1INPUTチェインのルールを確認します。ルールが全て削除されたことがわかります。入力インタフェースを指定する方法(-i)ipコマンドを使ってインタフェースを確認します。loとeth0の2つのインタフェースが存在することがわかります。ff:ff:ff:ff:ff:ffeth0でICMPパケットを受信したら、ICMPパケットのIPアドレス等の情報をログに出力するルールを作成します。LOG作成したルールを確認します。受信インタフェースにeth0が指定されていることがわかります。出力インタフェースを指定する方法(-o)eth0からICMPパケットを送信したら、ICMPパケットのIPアドレス等の情報をログに出力するルールを作成します。LOG作成したルールを確認します。送信元IPを指定する方法(-s)送信元IPアドレスが192.168.122.15のICMPパケットを受信したら、IPアドレス等の情報をログに出力するルールを作成します。LOG作成したルールを確認します。4テスト用に作成したルールを削除します。送信先IPを指定する方法(-d)送信先IPアドレスが192.168.122.128のICMPパケットを受信したら、IPアドレス等の情報をログに出力するルールを作成します。LOG作成したルールを確認します。送信元ポート番号を指定する方法(--sport)送信元ポート番号が53番のUDPパケットを受信したら、IPアドレス等の情報をログに出力するルールを作成します。LOG作成したルールを確認します。4digコマンドを実行するとDNSパケットがDNSサーバに送信されます。hana_shinのLinux技術ブログを参照してください。queryに対する応答)を1つ受信したことが記録されていることがわかります。作成したルールを削除します。1ルールを確認すると、作成したルールが削除されたことがわかります。送信先ポート番号を指定する方法(--dport)送信先ポート番号が53番のUDPパケットを送信したら、IPアドレス等の情報をログに出力するルールを作成します。LOG作成したルールを確認します。4DNSパケットを送信するため、digコマンドを実行します。query)を1つ送信したことが記録されていることがわかります。作成したルールを削除します。1ルールを確認します。作成したルールが削除されたことがわかります。TCPの制御フラグを指定する方法TCPヘッダにSYN,FIN,ACK等の制御ビットを定義するフィールドがあります。ここでは、特定の制御ビットが1になっているパケットをルールに登録する方法について説明します。SYNパケットをルールに登録する方法TCPコネクション確立時、以下のパケットをやり取りしてTCPコネクションを確立します。ここでは、SYNパケットを受信したら、SYNパケットのIPアドレス等の情報をログに記録するルールを追加してみます。hana_shinのLinux技術ブログを参照してください。★このパケットをiptablesのルールに指定する。|SYNパケットを受信したら、SYNパケットのIPアドレス等の情報をログに記録するルールを追加します。LOG作成したルールを確認します。4サーバでncコマンドを実行します。11111クライアントでncコマンドを実行します。クライアントでncコマンドを実行すると、クライアントからサーバにSYNパケットが送信されます。ここでは説明しませんが、この時の様子はtcpdumpコマンドを使って確認することができます。hana_shinのLinux技術ブログを参照してください。11111ルールを確認すると、FINパケットを1つ受信(左端のpkts)したことがわかります。1ルールを確認します。作成したルールが削除されたことがわかります。FINパケットをルールに登録する方法TCPコネクション終了時、以下のパケットをやり取りしてTCPコネクションを解放します。ここでは、FINパケットを受信したら、FINパケットのIPアドレス等の情報をログに記録するルールを追加してみます。★このパケットをiptablesのルールに指定する。|FINパケットを受信したら、FINパケットのIPアドレス等の情報をログに記録するルールを追加します。LOG作成したルールを確認します。4サーバでncコマンドを実行します。11111クライアントでncコマンドを実行します。クライアントでncコマンドを実行すると、サーバとクライアント間でTCPコネクションを確立します。cを押下して、TCPコネクションを終了します。ncコマンドを終了すると、クライアントからサーバにFINパケットが送信されます。11111^Cルールを確認すると、FINパケットを1つ受信(左端のpkts)したことがわかります。ワイルドカードの使い方(+)複数のインタフェース(eth0,eth1,...)を搭載しているマシンでは、1つづつインタフェースを指定するのは面倒です。"+"を使うと複数インタフェースを以下のように指定することができます。11111作成したルールを確認します。dpt:11111あと始末をします。作成したルールを削除します。1作成したルールが削除されたことがわかります。送信元IPアドレスが192.168.122.153以外のICMPパケットを受信したらログに出力するルールを作成します。LOG作成したルールを確認します。4クライアントでpingコマンドを1回実行します。192.168.122.128ルールを確認すると、ICMPパケットを受信していないことがわかります。他の指定方法IPアドレス以外に、以下のものを否定の対象に指定できます。hana_shinのLinux技術ブログを参照してください。私が業務や記事執筆で参考にした書籍を以下のページに記載します。)はてなブログをはじめよう!hana_shinさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。