IPFilter関連スレッド vol1

[1 1 NG NG]

IPFilterと、PFやIPNAT関連のスレッドです。

関連URLは>>2あたりにあるかもよん

[2 1 NG NG]

○公式
ttp://coombs.anu.edu.au/~avalon/ipfil.html
○HowTo、リンクなど
http://www.obfuscation.org/ipf/

[3 名無しさん＠お腹いっぱい。 NG NG]

何だよ「かもよん」って

[4 名無しさん＠お腹いっぱい。 NG NG]

無意味な巨大AAよりかはいくらかマシか…

[5 NG NG]

SunScreenの話もここでよいのかい？

[6 名無しさん＠お腹いっぱい。 NG NG]

まぁ Windows specified な話しか無い セキュリティ板 にこんなスレ立てても無駄だよねぇ

[7 名無しさん＠お腹いっぱい。 NG NG]

しかし、立てた当初くらいはネタ振って盛り上げたらどうだ。>>1

[8 名無しさん＠お腹いっぱい。 NG NG]

specific?

[9 NG NG]

ウインドウサイズに限定した話ってなんだ？
オーバーフローさせてなんかウマイことやんの？

[10 名無しさん＠お腹いっぱい。 NG NG]

ちょっと貼っとくか。
http://www.wakhok.ac.jp/~kanayama/summer/02/site/node110.html

[11 名無しさん＠お腹いっぱい。 NG NG]

有名?
ttp://www.tac.tsukuba.ac.jp/~hiromi/ipf4.html

[12 keep flags NG NG]

エラーの発生原因がわからず一日中ルールの書換えとテストを繰り返していた事がありました。

[13 名無しさん＠お腹いっぱい。 NG NG]

FreeBSDのipfwと比べるとどっちが通ですか?

[14 名無しさん＠お腹いっぱい。 NG NG]

natやるならipfilterの方が性能良い。
但し、俺んちではipfilterはストリーミング切れる。

[15 名無しさん＠お腹いっぱい。 NG NG]

やっぱ、Linuxのnetfilterの方が良いよね。

でもFreeBSDでipfilterだと、Ｃから直接叩けるのは魅力だよね。

[16 名無しさん＠お腹いっぱい。 NG NG]

>>15
どこがどう良いとか解説してくれないか?

[17 名無しさん＠お腹いっぱい。 NG NG]

keep frags

[18 名無しさん＠お腹いっぱい。 NG NG]

>>13
ＩＰＦＷより細かく制御できる
と>>11に書いてあった。

[19 名無しさん＠お腹いっぱい。 NG NG]

>>14
pppoe(フレッツ)に繋ぐNATBoxにIPF+IPNAT(NetBSD1.6)を使っているんだけれど、うちもストリーミングが切れる時がある。
でもYBBだった時はこういう事は起こらなかったしIPNATでmmsclampを書いても駄目だったので、別に原因があるのかも???

[20 これなかなかいいっすね NG NG]

return-icmp-as-dest(port-unr)

[21 名無しさん＠お腹いっぱい。 NG NG]

>>20
これってHost Unreachableを帰すって事?

[22 名無しさん＠お腹いっぱい。 NG NG]

>>13
通はアンナンバードだからnat不要、そして帯域制限しるからipfw。

[23 名無しさん＠お腹いっぱい。 NG NG]

>>16

Linux/Netfilterだと簡単に出来ることの例

(1)月曜から金曜の８時から１８時に到着したパケットだけを許可
# iptables -A INPUT -m time --timestart 8:00 \
--timestop 18:00 \
--days Mon,Tue,Wed,Thu,Fri -j ACCEPT

(2)あるIPアドレスからの同時並行で確立するHTTPコネクション数を
４つに限定
# iptables -A INPUT -p tcp --syn --dport http \
-m iplimit --iplimit-above 4 -j REJECT

(3)様々な条件(ほんの少しの例)
--uid-owner userid
パケットを生成したプロセスの実行ユーザ id (数値)にマッチ
--uid-owner groupid
パケットを生成したプロセスの実行グループ id (数値) にマッチ
--pid-owner processid
パケットを生成したプロセスのプロセス id にマッチ
--sid-owner sessionid
パケットを生成したプロセスのセッショングループにマッチ
--limit n
単位時間あたりに許される平均マッチ回数の最大値を指定。

--limit-burst n
limit が作動し始める手前の最大バースト値(許容できる突発
的な増大係数で、平均レートの倍数)を指定

[24 名無しさん＠お腹いっぱい。 NG NG]

>>23

それくらい、BSDユーザはアプリで組むものさ。

[25 名無しさん＠お腹いっぱい。 NG NG]

>>24
> それくらい、BSDユーザはアプリで組むものさ。

必 死 だ な

[26 名無しさん＠Ｅｍａｃｓ NG NG]

>>24
1 は cron でやったほうがいいと思うけど，その他はちょっと難しげ．

netnice ではやれそうな気がする．使ったことないけれど．
http://www.asahikawa.wide.ad.jp/netnice/

[27 名無しさん＠カラアゲうまうま NG NG]

uid/gidによる制御はipfwでもできる。ipfilterはできなかったと思うけど。

[28 名無しさん＠お腹いっぱい。 NG NG]

PPPoEでNATにしてる人たちはMMSブラックホール問題はどう対処しているの？
やっぱり全マシンのMTU調整？

[29 名無しさん＠お腹いっぱい。 NG NG]

pfで十分

[30 名無しさん＠お腹いっぱい。 NG NG]

>>28
ipnat.confにmmsclampを書く。それでも完璧じゃないけど…
最後の手段で経路上にあるルータの管理者にRFC2923読んで下さい。
とか言ってルータのicmpの設定を変えてもらうしか方法はないんじゃないかと…

[31 30 NG NG]

まちがいますた
mmsclamp > mssclamp

[32 名無しさん＠お腹いっぱい。 NG NG]

ipfstat -t もえ

[33 名無しさん＠お腹いっぱい。 NG NG]

>>23
サンクス
1)はできないな。
2)は実際にやったこと無いけど、ipfw2で出来る気がする。

[34 3-5分おき NG NG]

>>21
それは
block return-icmp-as-dest(host-unr)
だなや

[35 3-5分おき NG NG]

blockは余計だったなや