLES=/sbin/iptables
# Local Interfaces
# ローカルインターフェース
# This is the WAN interface that is our link to the outside world.
# これは外の世界へ我々をつなげている WAN インターフェース。
# For pppd and pppoe users.
# ppd と pppoe ユーザのため。
# WAN_IFACE="ppp0"
WAN_IFACE="eth0"
#

## end user configuration options #################################
## エンドユーザ設定オプション
###################################################################

# Any and all addresses from anywhere.
# 任意の場所からの任意の全てのアドレス
ANYWHERE="0/0"

# This module may need to be loaded:
# このモジュールはロードする必要があるかも知れない
modprobe ip_conntrack_ftp

# Start building chains and rules #################################
# チェインと規則の作成の開始
# Let's start clean and flush all chains to an empty state.
# 全てのチェインを空の状態に初期化
$IPTABLES -F  

# Set the default policies of the built-in chains. If no match for any 
# of the rules below, these will be the defaults that IPTABLES uses.
# 組み込みのチェインのデフォルトのポリシーを設定する。
# もし以下のルールのどれにもマッチしないなら、これらが IPTABLES ユーザの
# デフォルトとなる。
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P INPUT DROP

# Accept localhost/loopback traffic.
# localhost/loopback 通信を許可
$IPTABLES -A INPUT -i lo -j ACCEPT

## ICMP (ping)
#
# ICMP rules, allow the bare essential types of ICMP only. Ping
# request is blocked, ie we won't respond to someone else's pings,
# but can still ping out.
# ICMP ルール。ICMP の最低限の本質的タイプのみを許可。
# ping の要求はブロックされる、つまり、我々は誰か他の ping には
# 応答しないが、ping を出すことは可能。
$IPTABLES -A INPUT  -p icmp  --icmp-type echo-reply \
   -s $ANYWHERE -i $WAN_IFACE -j ACCEPT
$IPTABLES -A INPUT  -p icmp  --icmp-type destination-unreachable \
   -s $ANYWHERE -i $WAN_IFACE -j ACCEPT
$IPTABLES -A INPUT  -p icmp  --icmp-type time-exceeded \
   -s $ANYWHERE -i $WAN_IFACE -j ACCEPT

###################################################################
# Set the catchall, default rule to DENY, and log it all. All other
# traffic not allowed by the rules above, winds up here, where it is
# blocked and logged. This is the default policy for this chain
# anyway, so we are just adding the logging ability here with '-j
# LOG'. Outgoing traffic is allowed as the default policy for the
# 'output' chain. There are no restrictions on that.
# なんでも箱をおき（デフォルトルールは DENY）、全てのログをとる。
# 上のルールで許可されない他の全ての通信は、ここで引き上げ、
# ブロックされてログが取られる。とにかく、これはこのチェインの
# デフォルトのポリシーなので、ここで'-l' オプションでログ能力を付け加えるだけ。
# 外へ出て行く通信は 'output' チェインのデフォルトポリシーとして許可する。
# これについては何の制限もおかない。
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A INPUT -m state --state NEW -i ! $WAN_IFACE -j ACCEPT
$IPTABLES -A INPUT -j LOG -m limit --limit 30/minute --log-prefix "Dropping: "

echo "Iptables firewall is up `date`."

##-- eof iptables.sh

 

# Accept non-SYN TCP, and UDP connections to LOCAL_PORTS. These are the high,
# unprivileged ports (1024 to 4999 by default). This will allow return
# connection traffic for connections that we initiate to outside sources.
# TCP connections are opened with 'SYN' packets. We have already opened 
# those services that need to accept SYNs for, so other SYNs are excluded here
# for everything else.
# LOCAL_PORTS への非-SYN TCP と UDP 接続を受け入れる。
# これらは高い番号で、割り当てのないポート（デフォルトでは1024から4999)。
# これは我々が外部のソースへ通信を始める時の接続の、返答の接続通信を許可する。
# TCP 接続は 'SYN' パケットとともに開かれている。
# 我々は既に SYN を受け入れる必要のあるサーヴィスを開いていたので、
# 他のSYN については、それら以外の全てをここで除く。
$IPCHAINS -A input -p tcp -s $ANYWHERE -d $WAN_IP $LOCAL_PORTS ! -y -j ACCEPT 

# We can't be so selective with UDP since that protocol does not know 
# about SYNs.
# UDP は SYN について知らないので、
# このプロトコルとそれほど選択的にはなれない。
$IPCHAINS -A input -p udp -s $ANYWHERE -d $WAN_IP $LOCAL_PORTS -j ACCEPT 

 

 # Firewall configuration written by lokkit
 # Manual customization of this file is not recommended.
 # Note: ifup-post will punch the current nameservers through the
 #       firewall; such entries will *not* be listed here.
 :input ACCEPT
 :forward ACCEPT
 :output ACCEPT
 -A input -s 0/0 -d 0/0 80 -p tcp -y -j ACCEPT
 -A input -s 0/0 -d 0/0 25 -p tcp -y -j ACCEPT
 -A input -s 0/0 -d 0/0 22 -p tcp -y -j ACCEPT
 -A input -s 0/0 -d 0/0 23 -p tcp -y -j ACCEPT
 -A input -s 0/0 -d 0/0 -i lo -j ACCEPT
 -A input -s 0/0 -d 0/0 -i eth1 -j ACCEPT
 -A input -s 127.0.0.1 53 -d 0/0 -p udp -j ACCEPT
 -A input -s 0/0 -d 0/0 -p tcp -y -j REJECT
 -A input -s 0/0 -d 0/0 -p udp -j REJECT

 

 # chkconfig ipchains on