howtoを翻訳し、執筆時点でのnftablesの情報を追加したものです。基本的なルールの扱いIPv6コネクションのトラッキングインターフェースでのフィルタロギング単一のチェインを使うセットマッピングNAT基本のルールセットを作り上げる関連はじめにこのドキュメントはダーティなハウツーとチートシートの中間に位置するものです。nftables(和訳)で読むことが出来ます。nftablesを読んでください。Nftablesを見ることも出来ます。rawhideにはnftablesを含め、nftablesに必要とされるRPMパッケージが用意されています。最新版を試すのでなければ、このセクションは読み飛ばして構いません。以下の手順でrawhideレポジトリを有効化し、yumコマンドでnftablesパッケージをインストールすればnftablesを使えます。nftablesライブラリ以下のライブラリが必要です。mさて、いつものコマンドでカーネルがビルドできます。kernel_headersDebianユーザはgitソースからカーネルをビルドすることも可能:linux-image-3.13.0-rc2nftables+_0.1_amd64.deblinux-headers-3.13.0-rc2nftables+_0.1_amd64.deb他の関連するパッケージはこのディレクトリから利用できます。実行する初期設定iptablesのようなチェインの設定にするには、ソースで提供されているipv4-filterファイルを使います。rawhideでインストールした場合、/etc/nftables/ipv4-filter。実行権限とSELinuxのラベルが設定されているので、パスを指定して実行することが可能です。後述するIPv6のフィルタも同様。filterフィルターはoutputやinputがチェインやテーブルの名前として使われている点に注意。他のどんな文字列でも使えます。acceptルールを特定の位置に挿入するあるいは追加することが可能です。そのためには、新しいルールを挿入あるいは追加したいルールのハンドル知る必要があります。}}確かに、ハンドル8番のルールの後にルールが追加されました。counterIPv6IPv4同様、チェインを作成する必要があります。acceptoifは実際のところ、カーネル内部のインターフェースのインデックスである整数でマッチすることに注意してください。ユーザスペースはnftのルールが評価され(カーネルに送られる前に)指定された名前をインターフェースのインデックスに変換します。結果として、もしインターフェースが存在しない場合にはルールを追加することは出来ません。インターフェースが削除されたり再作成された場合も同様で、カーネル内部に追加されたインターフェースのインデックスは単調に増加するので、やはりマッチしません。従って、oifは高速なフィルタですが、動的なインターフェースを使う時には問題を引き起こす可能性があります。インターフェースの名前でフィルタすることは可能ですが、整数でのマッチの代わりに文字列でのマッチを行うため、パフォーマンスコストとなります。acceptロギングログをとるにはlogキーワードを使います。acceptnftablesでは、iptablesだと2つになるような(NFLOGとACCEPT)ルールを1つのルールで書けます。prefixが単なる標準的な前置きのオプションであれば、groupオプションはnfnetlink_logグループを含み、このモードはロギングのフレームワークとして用いられます。事実として、nftablesでのログはNetfilterのロギングのフレームワークを利用しています。ロギングはロードされたカーネルモジュールに依存するということです。利用可能なカーネルモジュールは:xt_LOG:printkベースのログで、全てをsyslogに出力する(iptablesのLOGターゲットで用いられるものと同じモジュール)nfnetlink_log:netlinkベースのログで、イベント取得のためにulogd2を設定する必要がある(iptablesのNFLOGターゲットで用いられるものと同じモジュール)2つのモジュールのどちらかを使うには、modprobeでロードします。各プロトコルを基準にログの設定が出来ます。(nfnetlink_log)これでnfnetlink_logが最初にロードされulogdが起動します。(nfnetlink_log)もしちょっとしたテストのために使いたいだけなら、nfnetlink_logの前にxt_LOGを単にロードすれば、IPv4とIPv6プロトコルに対してロギングが可能になります。単一のチェインを使うチェインはユーザが定義し、色々な方法でアレンジできます。1台の箱なら、入力用に単一のチェインを使うこともあり得ます。}}それから実行します。192.168.0.0/24この設定の良いところは箱にパケットが届いた時にだけNetfilterのフィルタリングが有効になることです。drop名前付きセットはファイルに記述出来ます。counterそれから実行します。simple名前付きセットを使うことも出来ます。ipv4_adマッピングマッピングは辞書のように振る舞う特定のタイプのセットです。8.8.8.8:531つ目は192.168.56.0/24からのwlan0インターフェースへの外向きトラフィックを全てIPアドレス192.168.1.137にNATします。2つ目は192.168.56.0/24からの全てのDNSトラフィックを8.8.8.8サーバにリダイレクトします。192.168.1.137-192.168.1.140IPv6のNATも可能です。仕事上の必要性もあって、うちのメールサーバにSpamAssassinを入れてみた。数通テストしてみた限りでは良い感じに振り分けてくれるので、そのうちphpでちょいちょいと書いて、「今日のスパム」ページでも作るかぁ?(笑)。7.4がリリースされてます。HatIBM、オラクル、コムウェアLinux大手レッドハット日本法人の社長に藤田裕治氏が就任で経歴を見ると、レッドハットの社長としては願ったり叶ったりの感じ。HatSELinuxのポリシーって大変なのよNTTデータがセキュリティ強化Linux,ポリシー定義を半自動で生成可能してくれるととても助かるよー。これ公開して欲しいなぁ。12がリリースされましたね。使ってみて何が良いって、drpm。タイトルとURLをコピーしました。