普通のハニーポットに戻りたい〜><この広告は、90日以上更新していないブログに表示しています。その他やりたいことわかりづらいタイトルですがやりたいことは以下。8080としますよね?そうすると、外から見えるポートはこんなかんじ。secondsポートスキャナのNmapでスキャンしてみました。80番と8080番が空いています。繋いでみると、どちらも8080番に繋がります。通常の使い方だとこれで良いのですが、ハニーポットなどでroot権限でプログラムを動かすのを避けるためにポートフォワーディングしている場合、80番だけを外に見せていたくなります。ポートスキャンしたときに2つも同じサービスが動いているのは怪しまれる材料になりますからね。いうわけでプログラムを8080番で動かしつつ、80番だけでサービスを動かすiptablesを設定します。conntrackはConntrackマッチオプションを使うために記述します。Conntrackとはiptablesのコネクション追跡機能のことで、パケットのステートをルールに使用できます。--ctorigdstportでポートに基づいたコネクション追跡機能のルールを指定します。このルールだと、80番に接続して8080番にポートフォワードされた場合に接続を許可することになります。機能などの詳細は以下を参照すると良いでしょう。DROPご存知その他の接続は全部破棄するやつです。8080番だけにDROPさせたい場合は以下のようにします。tcp-reset8080への接続を破棄します。--reject-withでREJECT時に相手にメッセージを送信します。tcp-resetは上記--reject-withでRSTパケットを送信します。このルールでは8080版に直接アクセスした場合にRSTパケットを送信し、接続を終了します。DROPでない理由は、DROPを個別に指定するとnmapにfilteredで検知扱いされるためです。上記2つのルールを設定して再度nmapでポートスキャンをかけてみます。seconds80番だけ開いてる!で、接続してみるとしっかり8080番ポートに繋がります。積年の悩みがこれで取れました。参考記事の焼き増しみたいになってしまったけどwTwitterでiptablesの話をしていたら割と時代遅れっぽい。この記事も時代遅れかもしれないので、ufwやfirewalldで同じようなことができたら教えてください。»プロフィールid:junk_cokenハニーポットが好きな芸人です。月別アーカイブ@junk_cokenさんのツイート参加グループプログラミング検索はてなブログをはじめよう!junk_cokenさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。