[debian-users:24924] Re: ipchains のログ機能

[ikari <ikari@xxxxxxxxx>]

お疲れ様です。
碇です。
以下追記です。


> 基本的に下記のような構成です。
> 
>                   The internet
>                         |
>                         |
>                     LinuxBox(パケットフィルタのみで、DNSにも登録しません)
>                         |
>                         |
>                        DMZ
> 
> この構成ですと、LinuxBoxは外から名前解決できません。
> 外に対して、サービスを提供していなければコネクションを張ってきた時点で怪しいで
> す。
> 中からSSHだけ通せば、このホストにアクセスするホストは、中からのSSHだけです。
> これですとLinuxBoxにコネクションを張ろうとするものすべてが不正アクセスの
> 可能性があるのです。可能性というより、不正アクセスだと私は認識しています。
> LinuxBoxがただのgatewayであるならば、この認識は正しいと思います。
> 

現在のLinuxのパケットフィルタリングですと、IPマスカレードをすると中からの
コールバックなのかLinuxBoxへのアクセスなのかを見分ける事ができないと思います。
kernel2.4系ですとNetfilerという機能が実装されているそうです。
まだ試していないのですが、この機能を使えばどうもコールバックとLinuxBoxへの
アクセスを見分ける事ができるようです。
欲を言えば、Reiserfsも実装してもらいたかったです(^^)

-- 
**************************************
    碇 永志  PCA(株) ikari@xxxxxxxxx
**************************************