[debian-users:34796] Re: rp_filter の扱いが分かりません

[ISHIKAWA Mutsumi <ishikawa@xxxxxxxxxxx>]

むつみです。

>>>>> In [debian-users : No.34795] 
>>>>>	WATANABE Takashi <lieudna@xxxxxxxxxxx> wrote:
>> 渡辺です。

>> [環境]
>> --- ルータ --- ハブ --- eth0 - そのホスト

>> Woody にてカーネル 2.4.19 をコンパイルしてインストールしたと
>> ころ、/proc/sys/net/ipv4/conf/eth0/rp_filter に 1 がセットさ
>> れてしまうようになってしまいました。
>>
>> でも、そのホストをインターネットへ公開したいので、インターネ
>> ットからアクセスできるように 0 を設定する必要があるという認
>> 識でいます。

 その認識はなにか勘違いしてるように思いますが、 rp_filter は
IP Spoof protection のためのものなので、1 つまり 有効にして
おいたほうがいいと思います。

 0 にする必要性は、なにかすごく特殊な要求があるなら 別ですが
通常ありません。

>> /etc/init.d/networking が実行される時点で rp_filter がどうい
>> う状態なのか、よく分からないのですが、とにかく起動時に rp_filter 
>> に 0 を設定するにはどうしたら一番良いのでしょうか？(Debian で
>> はデフォルトで設定するらしいのですが)

 どうしても特殊な事情があって意味がわかった上で 0 にするので
あれば、

 /etc/network/options

の 

 spoofprotect=yes

こいつを no にしてください。

>> ところで、rp_filter は 0 にしても、iptables を使ってセキュリ
>> ティを強化すれば問題はないですよね？

 ダメです。
 そういうものではありません。

 というか そういうフィルタをかいくぐるために ソース IP を
偽装してきたものを排除する仕組みですので、iptables では
防ぎきれない類いのパケットをはたきおとすためのものだと
認識した方がいいでしょう。

-- 
いしかわ むつみ
 <ishikawa@xxxxxxxxxxx>, <ishikawa@debian.org>, <ishikawa@xxxxxxxxxxxxxxxx>