IPFilter関連スレッド vol1

1 · NG

IPFilterと、PFやIPNAT関連のスレッドです。

関連URLは>>2あたりにあるかもよん

1 · NG

○公式
ttp://coombs.anu.edu.au/~avalon/ipfil.html
○HowTo、リンクなど
http://www.obfuscation.org/ipf/

**名無しさん＠お腹いっぱい。** · NG

何だよ「かもよん」って

**名無しさん＠お腹いっぱい。** · NG

無意味な巨大AAよりかはいくらかマシか…

NG

SunScreenの話もここでよいのかい？

**名無しさん＠お腹いっぱい。** · NG

まぁ Windows specified な話しか無いセキュリティ板にこんなスレ立てても無駄だよねぇ

**名無しさん＠お腹いっぱい。** · NG

しかし、立てた当初くらいはネタ振って盛り上げたらどうだ。>>1

**名無しさん＠お腹いっぱい。** · NG

specific?

NG

ウインドウサイズに限定した話ってなんだ？
オーバーフローさせてなんかウマイことやんの？

**名無しさん＠お腹いっぱい。** · NG

ちょっと貼っとくか。
http://www.wakhok.ac.jp/~kanayama/summer/02/site/node110.html

**名無しさん＠お腹いっぱい。** · NG

有名?
ttp://www.tac.tsukuba.ac.jp/~hiromi/ipf4.html

**keep flags** · NG

エラーの発生原因がわからず一日中ルールの書換えとテストを繰り返していた事がありました。

**名無しさん＠お腹いっぱい。** · NG

FreeBSDのipfwと比べるとどっちが通ですか?

**名無しさん＠お腹いっぱい。** · NG

natやるならipfilterの方が性能良い。
但し、俺んちではipfilterはストリーミング切れる。

**名無しさん＠お腹いっぱい。** · NG

やっぱ、Linuxのnetfilterの方が良いよね。

でもFreeBSDでipfilterだと、Ｃから直接叩けるのは魅力だよね。

**名無しさん＠お腹いっぱい。** · NG

>>15
どこがどう良いとか解説してくれないか?

**名無しさん＠お腹いっぱい。** · NG

keep frags

**名無しさん＠お腹いっぱい。** · NG

>>13
ＩＰＦＷより細かく制御できる
と>>11に書いてあった。

**名無しさん＠お腹いっぱい。** · NG

>>14
pppoe(フレッツ)に繋ぐNATBoxにIPF+IPNAT(NetBSD1.6)を使っているんだけれど、うちもストリーミングが切れる時がある。
でもYBBだった時はこういう事は起こらなかったしIPNATでmmsclampを書いても駄目だったので、別に原因があるのかも???

**これなかなかいいっすね** · NG

return-icmp-as-dest(port-unr)

**名無しさん＠お腹いっぱい。** · NG

>>20
これってHost Unreachableを帰すって事?

**名無しさん＠お腹いっぱい。** · NG

>>13
通はアンナンバードだからnat不要、そして帯域制限しるからipfw。

**名無しさん＠お腹いっぱい。** · NG

>>16

Linux/Netfilterだと簡単に出来ることの例

(1)月曜から金曜の８時から１８時に到着したパケットだけを許可
# iptables -A INPUT -m time --timestart 8:00 \
--timestop 18:00 \
--days Mon,Tue,Wed,Thu,Fri -j ACCEPT

(2)あるIPアドレスからの同時並行で確立するHTTPコネクション数を
４つに限定
# iptables -A INPUT -p tcp --syn --dport http \
-m iplimit --iplimit-above 4 -j REJECT

(3)様々な条件(ほんの少しの例)
--uid-owner userid
パケットを生成したプロセスの実行ユーザ id (数値)にマッチ
--uid-owner groupid
パケットを生成したプロセスの実行グループ id (数値) にマッチ
--pid-owner processid
パケットを生成したプロセスのプロセス id にマッチ
--sid-owner sessionid
パケットを生成したプロセスのセッショングループにマッチ
--limit n
単位時間あたりに許される平均マッチ回数の最大値を指定。

