Iptables - 版の履歴

Kusanaginoturugi: 校正（でき・出来）

2024-07-10T10:57:38Z

校正（でき・出来）

← 古い版		2024年7月10日 (水) 19:57時点における版
29行目:		29行目:
	== 基本概念 ==		== 基本概念 ==

	iptables は IPv4 パケットを検査・変更・転送・リダイレクト・拒否するのに使われます。IPv4 パケットをフィルタリングするコードはカーネルに含まれており、特定の目的ごとに''テーブル''としてまとめられています。テーブルは定義済みの''チェイン''のセットで出来ており、チェインを通過するルールが順番に含まれています。各ルールはマッチと対応するアクション (''ターゲット''と呼ばれます) の条件文からなり、条件が真のときに (つまり条件がマッチしたとき) 実行されます。iptables はそれらのチェインやルールを使うためのユーザーユーティリティです。ほとんどの新規ユーザーは linux の IP ルーティングの複雑性をとても難しく感じますが、一般的なユースケース (NAT や基本的なインターネットファイアウォール) では実はあまり複雑ではありません。		iptables は IPv4 パケットを検査・変更・転送・リダイレクト・拒否するのに使われます。IPv4 パケットをフィルタリングするコードはカーネルに含まれており、特定の目的ごとに''テーブル''としてまとめられています。テーブルは定義済みの''チェイン''のセットでできており、チェインを通過するルールが順番に含まれています。各ルールはマッチと対応するアクション (''ターゲット''と呼ばれます) の条件文からなり、条件が真のときに (つまり条件がマッチしたとき) 実行されます。iptables はそれらのチェインやルールを使うためのユーザーユーティリティです。ほとんどの新規ユーザーは linux の IP ルーティングの複雑性をとても難しく感じますが、一般的なユースケース (NAT や基本的なインターネットファイアウォール) では実はあまり複雑ではありません。

	iptables の動作を理解するための鍵は [http://www.frozentux.net/iptables-tutorial/images/tables_traverse.jpg このチャート] です。上部の小文字の単語がテーブルで下部の大文字の単語がチェインになります。''あらゆるネットワークインターフェース''から来た IP パケットは全てこのフローチャートの上から下まで通過します。よくある勘違いの元は、内部インターフェースからのパケットがインターネットに接するインターフェースからのパケットと違ったふうに処理されることにあります。全てのインターフェースは同じように処理されます。それを別々に扱うようにルールを定義するのはあなた次第です。もちろんローカルプロセスのためのパケットというものが存在し、チャートの一番上から <Local Process> のところで止まり、一方ローカルプロセスによって生成されたパケットは <Local Process> からスタートしてフローチャートを下っていきます。このフローチャートの働きの詳しい説明は [http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#TRAVERSINGOFTABLES こちら] から読めます。		iptables の動作を理解するための鍵は [http://www.frozentux.net/iptables-tutorial/images/tables_traverse.jpg このチャート] です。上部の小文字の単語がテーブルで下部の大文字の単語がチェインになります。''あらゆるネットワークインターフェース''から来た IP パケットは全てこのフローチャートの上から下まで通過します。よくある勘違いの元は、内部インターフェースからのパケットがインターネットに接するインターフェースからのパケットと違ったふうに処理されることにあります。全てのインターフェースは同じように処理されます。それを別々に扱うようにルールを定義するのはあなた次第です。もちろんローカルプロセスのためのパケットというものが存在し、チャートの一番上から <Local Process> のところで止まり、一方ローカルプロセスによって生成されたパケットは <Local Process> からスタートしてフローチャートを下っていきます。このフローチャートの働きの詳しい説明は [http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#TRAVERSINGOFTABLES こちら] から読めます。
201行目:		201行目:

	}}		}}
	{{note\|ここでは {{ic\|DROP}} ではなく {{ic\|REJECT}} を使用していますが、これは [https://tools.ietf.org/html/rfc1122#page-69 RFC 1122 3.3.8] がパケットをドロップする代わりに出来る限り ICMP エラーを返すことをホストに要求しているためです。実際には、サーバーの存在を知るべきホストからのパケットは {{ic\|REJECT}} して、サーバーの存在すら知るべきでない (もしくは何か良からぬことを企んでいる) ホストからのパケットは {{ic\|DROP}} するのがベストです。}}		{{note\|ここでは {{ic\|DROP}} ではなく {{ic\|REJECT}} を使用していますが、これは [https://tools.ietf.org/html/rfc1122#page-69 RFC 1122 3.3.8] がパケットをドロップする代わりにできる限り ICMP エラーを返すことをホストに要求しているためです。実際には、サーバーの存在を知るべきホストからのパケットは {{ic\|REJECT}} して、サーバーの存在すら知るべきでない (もしくは何か良からぬことを企んでいる) ホストからのパケットは {{ic\|DROP}} するのがベストです。}}

