IPFilter関連スレッド vol1

1 · NG

IPFilterと、PFやIPNAT関連のスレッドです。

関連URLは>>2あたりにあるかもよん

1 · NG

○公式
ttp://coombs.anu.edu.au/~avalon/ipfil.html
○HowTo、リンクなど
http://www.obfuscation.org/ipf/

**名無しさん＠お腹いっぱい。** · NG

何だよ「かもよん」って

**名無しさん＠お腹いっぱい。** · NG

無意味な巨大AAよりかはいくらかマシか…

NG

SunScreenの話もここでよいのかい？

**名無しさん＠お腹いっぱい。** · NG

まぁ Windows specified な話しか無いセキュリティ板にこんなスレ立てても無駄だよねぇ

**名無しさん＠お腹いっぱい。** · NG

しかし、立てた当初くらいはネタ振って盛り上げたらどうだ。>>1

**名無しさん＠お腹いっぱい。** · NG

specific?

NG

ウインドウサイズに限定した話ってなんだ？
オーバーフローさせてなんかウマイことやんの？

**名無しさん＠お腹いっぱい。** · NG

ちょっと貼っとくか。
http://www.wakhok.ac.jp/~kanayama/summer/02/site/node110.html

**名無しさん＠お腹いっぱい。** · NG

有名?
ttp://www.tac.tsukuba.ac.jp/~hiromi/ipf4.html

**keep flags** · NG

エラーの発生原因がわからず一日中ルールの書換えとテストを繰り返していた事がありました。

**名無しさん＠お腹いっぱい。** · NG

FreeBSDのipfwと比べるとどっちが通ですか?

**名無しさん＠お腹いっぱい。** · NG

natやるならipfilterの方が性能良い。
但し、俺んちではipfilterはストリーミング切れる。

**名無しさん＠お腹いっぱい。** · NG

やっぱ、Linuxのnetfilterの方が良いよね。

でもFreeBSDでipfilterだと、Ｃから直接叩けるのは魅力だよね。

**名無しさん＠お腹いっぱい。** · NG

>>15
どこがどう良いとか解説してくれないか?

**名無しさん＠お腹いっぱい。** · NG

keep frags

**名無しさん＠お腹いっぱい。** · NG

>>13
ＩＰＦＷより細かく制御できる
と>>11に書いてあった。

**名無しさん＠お腹いっぱい。** · NG

>>14
pppoe(フレッツ)に繋ぐNATBoxにIPF+IPNAT(NetBSD1.6)を使っているんだけれど、うちもストリーミングが切れる時がある。
でもYBBだった時はこういう事は起こらなかったしIPNATでmmsclampを書いても駄目だったので、別に原因があるのかも???

**これなかなかいいっすね** · NG

return-icmp-as-dest(port-unr)

**名無しさん＠お腹いっぱい。** · NG

>>20
これってHost Unreachableを帰すって事?

**名無しさん＠お腹いっぱい。** · NG

>>13
通はアンナンバードだからnat不要、そして帯域制限しるからipfw。

**名無しさん＠お腹いっぱい。** · NG

>>16

Linux/Netfilterだと簡単に出来ることの例

(1)月曜から金曜の８時から１８時に到着したパケットだけを許可
# iptables -A INPUT -m time --timestart 8:00 \
--timestop 18:00 \
--days Mon,Tue,Wed,Thu,Fri -j ACCEPT

(2)あるIPアドレスからの同時並行で確立するHTTPコネクション数を
４つに限定
# iptables -A INPUT -p tcp --syn --dport http \
-m iplimit --iplimit-above 4 -j REJECT

(3)様々な条件(ほんの少しの例)
--uid-owner userid
パケットを生成したプロセスの実行ユーザ id (数値)にマッチ
--uid-owner groupid
パケットを生成したプロセスの実行グループ id (数値) にマッチ
--pid-owner processid
パケットを生成したプロセスのプロセス id にマッチ
--sid-owner sessionid
パケットを生成したプロセスのセッショングループにマッチ
--limit n
単位時間あたりに許される平均マッチ回数の最大値を指定。

