IPFilter関連スレッド vol1

[1 1 NG NG]

IPFilterと、PFやIPNAT関連のスレッドです。

関連URLは>>2あたりにあるかもよん

[2 1 NG NG]

○公式
ttp://coombs.anu.edu.au/~avalon/ipfil.html
○HowTo、リンクなど
http://www.obfuscation.org/ipf/

[3 名無しさん＠お腹いっぱい。 NG NG]

何だよ「かもよん」って

[4 名無しさん＠お腹いっぱい。 NG NG]

無意味な巨大AAよりかはいくらかマシか…

[5 NG NG]

SunScreenの話もここでよいのかい？

[6 名無しさん＠お腹いっぱい。 NG NG]

まぁ Windows specified な話しか無い セキュリティ板 にこんなスレ立てても無駄だよねぇ

[7 名無しさん＠お腹いっぱい。 NG NG]

しかし、立てた当初くらいはネタ振って盛り上げたらどうだ。>>1

[8 名無しさん＠お腹いっぱい。 NG NG]

specific?

[9 NG NG]

ウインドウサイズに限定した話ってなんだ？
オーバーフローさせてなんかウマイことやんの？

[10 名無しさん＠お腹いっぱい。 NG NG]

ちょっと貼っとくか。
http://www.wakhok.ac.jp/~kanayama/summer/02/site/node110.html

[11 名無しさん＠お腹いっぱい。 NG NG]

有名?
ttp://www.tac.tsukuba.ac.jp/~hiromi/ipf4.html

[12 keep flags NG NG]

エラーの発生原因がわからず一日中ルールの書換えとテストを繰り返していた事がありました。

[13 名無しさん＠お腹いっぱい。 NG NG]

FreeBSDのipfwと比べるとどっちが通ですか?

[14 名無しさん＠お腹いっぱい。 NG NG]

natやるならipfilterの方が性能良い。
但し、俺んちではipfilterはストリーミング切れる。

[15 名無しさん＠お腹いっぱい。 NG NG]

やっぱ、Linuxのnetfilterの方が良いよね。

でもFreeBSDでipfilterだと、Ｃから直接叩けるのは魅力だよね。

[16 名無しさん＠お腹いっぱい。 NG NG]

>>15
どこがどう良いとか解説してくれないか?

[17 名無しさん＠お腹いっぱい。 NG NG]

keep frags

[18 名無しさん＠お腹いっぱい。 NG NG]

>>13
ＩＰＦＷより細かく制御できる
と>>11に書いてあった。

[19 名無しさん＠お腹いっぱい。 NG NG]

>>14
pppoe(フレッツ)に繋ぐNATBoxにIPF+IPNAT(NetBSD1.6)を使っているんだけれど、うちもストリーミングが切れる時がある。
でもYBBだった時はこういう事は起こらなかったしIPNATでmmsclampを書いても駄目だったので、別に原因があるのかも???

[20 これなかなかいいっすね NG NG]

return-icmp-as-dest(port-unr)

[21 名無しさん＠お腹いっぱい。 NG NG]

>>20
これってHost Unreachableを帰すって事?

[22 名無しさん＠お腹いっぱい。 NG NG]

>>13
通はアンナンバードだからnat不要、そして帯域制限しるからipfw。

[23 名無しさん＠お腹いっぱい。 NG NG]

>>16

Linux/Netfilterだと簡単に出来ることの例

(1)月曜から金曜の８時から１８時に到着したパケットだけを許可
# iptables -A INPUT -m time --timestart 8:00 \
--timestop 18:00 \
--days Mon,Tue,Wed,Thu,Fri -j ACCEPT

(2)あるIPアドレスからの同時並行で確立するHTTPコネクション数を
４つに限定
# iptables -A INPUT -p tcp --syn --dport http \
-m iplimit --iplimit-above 4 -j REJECT

(3)様々な条件(ほんの少しの例)
--uid-owner userid
パケットを生成したプロセスの実行ユーザ id (数値)にマッチ
--uid-owner groupid
パケットを生成したプロセスの実行グループ id (数値) にマッチ
--pid-owner processid
パケットを生成したプロセスのプロセス id にマッチ
--sid-owner sessionid
パケットを生成したプロセスのセッショングループにマッチ
--limit n
単位時間あたりに許される平均マッチ回数の最大値を指定。

--limit-burst n
limit が作動し始める手前の最大バースト値(許容できる突発
的な増大係数で、平均レートの倍数)を指定

[24 名無しさん＠お腹いっぱい。 NG NG]

>>23

それくらい、BSDユーザはアプリで組むものさ。

[25 名無しさん＠お腹いっぱい。 NG NG]

>>24
> それくらい、BSDユーザはアプリで組むものさ。

必 死 だ な

[26 名無しさん＠Ｅｍａｃｓ NG NG]

