アカベコマイリ

HEAR NOTHING SEE NOTHING SAY NOTHING

さくらのVPS を使いはじめる 3 - iptables を設定する

September 13, 2010開発iptables, さくらのVPS

さくらのVPS への作業メモ 3。今回は iptables をつかってファイアーウォールを設定してみる。

iptables

iptables はパケットフィルタリング機能を提供するプログラムでファイアー ウォールの構築などに利用できる。非常に多機能で奥の深いプログラムなのだけど、とりあえず必要最小限と思われる設定をおこなう。

今回の設定をおこなう上で以下のページが参考になった。

さくらのVPS に iptables がインストールされていることを確認。

$ yum list installed | grep iptables
iptables.x86_64                           1.3.5-5.3.el5_4.1            installed
iptables-ipv6.x86_64                      1.3.5-5.3.el5_4.1            installed

どうやらインストールされているようだ。次に現在の iptables 設定を確認。

$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

何も設定されていない。

ポートの設定

iptables が未設定の状態から SSH、HTTP、FTP、MySQL だけに限定してポート解放し、後は利用しないようにする。SSH については前回の記事で変更したポート、HTTP は 80 番、FTP は 20 と 21 番、MySQL はデフォルトの 3306 番を使用する。

iptables の設定は /etc/sysconfig/iptables に対して記述する。初期状態ではこのファイルが存在しないので新規作成する。root 権限の必要な場所に保存するので sudo vi で作成。そういえば作業メモ第 1 回で WinSCP をすすめながら、ほとんど vi で編集している気がする。

$ sudo vi /etc/sysconfig/iptables

ファイルの内容は以下のようになる。

  • 追記 : 2010/12/28

    • ファイルの内容は SyntaxHighlighter Evolved という WordPress プラグインで色つけをおこなっている
    • しかし現行のバージョン 3.1.1 では、空行が「改行」ではなく「半角スペース + 改行」になってしまう
    • iptables はそのような行を検出するとエラーとなるため、このページから設定をコピペする場合は、6、17、24、26 行目を「半角スペース + 改行」から「改行」に修正する必要がある
    • 半角スペースを表示できるテキスト エディタで修正してからコピペするのが安全だと思われる
    • また、行末に空白が入ったり、最終行の COMMIT 末尾の空白や改行もエラーになるので注意すること
*filter
:INPUT   ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT  ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]

-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# SSH, HTTP, FTP1, FTP2, MySQL
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport XXXXX -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80    -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 20    -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21    -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 3306  -j ACCEPT

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

COMMIT

SSH ポート番号を変更しているなら XXXXX にその値、標準なら 22 を設定する。それ以外は普通の設定になっていると思う。詳細については、参考資料として挙げたページを参照のこと。ファイルの編集が完了したら Esc キーでコマンドモードに戻り、:wq で保存する。

  • 追記 : 2010/09/18

    • hatihati さんのコメントによって気付いたのだが、はじめに公開していた設定例ではポート 80 番の指定が抜けていたので追加
    • SSH の後の行がそれにあたる
    • コピペ元となるサーバー側の設定をみたらきちんと書かれていたので、この記事に貼り付けて体裁を整えているときに消してしまったものと思われる。

再起動と設定の確認

設定ファイルが作成されたので、iptables を再起動する。これは sudo /etc/rc.d/init.d/iptables restart でおこなえる。設定が適切ならば、以下のように出力されるはず。

$ sudo /etc/rc.d/init.d/iptables restart
Flushing firewall rules:                                   [  OK  ]
Setting chains to policy ACCEPT: filter                    [  OK  ]
Unloading iptables modules:                                [  OK  ]
Applying iptables firewall rules:                          [  OK  ]

最後に、設定がどのように反映されているのかを確認しておく。

$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
RH-Firewall-1-INPUT  all  --  anywhere             anywhere

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
RH-Firewall-1-INPUT  all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     icmp --  anywhere             anywhere            icmp any
ACCEPT     esp  --  anywhere             anywhere
ACCEPT     ah   --  anywhere             anywhere
ACCEPT     udp  --  anywhere             224.0.0.251         udp dpt:mdns
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ipp
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ipp
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:XXXXX
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ftp-data
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:mysql
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

設定がバッチリ反映されてる。めでたしめでたし。

...今回はここまで。次は Apache や MySQL などのインストールと諸設定をおこなう。

Comments from WordPress

  • hatihati 2010-09-18T00:10:04Z

    お世話になります。
    iptables の19行目と20行目の間には、次の1行が入るのではないでしょうか。これがないと、次回の記事でApacheをインストールしても、何も表示されません。

    -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80    -j ACCEPT
  • akabeko akabeko 2010-09-18T00:47:44Z

    ご指摘のとおり、ポート 80 番の指定が抜けていました。 コピペ元のサーバー側の設定には指定されていたので、この記事に載せるときにミスしたようです。

    訂正して記事に反映しました。
    ありがとうございます。

  • Patric Patric 2010-10-28T04:55:34Z

    いつも大変参考にさせていただいています。

    iptablesのファイルをそのままコピペで再起動させたのに、このようなエラーメッセが出てきました。

    Applying iptables firewall rules: Bad argument 'COMMIT'
    