--limit-burst n
limit が作動し始める手前の最大バースト値(許容できる突発
的な増大係数で、平均レートの倍数)を指定

**名無しさん＠お腹いっぱい。** · NG

>>23

それくらい、BSDユーザはアプリで組むものさ。

**名無しさん＠お腹いっぱい。** · NG

>>24
> それくらい、BSDユーザはアプリで組むものさ。

必死だな

**名無しさん＠Ｅｍａｃｓ** · NG

>>24
1 は cron でやったほうがいいと思うけど，その他はちょっと難しげ．

netnice ではやれそうな気がする．使ったことないけれど．
http://www.asahikawa.wide.ad.jp/netnice/

**名無しさん＠カラアゲうまうま** · NG

uid/gidによる制御はipfwでもできる。ipfilterはできなかったと思うけど。

**名無しさん＠お腹いっぱい。** · NG

PPPoEでNATにしてる人たちはMMSブラックホール問題はどう対処しているの？
やっぱり全マシンのMTU調整？

**名無しさん＠お腹いっぱい。** · NG

pfで十分

**名無しさん＠お腹いっぱい。** · NG

>>28
ipnat.confにmmsclampを書く。それでも完璧じゃないけど…
最後の手段で経路上にあるルータの管理者にRFC2923読んで下さい。
とか言ってルータのicmpの設定を変えてもらうしか方法はないんじゃないかと…

30 · NG

まちがいますた
mmsclamp > mssclamp

**名無しさん＠お腹いっぱい。** · NG

ipfstat -t もえ

**名無しさん＠お腹いっぱい。** · NG

>>23
サンクス
1)はできないな。
2)は実際にやったこと無いけど、ipfw2で出来る気がする。

**3-5分おき** · NG

>>21
それは
block return-icmp-as-dest(host-unr)
だなや

**3-5分おき** · NG

blockは余計だったなや

**名無しさん＠お腹いっぱい。** · NG

Ｃから直接叩こうと思っています。

FreeBSD 4.7-RELEASEにて、「man 4 ipf」をすると、
#include <netinet/ip_compat.h>
#include <netinet/ip_fil.h>
などと出て来るのに、これらヘッダファイルがシステム
に入っていません。

別途インストールの必要ありだと思うのですが、
どのパッケージになるのでしょう。

**名無しさん＠お腹いっぱい。** · NG

>>36
標準で入ってなきゃマズいって…

cvsupで4.7-RELEASE-p3に上げてmake installworldするよろし

**名無しさん＠お腹いっぱい。** · NG

>>37

早速のアドバイスありがとうございます。
IPfilter取って来て、パスを無理矢理通したのですが、
何か違うと思い投稿したところでした。
cvsupってはじめてやります。楽しみ～。

**名無しさん＠お腹いっぱい。** · NG

>>23(1)って、カーネル内で曜日を計算してやってるの？それはやりすぎな気がするよ。(2), (3) はおもろいね。でも ipfilter って ifdef 多すぎていじる気になれない :-(

**名無しさん＠お腹いっぱい。** · NG

昼からずっとcvsupつながらないのですが、
私のマシンがNATの裏にあるのがいけない??
cvsup2 でも同じでした。

Connecting to cvsup4.jp.freebsd.org
Connected to cvsup4.jp.freebsd.org
Server software version: SNAP_16_1f
Negotiating file attribute support
Exchanging collection information
Establishing passive-mode data connection
Cannot connect to data port: Connection refused
Will retry at 18:16:05

**名無しさん＠お腹いっぱい。** · NG

>>39

Linux/Netfilterには、パケット内のデータマッチ
なんてものもあります。でもIDSの代わりには使えません。
パケット毎にチェックするから、フラグメントして
たらすり抜けちゃう。