	そして今度は、Dropbox に関する考えをあらためてコンピュータに Dropbox をインストールすることを決めたとします。LAN 同期も行いますが、ネットワーク上の特定の一つの IP しか使いません。そこで {{ic\|-R}} を使って古いルールを置き換える必要があります。{{ic\|10.0.0.85}} は別の IP です:		そして今度は、Dropbox に関する考えをあらためてコンピュータに Dropbox をインストールすることを決めたとします。LAN 同期も行いますが、ネットワーク上の特定の一つの IP しか使いません。そこで {{ic\|-R}} を使って古いルールを置き換える必要があります。{{ic\|10.0.0.85}} は別の IP です:

AshMyzk: /* iptables の設定と実行 */ "マルチキャストのトラフィックを許可する" を追加

2023-07-12T09:54:36Z

iptables の設定と実行: "マルチキャストのトラフィックを許可する" を追加

← 古い版		2023年7月12日 (水) 18:54時点における版
295行目:		295行目:

	# iptables-restore < /etc/iptables/iptables.rules		# iptables-restore < /etc/iptables/iptables.rules

			=== マルチキャストのトラフィックを許可する ===

			Protocols that use multicast identification (e.g. [[SANE]] searching for network scanners) will send traffic to the network's broadcast IP and responses will come back from a specific client's IP. Since these IP addresses are different, iptables will not recognize the response as {{ic\|RELATED}} or {{ic\|ESTABLISHED}}, and it will block the response. See [https://serverfault.com/a/911286] for how to accept multicast traffic without creating an overly-permissive firewall.

			First, create an [[ipset]] hash container. The timeout is the window of time to accept client responses.
			# ipset create upnp hash:ip,port timeout 3

			Second, create a rule to add outgoing multicast traffic to the ipset hash.
			# iptables -A OUTPUT -d 239.255.255.250/32 -p udp -m udp -j SET --add-set upnp src,src --exist

			Third, create a rule to allow incoming traffic that matches against the ipset hash.
			# iptables -A INPUT -p udp -m set --match-set upnp dst,dst -j ACCEPT

			Finally, remember to save the new rules (see [[#Configuration and usage]] and [[ipset#Making ipset persistent]]), and ensure {{ic\|iptables.service}} and {{ic\|ipset.service}} are [[enable]]d so the rules load upon system start.

	=== ガイド ===		=== ガイド ===

Kusanaginoturugi: /* インストール */ base メタパッケージに修正

2022-01-06T04:39:34Z

インストール: base メタパッケージに修正

← 古い版		2022年1月6日 (木) 13:39時点における版
25行目:		25行目:
	== インストール ==		== インストール ==

	標準の Arch Linux カーネルは iptables サポートを有効にしてコンパイルされています。必要なのは、[[公式リポジトリ]]の {{Pkg\|iptables}} に入ってるユーザーランドユーティリティを[[インストール]]することだけです ({{Pkg\|base}} グループの {{Pkg\|iproute2}} パッケージが iptables ~~に依存し~~ているため、あなたのシステムにはデフォルトで iptables パッケージがインストールされています)。		標準の Arch Linux カーネルは iptables サポートを有効にしてコンパイルされています。必要なのは、[[公式リポジトリ]]の {{Pkg\|iptables}} に入ってるユーザーランドユーティリティを[[インストール]]することだけです。{{Pkg\|base}} [[メタパッケージ]]の依存関係の {{Pkg\|iproute2}} パッケージに iptables が含まれているため、あなたのシステムにはデフォルトで iptables パッケージがインストールされています。

	== 基本概念 ==		== 基本概念 ==

Kusanaginoturugi: 関連記事を修正

2021-06-21T08:50:08Z

Kusanaginoturugi: 関連記事の表示順の変更

2021-06-21T08:48:59Z

Kusanaginoturugi: 序文の翻訳

2021-06-21T08:47:43Z

序文の翻訳

← 古い版		2021年6月21日 (月) 17:47時点における版
20行目:		20行目:
	{{Related articles end}}		{{Related articles end}}

