【Linux】Linux標準のファイアウォール「iptables」の仕組み

iptablesについて通信を制御しているというのはなんとなくで認識していたんですが、そもそも設定になっているのかなど仕組を知って設定してます？って現場のベテランに言われて頭が白くなったので備忘録程度に残しておきます。

iptablesはLinux標準のファイアウォール

まず、iptablesという物自体についてです。

iptablesはLinuxのkernel2.4以降に標準インストールされている、標準のファイアウォールです。

Linuxにインストールされているiptablesは「パケットフィルタリング型」のファイアウォールになります。

iptablesの設定はどのファイルを修正すれば良い?

iptablesの設定を変更するには「/etc/sysconfig/iptables」を修正します。

このファイルはLinux起動時にiptablesに設定する内容になります。

下記のコマンドを使用して修正することもできます。

iptables [-t テーブル]  コマンド [マッチ]  [ターゲット/ジャンプ]

設定を変更したらiptablesをリロードする

iptablesの設定を変更したら反映するためにiptablesをリロードする必要があります。

下記のコマンドで可能です。

service iptables restart

現在適用されている設定を確認するには下記のコマンドを実行します。

iptables -nL

iptablesはコマンドで修正することもあれば、ファイルを直接編集したりする。

iptablesの構成図

iptablesは下記の図のようにiptables->Tables->Chains->Rulesの構成になっています。

iptablesの4つのテーブル

iptablesは下記の4つのテーブルに分かれていて、制御しています。

filterテーブル

natテーブル

mangleテーブル

rawテーブル

それぞれのテーブルについてざっくり紹介していきます。

filterテーブル

filterテーブルはパケットを通過する、パケットを遮断するなどの設定を記述するセクションです。

通常はほとんどの設定がここのセクションに記述されます。

*filter
....
....
COMMIT

行の初めに*を付けて始まり、最後はCOMMITを指定。

1. 入力に対して受け付ける設定をする場合（ファイル編集）

*filter
:INPUT ACCEPT[0:0]
COMMIT

1. 入力に対して受け付ける設定をする場合（コマンド）

iptables -t filter -p tcp --dport 80 -j ACCEPT

natテーブル

natテーブルはNAT(ネットワーク変換機能)を担います。

送信先/送信元のパケットの中身を書き換えるときに利用します。

各通信をローカルのサーバへ振り分けるルーターとしての使う事も出来ます。

*nat
#natについて記述する
COMMIT

mangleテーブル

パケットのIPヘッダで定義されているType Of Service(TOS)フィールドの値などを書き換えます。

TOSフィールドはパケット処理の優先度付けを行い、通信の品質を制御するQuality of Service(QoS)に利用されます。

*mangle
#mangleの関係について記述する
COMMIT

rawテーブル

RawテーブルはNOTRACKターゲットと組み合わせて、接続のトラッキングから除外した構成をするために使用されます。

*rae
#rawの関係について記述する
COMMIT