好き勝手に開発するのがLinuxのスタイルだから、
何でも出て来ちゃうんだけどね。

**名無しさん＠お腹いっぱい。** · NG

NAT ２段かましてるけど、ついさっき、cvsup2 で更新できたよん。
port 5999 (だっけ？)は空いてる？

**名無しさん＠お腹いっぱい。** · NG

>>42

中から外のポートは全部空けていますが、
外から中は、帰りのパケットだけです(ステートフルFW)。
もしかしてFTPみたいにややこしい話になるのですか?
とりあえずtcpdumpしてみてみます。

43 · NG

>>42

いま cvsup2で更新中です :)))
さっきなんで出来なかったかわかりません。

**名無しさん＠お腹いっぱい。** · NG

ずっと疑問に思ってるんだが、
ipfilterのルールって、なんでlast matchなの??(quickルールがあるけど)
アルゴリズム的にも、パケット毎に全部のルールを
検査しなくちゃいけなくて遅いとおもうんだけど。

# 分かりやすい分かりにくいはともかくとして。

14 · NG

http://home.earthlink.net/~jaymzh666/ipf/IPFfreebsd.html#17みて
net.inet.tcp.recvspace: 57344 -> 32768
にしてみた。ガンダム(試行回数一回)切れなかった。

**名無しさん＠お腹いっぱい。** · NG

>>46
サンクス。
ちなみにmssはいくつにしてる？ 1414? 1412?

**名無しさん＠お腹いっぱい。** · NG

最近とてもうざく感じるようになってきた韓国や中国から届く大量のパケットを遮断したいんですが、こんな感じでOKですか？
xx0 <= wan側nic

block in quick on xx0 proto tcp from aaa.aaa.aaa.aaa/aa to any flags S/S
block in quick on xx0 proto tcp from bbb.bbb.bbb.bbb/bb to any flags S/S
＜略＞
block in on xx0 proto udp from any to any
pass in on xx0 proto udp from any to any port=*** #(udpポートは必要なとこだけ記述)

14 · NG

スマソ、再度試したらやっぱ切れた。

**名無しさん＠お腹いっぱい。** · NG

>>48
ログがウザイなら log level local1.debug とかすれば
いいんじゃないかな。ログなしはそれはそれで恐いような。

incoming HTTP 等を蹴りたいんなら flags S/S は要らない
のではないかしら。

**名無しさん＠お腹いっぱい。** · NG

>>50
特定のポートはログも取るようなルールにしているのですが、それが特に目的そのものに関係する事では無いのでサンプルには書きませんでした。
又そもそもうざいと感じるのはログに対してではなくて、変なワームが発するパケットの送信元が９割型この２つからなので、それが原因で感じる心理的な疲労感不安感です。

>incoming HTTP 等を蹴りたいんなら flags S/S は要らない
>のではないかしら。
でもflagつけないとACKまで拒否してしまうので向こうのホームページが見れなかったりするんです。
ただflag S/Sじゃなくてflag Sでもいいかもしれませんが。

**名無しさん＠お腹いっぱい。** · NG

>>51
もしかしてステートフルインスペクション機能を使ってないとか?
pass out quick proto tcp from any to any flags S/SA keep state keep frags

**山崎渉** · NG

（＾＾）

**名無しさん＠お腹いっぱい。** · NG

>>52
そういう手があったか。
60秒ルールというのがちょっと不安な感じもします(変更可能?)が試してみます…

試してみたところ、どうも既存のルールにつけたしでやる分には不都合が
あるみたいで新しくルールを作り直さなくてはいけなさそうです。

**名無しさん＠お腹いっぱい。** · NG

FreeBSD 4-STABLEで、
ipnatとports/net/linuxigdでUPnPしようとしているのですが、
upnpdが落ちてしまったり、WinXPが落ちてしまったりで、
不要なリダイレクトのルールが残ってしまうことがあります。

お手軽でうまい方法があればいいのですが、
何か対策をされている方はいらっしゃいませんか?