さくらのVPS を使いはじめる 3 – iptables を設定する
さくらのVPS への作業メモ 3。今回は iptables をつかってファイアーウォールを設定してみる。
前回までの記事
さくらのVPS を使いはじめる
さくらのVPS を使いはじめる 2
もくじ
iptables
iptables はパケットフィルタリング機能を提供するプログラムで、ファイアー ウォールの構築などに利用できる。非常に多機能で奥の深いプログラムなのだけど、とりあえず必要最小限と思われる設定をおこなう。
今回の設定をおこなう上で、以下のページが参考になった。
まず、さくらのVPS に iptables がインストールされていることを確認する。
$ yum list installed | grep iptables iptables.x86_64 1.3.5-5.3.el5_4.1 installed iptables-ipv6.x86_64 1.3.5-5.3.el5_4.1 installed
どうやらインストールされているようだ。次に、現在の iptables 設定を確認する。
$ sudo iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination
何も設定されていない。
ポートの設定
iptables が未設定の状態から SSH、HTTP、FTP、MySQL だけに限定してポート解放し、後は利用しないようにする。SSH については前回の記事で変更したポート、HTTP は 80 番、FTP は 20 と 21 番、MySQL はデフォルトの 3306 番を使用する。
iptables の設定は /etc/sysconfig/iptables に対して記述する。初期状態ではこのファイルが存在しないので新規作成する。root 権限の必要な場所に保存するので sudo vi で作成する。そういえば、作業メモの第 1 回で WinSCP をすすめながら、ほとんど vi で編集している気がする。
$ sudo vi /etc/sysconfig/iptables
ファイルの内容は以下のようになる。
ファイルの内容は SyntaxHighlighter Evolved という WordPress プラグインで色つけをおこなっている。しかし現行のバージョン 3.1.1 では、空行が「改行」ではなく「半角スペース + 改行」になってしまう。iptables はそのような行を検出するとエラーとなるため、このページから設定をコピペする場合は、6、17、24、26 行目を「半角スペース + 改行」から「改行」に修正する必要がある。
半角スペースを表示できるテキスト エディタで修正してからコピペするのが安全だと思われる。また、行末に空白が入ったり、最終行の COMMIT 末尾の空白や改行もエラーになるので注意すること。
*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :RH-Firewall-1-INPUT - [0:0] -A INPUT -j RH-Firewall-1-INPUT -A FORWARD -j RH-Firewall-1-INPUT -A RH-Firewall-1-INPUT -i lo -j ACCEPT -A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT -A RH-Firewall-1-INPUT -p 50 -j ACCEPT -A RH-Firewall-1-INPUT -p 51 -j ACCEPT -A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT -A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT -A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # SSH, HTTP, FTP1, FTP2, MySQL -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport XXXXX -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT -A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited COMMIT
19 行目の SSH ポート番号 ( 変更していなければ 22 を設定する ) 以外は、汎用な設定になっていると思う。詳細については、参考資料として挙げたページを参照のこと。ファイルの編集が完了したら Esc キーでコマンドモードに戻り、:wq で保存する。
追記 : 2010/09/18
hatihati さんのコメントによって気付いたのだが、はじめに公開していた設定例ではポート 80 番の指定が抜けていたので追加。20 行目がそれにあたる。今、コピペ元となるサーバー側の設定をみたらきちんと書かれていたので、この記事に貼り付けて体裁を整えているときに消してしまったものと思われる。
再起動と設定の確認
設定ファイルが作成されたので、iptables を再起動する。これは sudo /etc/rc.d/init.d/iptables restart でおこなえる。設定が適切ならば、以下のように出力されるはず。
$ sudo /etc/rc.d/init.d/iptables restart Flushing firewall rules: [ OK ] Setting chains to policy ACCEPT: filter [ OK ] Unloading iptables modules: [ OK ] Applying iptables firewall rules: [ OK ]
最後に、設定がどのように反映されているのかを確認しておく。
$ sudo iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination RH-Firewall-1-INPUT all -- anywhere anywhere Chain FORWARD (policy ACCEPT) target prot opt source destination RH-Firewall-1-INPUT all -- anywhere anywhere Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain RH-Firewall-1-INPUT (2 references) target prot opt source destination ACCEPT all -- anywhere anywhere ACCEPT icmp -- anywhere anywhere icmp any ACCEPT esp -- anywhere anywhere ACCEPT ah -- anywhere anywhere ACCEPT udp -- anywhere 224.0.0.251 udp dpt:mdns ACCEPT udp -- anywhere anywhere udp dpt:ipp ACCEPT tcp -- anywhere anywhere tcp dpt:ipp ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:XXXXX ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:http ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ftp-data ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ftp ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:mysql REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
設定がバッチリ反映されてる。めでたしめでたし。
…今回はここまで。次は Apache や MySQL などのインストールと諸設定をおこなう。
お世話になります。
iptables の19行目と20行目の間には、次の1行が入るのではないでしょうか。これがないと、次回の記事でApacheをインストールしても、何も表示されません。
-A RH-Firewall-1-INPUT -m state –state NEW -m tcp -p tcp –dport 80 -j ACCEPT
ご指摘のとおり、ポート 80 番の指定が抜けていました。
コピペ元のサーバー側の設定には指定されていたので、この記事に載せるときにミスしたようです。
訂正して記事に反映しました。
ありがとうございます。
いつも大変参考にさせていただいています。
iptablesのファイルをそのままコピペで再起動させたのに、このようなエラーメッセが出てきました。
Applying iptables firewall rules: Bad argument ‘COMMIT’
Try ‘iptables-restore -h’ or ‘iptables-restore –help’ for more informaiton
どこの設定を変更すれば、ファイアウォールが正常に作動するか教えていただけますか。
予想なのですが、最終行の COMMIT の後ろに空白または改行文字が入っている可能性が考えられます。他の要因なら、該当する設定に関するエラーが出たと思います。
これが原因であれば、vi で COMMIT の後を何も記述されていない状態にして保存し、その後に iptables を再起動すれば正常動作します。
@Patric
横からで済みません。私もコピペを行ったところ同じエラーが発生しました。
もしかしてこのようなエラーメッセージも出ていませんか？
「Applying iptables firewall rules: iptables-restore v1.3.5: no command specified
Error occurred at line: 6」
どうやらコピペを行うとL6 L17 L24 L26に空白が入ってしまうようです。
これをviで取り除いたところ上手くいきましたよ。
akabekoさん、分かりやすい説明大変助かります。ありがとうございます。私も空白が入りエラーが出ましたが、取り除くとうまくいきました。
iptables の設定は SyntaxHighlighter Evolved という WordPress プラグインで表示しているのですが、空行が「半角スペース + 改行」になってしまうようです。プラグインを通さない、素のテキスト データは空行になっているので気づきませんでした。
これは混乱しそうなので、注釈を加えておきます。Patric さん、anonymousさん、stakamura さん、ご指摘ありがとうございました。
-A RH-Firewall-1-INPUT -m state –state NEW -m tcp -p tcp –dport XXXXX -j ACCEPT
上記箇所の”XXXXX ” を前回変更したIPに書き直していなくてエラーしてしまいました(；´∀｀)