[debian-users:34805] Re: rp_filter の扱いが分かりません

[WATANABE Takashi <lieudna@xxxxxxxxxxx>]

渡辺です。

自己(事故？)レスです。

lieudna> それから、iptables-save は標準出力へ出力するだけみたいなので、
lieudna> 永久的に保存するために、
lieudna> # /etc/init.d/iptables save active
lieudna> と実行しました。でも、起動時には active というルールセットが
lieudna> 読み込まれるわけではないようです。Debian において、起動時にデ
lieudna> フォルトのルールセット(私の場合は active)を自動でロードするに
lieudna> はどうしたら良いのでしょうか？

起動時に active (デフォルトルールセット)を読み込むには、
============================== 区切り ==============================
# dpkg-reconfigure iptables
the window> iptables init.d setup is completely optional and it is 
the window> not recommended for use. Accept the default value, "No",
the window> and  the package will not create any iptables init.d   
the window> runlevel symlinks and will remove any existing iptables
the window> runlevel symlinks.                                     
the window> .                                                      
the window> Enter "Yes" to allow the package to create the runlevel
the window> symlinks. The package installation will not "start" the
the window> iptables init.d script.                                
the window> .                                                      
the window> See /etc/default/iptables for further instruction.     
the window> 
the window> Enable the iptables init.d script?                      
============================== 区切り ==============================
に Yes と答えれば良いようです。というか /etc/default/iptables 
に書いてあるじゃないの。ちゃんと読め。＞自分
(すみません。昨日は風邪が特にひどかったので)


ところで、/etc/init.d/iptables save active を実行すると内部
では iptables-save を実行して、/var/lib/iptables/active へ
出力しているようですね。
============================== 区切り ==============================
# cat /var/lib/iptables/active 
# Generated by iptables-save v1.2.6a on Tue Oct  8 17:02:44 2002
*nat
:PREROUTING DROP [9:564]
:POSTROUTING ACCEPT [18:862]
:OUTPUT ACCEPT [18:862]
[1:60] -A PREROUTING -s 192.168.10.0/255.255.255.0 -p tcp -m tcp --dport 22 -j ACCEPT 
[0:0] -A PREROUTING -p tcp -m tcp --dport 80 -j ACCEPT 
[0:0] -A PREROUTING -p tcp -m tcp --dport 25 -j ACCEPT 
[0:0] -A PREROUTING -p udp -m udp --dport 53 -j ACCEPT 
COMMIT
# Completed on Tue Oct  8 17:02:44 2002
# Generated by iptables-save v1.2.6a on Tue Oct  8 17:02:44 2002
*mangle
:PREROUTING ACCEPT [829:73229]
:INPUT ACCEPT [792:61285]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [454:47133]
:POSTROUTING ACCEPT [454:47133]
COMMIT
# Completed on Tue Oct  8 17:02:44 2002
# Generated by iptables-save v1.2.6a on Tue Oct  8 17:02:44 2002
*filter
:INPUT ACCEPT [792:61285]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [454:47133]
COMMIT
# Completed on Tue Oct  8 17:02:44 2002
============================== 区切り ==============================

ちなみに、ローカルネットから ssh を使えるように、
# iptables -t nat -A PREROUTING -s 192.168.10.0/24 -p tcp --dport ssh -j ACCEPT
も加えてあります。これは別に危なくないですよね？