	Iptables は [[Wikipedia:ja:iptables\|netfilter]] プロジェクトの一つとして Linux カーネルに組み込まれている強力な[[ファイアウォール]]です。直接、または様々な[[ファイアウォール#iptables\|フロントエンド]]や [[ファイアウォール#グラフィカルフロントエンド\|GUI]] を使って設定することができます。[[Wikipedia:ja:IPv4\|IPv4]] では iptables が、[[IPv6]] では ip6tables が使用されます。~~Both~~ ''iptables'' ~~and~~ ''ip6tables'' ~~have the same syntax, but some options are specific to either~~ IPv4 or IPv6.		Iptables は [[Wikipedia:ja:iptables\|netfilter]] プロジェクトの一つとして Linux カーネルに組み込まれている強力な[[ファイアウォール]]です。直接、または様々な[[ファイアウォール#iptables\|フロントエンド]]や [[ファイアウォール#グラフィカルフロントエンド\|GUI]] を使って設定することができます。[[Wikipedia:ja:IPv4\|IPv4]] では iptables が、[[IPv6]] では ip6tables が使用されます。''iptables'' と ''ip6tables'' はどちらも同じ構文ですが、一部のオプションは IPv4 または IPv6 のいずれかに固有です。

			{{Note\|''iptables'' はレガシーフレームワークであり、[[nftables]] は互換レイヤーを含む最新の代替品を提供することを目的としています。}}
	{{Note\|''iptables'' is a legacy framework, [[nftables]] aims to provide a modern replacement including a compatibility layer.}}

	== インストール ==		== インストール ==

Kusanaginoturugi: 序文を英語版にあわせて修正

2021-06-21T08:45:10Z

序文を英語版にあわせて修正

← 古い版		2021年6月21日 (月) 17:45時点における版
20行目:		20行目:
	{{Related articles end}}		{{Related articles end}}

	Iptables は [[Wikipedia:ja:iptables\|netfilter]] プロジェクトの一つとして Linux カーネルに組み込まれている強力な[[ファイアウォール]]です。直接、または様々な[[ファイアウォール#iptables\|フロントエンド]]や [[ファイアウォール#グラフィカルフロントエンド\|GUI]] を使って設定することができます。[[Wikipedia:ja:IPv4\|IPv4]] では iptables が、[[IPv6]] では ip6tables が使用されます。		Iptables は [[Wikipedia:ja:iptables\|netfilter]] プロジェクトの一つとして Linux カーネルに組み込まれている強力な[[ファイアウォール]]です。直接、または様々な[[ファイアウォール#iptables\|フロントエンド]]や [[ファイアウォール#グラフィカルフロントエンド\|GUI]] を使って設定することができます。[[Wikipedia:ja:IPv4\|IPv4]] では iptables が、[[IPv6]] では ip6tables が使用されます。Both ''iptables'' and ''ip6tables'' have the same syntax, but some options are specific to either IPv4 or IPv6.


			{{Note\|''iptables'' is a legacy framework, [[nftables]] aims to provide a modern replacement including a compatibility layer.}}
	いつかメインの Linux ファイアウォールユーティリティとして iptables を置き換えるものとして、[https://www.phoronix.com/scan.php?page=news_item&px=MTQ5MDU Linux カーネル 3.13] で [[nftables]] がリリースされています。

	== インストール ==		== インストール ==

Kusakata.bot2: Pkg/AUR テンプレートの更新

2019-11-21T09:48:59Z

Pkg/AUR テンプレートの更新

← 古い版		2019年11月21日 (木) 18:48時点における版
26行目:		26行目:
	== インストール ==		== インストール ==

	標準の Arch Linux カーネルは iptables サポートを有効にしてコンパイルされています。必要なのは、[[公式リポジトリ]]の {{Pkg\|iptables}} に入ってるユーザーランドユーティリティを[[インストール]]することだけです ({{~~Grp~~\|base}} グループの {{Pkg\|iproute2}} パッケージが iptables に依存しているため、あなたのシステムにはデフォルトで iptables パッケージがインストールされています)。		標準の Arch Linux カーネルは iptables サポートを有効にしてコンパイルされています。必要なのは、[[公式リポジトリ]]の {{Pkg\|iptables}} に入ってるユーザーランドユーティリティを[[インストール]]することだけです ({{Pkg\|base}} グループの {{Pkg\|iproute2}} パッケージが iptables に依存しているため、あなたのシステムにはデフォルトで iptables パッケージがインストールされています)。

