中〜大規模サーバーを運用するときの勘所 – iptablesとip_conntrack – cyano
前回まではmod_proxy_balancerで中〜大規模サーバーを運用するときの勘所をお話ししてきました。 これ以外にもmod_proxy_balancerな中〜大規模サーバーで気をつけるべき点はあります。それがiptablesとip_conntrack。 外部に直接晒されているサーバーはセキュリティーを確保するためにiptablesなどのファイヤウォールを導入しているかと思います。アクセス数がある程度以上になってくると、そのファイヤウォールが思わぬ足かせになってしまうと言うお話です。 iptablesはパケットフィルタリングを行うソフトウェアです。PCに入ってきたり、逆にPCから出て行くパケットを監視し、ルールに従い適宜フィルタリングを行います。 さて、iptablesでは、関連したパケットを追跡するために/proc/net/ip_conntrackというファイルを作り、パケットの情報
「ニフティrクラウドユーザーブログ」は、移転しました。
「ニフティクラウドユーザーブログ」は、移転しました。 自動でページを移動しない場合は、下記のリンクをクリックし、 新しい「ニフティクラウドユーザーブログ」をご覧ください。 今後とも「ニフティクラウドユーザーブログ」をよろしくお願いいたします。 ＞ ニフティクラウドユーザーブログ
TCPコネクション
7.4. TCPコネクションここからのセクションでは、基本的プロトコルである TCP, UDP, ICMP それぞれについて、ステートと、それがどのように処理されるかをつぶさに見ていくことにする。さらに、デフォルト つまり、これら 3 つのプロトコルに類別されない場合どうなるのかについても掘り下げる。まずは TCP プロトコルから始めることにした。というのも、 TCP はそれ自体ステートフルなプロトコルであるし、 iptables のステート機構に関わる興味深い特性がたくさんあるからだ。 TCP コネクションは常に 3 ウェイハンドシェークによって開始される。このハンドシェークによって、その先実際のデータを乗せることになるコネクションを確立およびネゴシエート (交渉) する。セッションは、まず SYN パケット、次に SYN/ACK パケットが続き、最後に、セッション確立を承認する ACK
世界の国別 IPv4 アドレス割り当てリスト
ところがこのリスト、RIR statistics exchange format にも書いてあるように、「開始 IP アドレスから何個」という表現になっているので、そのままではサブネット マスクや CIDR の表現としては使えないレコードがあります。例えば、 192.168.0.0 から 768 個 768 個を表すサブネット マスクはない。 したがって、192.168.0.0/255.255.254.0 と 192.168.2.0/255.255.255.0 の二つに分けなければならない。 192.168.3.0 から 512 個 512 個なのでサブネット マスクは 255.255.254.0 だが、ホスト アドレス部が 0 になっていないため、単純に 192.168.3.0/255.255.254.0 とすることができない。 したがって、192.168.3.0/255.255.255
REJECTターゲット
このオプションは REJECT ターゲットに対して、こちらが拒絶 (reject) するパケットの送り主ホストにどのような返答を送るかを指示する。このターゲットを指定しているルールにパケットがマッチすると、こちらのホストはまず設定された返答を送り、それから、 DROP ターゲットが破棄するのとまったく同様にパケットを黙殺する。利用可能な拒否のタイプには、現在のところ以下のものがある: icmp-net-unreachable, icmp-host-unreachable, icmp-port-unreachable, icmp-proto-unreachable, icmp-net-prohibited, icmp-host-prohibited。ホストに送られるメッセージのデフォルトは port-unreachable だ。上記はすべて ICMP エラーメッセージであり、お好み次第で指定
Stray Penguin - Linux Memo (Iptables tutorial)
このサイトは、もともと作者の自分用メモとして書き始めたものです。書いてあることが全て正しいとは限りません。他の文献、オフィシャルなサイトも確認して、自己責任にて利用してください。
Stray Penguin - Linux Memo (iptables)
非常に役に立つ HOWTO に、 Oskar Andreasson の Iptables tutorial がある。日本語訳が存在しなかったので翻訳した (2006/01 本家にも掲載されました - Thank you, Oskar !)。 iptables は、カーネルが利用するIPパケットフィルタのルールを、操作するためのユーティリティ。カーネルそのものと密接に関係しており、kernel-2.2 では ipchains が使われていた。kernel-2.4 以降、 iptables が標準となる。ipchains とは比べものにならないほど、膨大な種類の操作オプションが用意されている。ipchains との最も大きな違いは、パケットを既存のコネクションとの関係性によって識別できる「コネクショントラッキング (接続追跡)」 というメカニズムを実装していること。この conntrack 機
iptablesでできるDoS／DDoS対策
サーバとして ・受信パケットは破棄。ただしステートフル性を確認しサーバから送信されたパケットに関連するものは許可 ・送信パケットは基本的にすべて許可 ・ループバックアドレスに関してはすべて許可 ・サーバからのDNS問い合わせ（UDP 53）を許可 ・pingリクエストを許可 ・ssh接続を許可 DoS／DDoS対策のため ・同一ホストからのpingリクエストに対し、1分間に10回までしか応答しない ・同一ホストからのssh接続リクエストに対し、1分間に1接続に限定 テンプレート13の表示（別ウィンドウで開く） テンプレート13の解説 limitモジュールを使った制限では、正常なリクエストも不正アクセスに紛れてしまいます。ブルートフォース攻撃を受けている間は、管理者でさえもSSHログインできません。 そこでhashlimitモジュールを使用します。hashlimitモジュールならクライアント
これぐらいやっとけ 〜Linuxサーバのセキュリティ設定〜 - nabeの雑記帳
管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ はてブさんは #の切り分けやめてくれないかな……。 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinS
韓国 IP アドレスからのパケットを遮断する
韓国（.kr）・中国（.cn）・台湾（.tw）・香港（.hk）等，アジア地域からのアクセスを フィルタリングするための iptables を用いたシェルスクリプトです。もちろん Linux 専用です。 APNIC の IP アドレス割り当てリスト に掲載されている上記の国と地域のネットワークからの TCP 接続を遮断します。 ただし，自分から上記の国と地域のネットワークへ接続することはできます。 FreeBSD をお使いでしたら，水無川研究所さんの ipfwとBINDによるNaverRobot対策フィルタ が参考になると思います（というか知ってる人ですが……）。 日本の IP 領域にアクセスしてくるワームは，おおかた上記の国と地域からのものです。特に韓国からがひどいといえます。 また，韓国には，悪名高い NaverRobot ように DoS まがいのアクセスを仕掛けてくる自称サ
中国と韓国のパケットを完全シャットアウトする方法 for linux - clayfishの日記
サーバの ssh と ftp のポートを開放していると中国と韓国からの訪問者が多くて困ります。 最初は地道にログを見て一人ずつIPアドレスでブロックしていたのですが、さすがに多すぎてお手上げ状態になってきたので色々調べてみました。 ようは中国と韓国の人々が使う可能性があるすべてのIPアドレスがわかればよいので、APNICを参照すればわかるかなーとか調べていたところ同じ事を考えている人がやっぱりいました。一番よさそうだったのがSPAM（スパム）の温床、中国・韓国からのアクセスを遮断。 以下は、SPAM（スパム）の温床、中国・韓国からのアクセスを遮断の手順をrubyスクリプトにしたものです。手作業はいやですから。 #!/usr/bin/env ruby require "open-uri" IPTABLES="/sbin/iptables" APNIC_URI_ALLOCATED_LISTS=
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
連載記事 「習うより慣れろ！ iptablesテンプレート集」