    Try 'iptables-restore -h' or 'iptables-restore --help' for more informaiton

    どこの設定を変更すれば、ファイアウォールが正常に作動するか教えていただけますか。

  • akabeko akabeko 2010-10-28T14:41:36Z

    予想なのですが、最終行の COMMIT の後ろに空白または改行文字が入っている可能性が考えられます。他の要因なら、該当する設定に関するエラーが出たと思います。

    これが原因であれば、vi で COMMIT の後を何も記述されていない状態にして保存し、その後に iptables を再起動すれば正常動作します。

  • anonymous 2010-12-26T16:12:04Z

    @Patric
    横からで済みません。私もコピペを行ったところ同じエラーが発生しました。
    もしかしてこのようなエラーメッセージも出ていませんか?

    「Applying iptables firewall rules: iptables-restore v1.3.5: no command specified
    
    Error occurred at line: 6」

    どうやらコピペを行うとL6 L17 L24 L26に空白が入ってしまうようです。
    これをviで取り除いたところ上手くいきましたよ。

  • stakamura 2010-12-27T19:51:59Z

    akabekoさん、分かりやすい説明大変助かります。ありがとうございます。私も空白が入りエラーが出ましたが、取り除くとうまくいきました。

  • akabeko akabeko 2010-12-27T22:18:20Z

    iptables の設定は SyntaxHighlighter Evolved という WordPress プラグインで表示しているのですが、空行が「半角スペース + 改行」になってしまうようです。プラグインを通さない、素のテキスト データは空行になっているので気づきませんでした。

    これは混乱しそうなので、注釈を加えておきます。Patric さん、anonymousさん、stakamura さん、ご指摘ありがとうございました。

  • kakyoin 2011-07-20T20:11:28Z

    -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport XXXXX -j ACCEPT

    上記箇所の”XXXXX ” を前回変更したIPに書き直していなくてエラーしてしまいました(;´∀`)

  • teru 2011-09-06T03:07:22Z

    iptablesの設定で困っていたので、非常に助かりました。
    改行や半角スペースなどに気をつけて設定すれば、何の問題もなく1発で設定できました。

    ありがとうございます。

  • gaku gaku 2011-12-26T15:53:36Z

    VPSのセットアップに大変参考にさせていただいています。

    iptableの前までは順調にきたのですが、iptablesを再起動すると、error occured at line : 1 という表示がされて、うまく再起動できません。スペースについてもチェックしてみたのですが、どうすればよいでしょうか?

  • akabeko akabeko 2011-12-26T23:11:35Z

    "error occured at line : 1" とあるので 1 行目の記述に問題があるか、以下の質疑のようにモジュール読み込みが失敗している可能性があります。

    iptableのrestartが"una'le to initializetable 'filterError occurred at line: 1... - Yahoo!知恵袋 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q1457785684

    上記の回答ではカーネルの再インストールをすすめていますが、yum update でシステム全般の更新をおこなうほうがよいと思います。

    また、私の記事にある設定からコピペした際、スペースだけでなく、

    -A RH-Firewall-1-INPUT -m state –state NEW -m tcp -p tcp –dport XXXXX -j ACCEPT

    の XXXXX 部分に SSH のポート番号に書き換えたことも確認してみてください。

    この部分は XXXXX ではなく、20 などの数値になります。記事では SSH のポート番号を変更している可能性を考慮し、意図的に XXXXX と記述しています。

  • gaku gaku 2011-12-28T13:48:58Z

    さっそくのご回答ありがとうございます。

    おっしゃるとおりにやってみたのですが、アップデートもすでに行っており、解決することができませんでした。エラーメッセージは次のとおりです。

    Unloading iptables modules:          [OK]
    
    Applying iptables firewall rules: ip_tables: (C) 2000-2006 Netfilter Core Team 'iptables-restore v1.3.5: iptables-restore: unable to initializetable ' filter
    
    Error occurred at line:1
    
    Try 'iptables-restore -h' or 'iptables-restore --help' for more information       [FAILED]

    お手数ですが、よろしくお願いいたします。

  • akabeko akabeko 2011-12-28T23:07:06Z

    すみません。エラーメッセージの内容からは具体的な原因は分からないです。

    1 行目の記述が間違っているのか、外部要因で 1 行目から解釈不能になっていると予想されますが、それ以上の情報は、実際の設定や環境を見ないことには何ともいえません。

    設定の見直しや、周辺環境に問題がないようであれば、エラーメッセージの末尾にあるように、iptables-restore で設定を復元してから再試行するのはいかがでしょうか。

    申し訳ないのですが、助言できる範囲としてはこれぐらいになってしまいます。

    もし問題が解決し、その原因も判明された場合は、その旨をコメントいただけると助かります。そのときは、この記事の本文へお知らせいただいた内容を反映したいと思います。

  • gaku gaku 2011-12-29T13:32:54Z

    なんどもコメントありがとうございます。
    今日、ついにファイアーウォールの設定が成功しました。

    原因は、日本語キーボードを使用していなかったことにあるようです。
    今日、別のパソコンで日本語キーボードでiptablesの編集をすると、うまくいきました。

    どうもありがとうございました。