	== 基本概念 ==		== 基本概念 ==

Kusakata: Grainrigi (トーク) による編集を Kusakata.bot による直前の版へ差し戻しました

2018-09-25T13:10:19Z

Grainrigi (トーク) による編集を Kusakata.bot による直前の版へ差し戻しました

← 古い版		2018年9月25日 (火) 22:10時点における版
30行目:		30行目:
	== 基本概念 ==		== 基本概念 ==

	iptables は IPv4 パケットを検査・変更・転送・リダイレクト・拒否するのに使われます。IPv4 パケットをフィルタリングするコードはカーネルに含まれており、特定の目的ごとに''テーブル~~(tables)~~''としてまとめられています。テーブルは定義済みの''チェイン~~(chains)~~''のセットで出来ており、チェインを通過するルールが順番に含まれています。各ルールはマッチと対応するアクション (''ターゲット~~(targets)~~''と呼ばれます) の条件文からなり、条件が真のときに (つまり条件がマッチしたとき) 実行されます。iptables はそれらのチェインやルールを使うためのユーザーユーティリティです。ほとんどの新規ユーザーは linux の IP ルーティングの複雑性をとても難しく感じますが、一般的なユースケース (NAT や基本的なインターネットファイアウォール) では実はあまり複雑ではありません。		iptables は IPv4 パケットを検査・変更・転送・リダイレクト・拒否するのに使われます。IPv4 パケットをフィルタリングするコードはカーネルに含まれており、特定の目的ごとに''テーブル''としてまとめられています。テーブルは定義済みの''チェイン''のセットで出来ており、チェインを通過するルールが順番に含まれています。各ルールはマッチと対応するアクション (''ターゲット''と呼ばれます) の条件文からなり、条件が真のときに (つまり条件がマッチしたとき) 実行されます。iptables はそれらのチェインやルールを使うためのユーザーユーティリティです。ほとんどの新規ユーザーは linux の IP ルーティングの複雑性をとても難しく感じますが、一般的なユースケース (NAT や基本的なインターネットファイアウォール) では実はあまり複雑ではありません。

	iptables の動作を理解するための鍵は [http://www.frozentux.net/iptables-tutorial/images/tables_traverse.jpg このチャート] です。上部の小文字の単語がテーブルで下部の大文字の単語がチェインになります。''あらゆるネットワークインターフェース''から来た IP パケットは全てこのフローチャートの上から下まで通過します。よくある勘違いの元は、内部インターフェースからのパケットがインターネットに接するインターフェースからのパケットと違ったふうに処理されることにあります。全てのインターフェースは同じように処理されます。それを別々に扱うようにルールを定義するのはあなた次第です。もちろんローカルプロセスのためのパケットというものが存在し、チャートの一番上から <Local Process> のところで止まり、一方ローカルプロセスによって生成されたパケットは <Local Process> からスタートしてフローチャートを下っていきます。このフローチャートの働きの詳しい説明は [http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#TRAVERSINGOFTABLES こちら] から読めます。		iptables の動作を理解するための鍵は [http://www.frozentux.net/iptables-tutorial/images/tables_traverse.jpg このチャート] です。上部の小文字の単語がテーブルで下部の大文字の単語がチェインになります。''あらゆるネットワークインターフェース''から来た IP パケットは全てこのフローチャートの上から下まで通過します。よくある勘違いの元は、内部インターフェースからのパケットがインターネットに接するインターフェースからのパケットと違ったふうに処理されることにあります。全てのインターフェースは同じように処理されます。それを別々に扱うようにルールを定義するのはあなた次第です。もちろんローカルプロセスのためのパケットというものが存在し、チャートの一番上から <Local Process> のところで止まり、一方ローカルプロセスによって生成されたパケットは <Local Process> からスタートしてフローチャートを下っていきます。このフローチャートの働きの詳しい説明は [http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#TRAVERSINGOFTABLES こちら] から読めます。

