[debian-users:24984] Re: ipchains のログ機能

[MATSUDA Yoh-ichi / 松田陽一 <yoh@xxxxxxxxxxxx>]

こんにちは。松田陽一@三鷹です。

From: Chou Hirotomi <tefutefu@xxxxxxxxxxxxxxxxxx>
Subject: [debian-users:24982] Re: ipchains のログ機能
Date: Fri, 3 Nov 2000 10:02:00 +0900

> こんにちは。張です．

どうもです。^^

> たとえば，ホスト foo から  %telnet hoge  としてから  %netstat  を実行してみると，
>   tcp      0     27   hoge:telnet   foo:1046   ESTABLISHED
> のように出ると思います．つまりクライアントfooの1046番ポートから，サーバhogeの
> telnet(23)ポートに接続しているということですが，そうするとこの両者の間を流れる
> パケットは，
>                       source              destination
> 　　foo  → hoge      foo:1046              hoge:23
>     hoge → foo       hoge:23               foo:1046
> 
> のようになります．何が言いたいかというと，
> 
> ・サーバ hoge の側からみると，
> 　　外部からの接続要求は，サービスデーモンがlistenしているポート
> 　　（通常，1〜1023のwell known portと呼ばれるポート）にきます．
> 　　その後の通信も，このポートを通して行われます．
> 
> ・クライアント foo の側からみると，
> 　　外部（この場合なら hoge）への接続要求は，自分が発信したポート
> 　　（この場合は 1046 ）に向かって戻ってきます．

大変丁寧な解説、有難うございます。
どうやら自分は相当長い間勘違いをしていたようです。

外部に対して ssh 以外は全くサービスを提供しない ppp server の場合、
/etc/ppp/ip-up の該当部分はこんな記述になると理解しました。

/sbin/ipchains -N ppp-in
/sbin/ipchains -A input -i ppp0 -j ppp-in
/sbin/ipchains -A ppp-in -p tcp -s 0/0 -d $PPP_LOCAL 6000 -j DENY -l
/sbin/ipchains -A ppp-in -p tcp -s 0/0 -d $PPP_LOCAL 7000 -j DENY -l
/sbin/ipchains -A ppp-in -d 0/0 1024:65535 -p tcp -j ACCEPT
/sbin/ipchains -A ppp-in -d 0/0 1024:65535 -p udp -j ACCEPT
/sbin/ipchains -A ppp-in -p tcp -s 0/0 -d 0/0 ssh -j ACCEPT
/sbin/ipchains -A ppp-in -p udp -s 0/0 -d 0/0 ssh -j ACCEPT
/sbin/ipchains -A ppp-in -p tcp -s 0/0 -d 0/0 auth -j ACCEPT
/sbin/ipchains -A ppp-in -p tcp -s 0/0 -d 0/0 ntp -j ACCEPT
/sbin/ipchains -A ppp-in -p udp -s 0/0 -d 0/0 ntp -j ACCEPT
/sbin/ipchains -A ppp-in -p icmp -s 0/0 echo-reply -d 0/0 -j ACCEPT
/sbin/ipchains -A ppp-in -p icmp -s 0/0 destination-unreachable -d 0/0 -j ACCEPT
/sbin/ipchains -A ppp-in -p icmp -s 0/0 echo-request -d 0/0 -j ACCEPT
/sbin/ipchains -A ppp-in -p icmp -s 0/0 time-exceeded -d 0/0 -j ACCEPT
/sbin/ipchains -A ppp-in -j DENY -l
--
♪そぉ〜っとぉ〜☆彡
松田 陽一(yoh)
mailto:yoh@xxxxxxxxxxxx
http://www2.palnet.or.jp/~matsuda/index.htm