--limit-burst n
limit が作動し始める手前の最大バースト値(許容できる突発
的な増大係数で、平均レートの倍数)を指定

**名無しさん＠お腹いっぱい。** · NG

>>23

それくらい、BSDユーザはアプリで組むものさ。

**名無しさん＠お腹いっぱい。** · NG

>>24
> それくらい、BSDユーザはアプリで組むものさ。

必死だな

**名無しさん＠Ｅｍａｃｓ** · NG

>>24
1 は cron でやったほうがいいと思うけど，その他はちょっと難しげ．

netnice ではやれそうな気がする．使ったことないけれど．
http://www.asahikawa.wide.ad.jp/netnice/

**名無しさん＠カラアゲうまうま** · NG

uid/gidによる制御はipfwでもできる。ipfilterはできなかったと思うけど。

**名無しさん＠お腹いっぱい。** · NG

PPPoEでNATにしてる人たちはMMSブラックホール問題はどう対処しているの？
やっぱり全マシンのMTU調整？

**名無しさん＠お腹いっぱい。** · NG

pfで十分

**名無しさん＠お腹いっぱい。** · NG

>>28
ipnat.confにmmsclampを書く。それでも完璧じゃないけど…
最後の手段で経路上にあるルータの管理者にRFC2923読んで下さい。
とか言ってルータのicmpの設定を変えてもらうしか方法はないんじゃないかと…

30 · NG

まちがいますた
mmsclamp > mssclamp

**名無しさん＠お腹いっぱい。** · NG

ipfstat -t もえ

**名無しさん＠お腹いっぱい。** · NG

>>23
サンクス
1)はできないな。
2)は実際にやったこと無いけど、ipfw2で出来る気がする。

**3-5分おき** · NG

>>21
それは
block return-icmp-as-dest(host-unr)
だなや

**3-5分おき** · NG

blockは余計だったなや

**名無しさん＠お腹いっぱい。** · NG

Ｃから直接叩こうと思っています。

FreeBSD 4.7-RELEASEにて、「man 4 ipf」をすると、
#include <netinet/ip_compat.h>
#include <netinet/ip_fil.h>
などと出て来るのに、これらヘッダファイルがシステム
に入っていません。

別途インストールの必要ありだと思うのですが、
どのパッケージになるのでしょう。

**名無しさん＠お腹いっぱい。** · NG

>>36
標準で入ってなきゃマズいって…

cvsupで4.7-RELEASE-p3に上げてmake installworldするよろし

**名無しさん＠お腹いっぱい。** · NG

>>37

早速のアドバイスありがとうございます。
IPfilter取って来て、パスを無理矢理通したのですが、
何か違うと思い投稿したところでした。
cvsupってはじめてやります。楽しみ～。

**名無しさん＠お腹いっぱい。** · NG

>>23(1)って、カーネル内で曜日を計算してやってるの？それはやりすぎな気がするよ。(2), (3) はおもろいね。でも ipfilter って ifdef 多すぎていじる気になれない :-(

**名無しさん＠お腹いっぱい。** · NG

昼からずっとcvsupつながらないのですが、
私のマシンがNATの裏にあるのがいけない??
cvsup2 でも同じでした。

Connecting to cvsup4.jp.freebsd.org
Connected to cvsup4.jp.freebsd.org
Server software version: SNAP_16_1f
Negotiating file attribute support
Exchanging collection information
Establishing passive-mode data connection
Cannot connect to data port: Connection refused
Will retry at 18:16:05

**名無しさん＠お腹いっぱい。** · NG

>>39

Linux/Netfilterには、パケット内のデータマッチ
なんてものもあります。でもIDSの代わりには使えません。
パケット毎にチェックするから、フラグメントして
たらすり抜けちゃう。

好き勝手に開発するのがLinuxのスタイルだから、
何でも出て来ちゃうんだけどね。

**名無しさん＠お腹いっぱい。** · NG

NAT ２段かましてるけど、ついさっき、cvsup2 で更新できたよん。
port 5999 (だっけ？)は空いてる？

**名無しさん＠お腹いっぱい。** · NG

>>42

中から外のポートは全部空けていますが、
外から中は、帰りのパケットだけです(ステートフルFW)。
もしかしてFTPみたいにややこしい話になるのですか?
とりあえずtcpdumpしてみてみます。

43 · NG

>>42

いま cvsup2で更新中です :)))
さっきなんで出来なかったかわかりません。

**名無しさん＠お腹いっぱい。** · NG

ずっと疑問に思ってるんだが、
ipfilterのルールって、なんでlast matchなの??(quickルールがあるけど)
アルゴリズム的にも、パケット毎に全部のルールを
検査しなくちゃいけなくて遅いとおもうんだけど。

# 分かりやすい分かりにくいはともかくとして。

14 · NG

http://home.earthlink.net/~jaymzh666/ipf/IPFfreebsd.html#17みて
net.inet.tcp.recvspace: 57344 -> 32768
にしてみた。ガンダム(試行回数一回)切れなかった。

**名無しさん＠お腹いっぱい。** · NG

>>46
サンクス。
ちなみにmssはいくつにしてる？ 1414? 1412?