Grainrigi: 「基本概念」においてイタリック体が片仮名に適用されなかったので英単語を追加した

2018-09-19T13:07:59Z

「基本概念」においてイタリック体が片仮名に適用されなかったので英単語を追加した

← 古い版		2018年9月19日 (水) 22:07時点における版
30行目:		30行目:
	== 基本概念 ==		== 基本概念 ==

	iptables は IPv4 パケットを検査・変更・転送・リダイレクト・拒否するのに使われます。IPv4 パケットをフィルタリングするコードはカーネルに含まれており、特定の目的ごとに''テーブル''としてまとめられています。テーブルは定義済みの''チェイン''のセットで出来ており、チェインを通過するルールが順番に含まれています。各ルールはマッチと対応するアクション (''ターゲット''と呼ばれます) の条件文からなり、条件が真のときに (つまり条件がマッチしたとき) 実行されます。iptables はそれらのチェインやルールを使うためのユーザーユーティリティです。ほとんどの新規ユーザーは linux の IP ルーティングの複雑性をとても難しく感じますが、一般的なユースケース (NAT や基本的なインターネットファイアウォール) では実はあまり複雑ではありません。		iptables は IPv4 パケットを検査・変更・転送・リダイレクト・拒否するのに使われます。IPv4 パケットをフィルタリングするコードはカーネルに含まれており、特定の目的ごとに''テーブル(tables)''としてまとめられています。テーブルは定義済みの''チェイン(chains)''のセットで出来ており、チェインを通過するルールが順番に含まれています。各ルールはマッチと対応するアクション (''ターゲット(targets)''と呼ばれます) の条件文からなり、条件が真のときに (つまり条件がマッチしたとき) 実行されます。iptables はそれらのチェインやルールを使うためのユーザーユーティリティです。ほとんどの新規ユーザーは linux の IP ルーティングの複雑性をとても難しく感じますが、一般的なユースケース (NAT や基本的なインターネットファイアウォール) では実はあまり複雑ではありません。

	iptables の動作を理解するための鍵は [http://www.frozentux.net/iptables-tutorial/images/tables_traverse.jpg このチャート] です。上部の小文字の単語がテーブルで下部の大文字の単語がチェインになります。''あらゆるネットワークインターフェース''から来た IP パケットは全てこのフローチャートの上から下まで通過します。よくある勘違いの元は、内部インターフェースからのパケットがインターネットに接するインターフェースからのパケットと違ったふうに処理されることにあります。全てのインターフェースは同じように処理されます。それを別々に扱うようにルールを定義するのはあなた次第です。もちろんローカルプロセスのためのパケットというものが存在し、チャートの一番上から <Local Process> のところで止まり、一方ローカルプロセスによって生成されたパケットは <Local Process> からスタートしてフローチャートを下っていきます。このフローチャートの働きの詳しい説明は [http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#TRAVERSINGOFTABLES こちら] から読めます。		iptables の動作を理解するための鍵は [http://www.frozentux.net/iptables-tutorial/images/tables_traverse.jpg このチャート] です。上部の小文字の単語がテーブルで下部の大文字の単語がチェインになります。''あらゆるネットワークインターフェース''から来た IP パケットは全てこのフローチャートの上から下まで通過します。よくある勘違いの元は、内部インターフェースからのパケットがインターネットに接するインターフェースからのパケットと違ったふうに処理されることにあります。全てのインターフェースは同じように処理されます。それを別々に扱うようにルールを定義するのはあなた次第です。もちろんローカルプロセスのためのパケットというものが存在し、チャートの一番上から <Local Process> のところで止まり、一方ローカルプロセスによって生成されたパケットは <Local Process> からスタートしてフローチャートを下っていきます。このフローチャートの働きの詳しい説明は [http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#TRAVERSINGOFTABLES こちら] から読めます。

← 古い版		2021年6月21日 (月) 17:50時点における版
16行目:		16行目:
	{{Related\|シンプルなステートフルファイアウォール}}		{{Related\|シンプルなステートフルファイアウォール}}
	{{Related\|Sysctl#TCP/IP スタックの防御}}		{{Related\|Sysctl#TCP/IP スタックの防御}}
	{{Related\|~~ファイアウォール~~}}		{{Related\|Uncomplicated Firewall}}
	{{Related\|ポートノッキング}}
	{{Related articles end}}		{{Related articles end}}

← 古い版		2021年6月21日 (月) 17:48時点における版
11行目:		11行目:
	[[zh-hans:Iptables]]		[[zh-hans:Iptables]]
	{{Related articles start}}		{{Related articles start}}
	{{Related\|~~ファイアウォール~~}}		{{Related\|Nftables}}
		⚫	{{Related\|Fail2ban}}
		⚫	{{Related\|Sshguard}}
	{{Related\|シンプルなステートフルファイアウォール}}		{{Related\|シンプルなステートフルファイアウォール}}
	{{Related\|Sysctl#TCP/IP スタックの防御}}		{{Related\|Sysctl#TCP/IP スタックの防御}}
	{{Related\|~~Sshguard~~}}		{{Related\|ファイアウォール}}
⚫	{{Related\|Fail2ban}}
⚫	{{Related\|~~Nftables~~}}
	{{Related\|ポートノッキング}}		{{Related\|ポートノッキング}}
	{{Related articles end}}		{{Related articles end}}