>>24
1 は cron でやったほうがいいと思うけど，その他はちょっと難しげ．

netnice ではやれそうな気がする．使ったことないけれど．
http://www.asahikawa.wide.ad.jp/netnice/

[27 名無しさん＠カラアゲうまうま NG NG]

uid/gidによる制御はipfwでもできる。ipfilterはできなかったと思うけど。

[28 名無しさん＠お腹いっぱい。 NG NG]

PPPoEでNATにしてる人たちはMMSブラックホール問題はどう対処しているの？
やっぱり全マシンのMTU調整？

[29 名無しさん＠お腹いっぱい。 NG NG]

pfで十分

[30 名無しさん＠お腹いっぱい。 NG NG]

>>28
ipnat.confにmmsclampを書く。それでも完璧じゃないけど…
最後の手段で経路上にあるルータの管理者にRFC2923読んで下さい。
とか言ってルータのicmpの設定を変えてもらうしか方法はないんじゃないかと…

[31 30 NG NG]

まちがいますた
mmsclamp > mssclamp

[32 名無しさん＠お腹いっぱい。 NG NG]

ipfstat -t もえ

[33 名無しさん＠お腹いっぱい。 NG NG]

>>23
サンクス
1)はできないな。
2)は実際にやったこと無いけど、ipfw2で出来る気がする。

[34 3-5分おき NG NG]

>>21
それは
block return-icmp-as-dest(host-unr)
だなや

[35 3-5分おき NG NG]

blockは余計だったなや

[36 名無しさん＠お腹いっぱい。 NG NG]

Ｃから直接叩こうと思っています。

FreeBSD 4.7-RELEASEにて、「man 4 ipf」をすると、
#include <netinet/ip_compat.h>
#include <netinet/ip_fil.h>
などと出て来るのに、これらヘッダファイルがシステム
に入っていません。

別途インストールの必要ありだと思うのですが、
どのパッケージになるのでしょう。

[37 名無しさん＠お腹いっぱい。 NG NG]

>>36
標準で入ってなきゃマズいって…

cvsupで4.7-RELEASE-p3に上げてmake installworldするよろし

[38 名無しさん＠お腹いっぱい。 NG NG]

>>37

早速のアドバイスありがとうございます。
IPfilter取って来て、パスを無理矢理通したのですが、
何か違うと思い投稿したところでした。
cvsupってはじめてやります。楽しみ〜。

[39 名無しさん＠お腹いっぱい。 NG NG]

>>23(1)って、カーネル内で曜日を計算してやってるの？それはやりすぎな気がするよ。(2), (3) はおもろいね。でも ipfilter って ifdef 多すぎていじる気になれない :-(

[40 名無しさん＠お腹いっぱい。 NG NG]

昼からずっとcvsupつながらないのですが、
私のマシンがNATの裏にあるのがいけない??
cvsup2 でも同じでした。

Connecting to cvsup4.jp.freebsd.org
Connected to cvsup4.jp.freebsd.org
Server software version: SNAP_16_1f
Negotiating file attribute support
Exchanging collection information
Establishing passive-mode data connection
Cannot connect to data port: Connection refused
Will retry at 18:16:05

[41 名無しさん＠お腹いっぱい。 NG NG]

>>39

Linux/Netfilterには、パケット内のデータマッチ
なんてものもあります。でもIDSの代わりには使えません。
パケット毎にチェックするから、フラグメントして
たらすり抜けちゃう。

好き勝手に開発するのがLinuxのスタイルだから、
何でも出て来ちゃうんだけどね。

[42 名無しさん＠お腹いっぱい。 NG NG]

NAT ２段かましてるけど、ついさっき、cvsup2 で更新できたよん。
port 5999 (だっけ？)は空いてる？

[43 名無しさん＠お腹いっぱい。 NG NG]

>>42

中から外のポートは全部空けていますが、
外から中は、帰りのパケットだけです(ステートフルFW)。
もしかしてFTPみたいにややこしい話になるのですか?
とりあえずtcpdumpしてみてみます。

[44 43 NG NG]

>>42

いま cvsup2で更新中です :)))
さっきなんで出来なかったかわかりません。

[45 名無しさん＠お腹いっぱい。 NG NG]

ずっと疑問に思ってるんだが、
ipfilterのルールって、なんでlast matchなの??(quickルールがあるけど)
アルゴリズム的にも、パケット毎に全部のルールを
検査しなくちゃいけなくて遅いとおもうんだけど。

# 分かりやすい分かりにくいはともかくとして。

[46 14 NG NG]

http://home.earthlink.net/~jaymzh666/ipf/IPFfreebsd.html#17みて
net.inet.tcp.recvspace: 57344 -> 32768
にしてみた。ガンダム(試行回数一回)切れなかった。

[47 名無しさん＠お腹いっぱい。 NG NG]

>>46
サンクス。
ちなみにmssはいくつにしてる？ 1414? 1412?

[48 名無しさん＠お腹いっぱい。 NG NG]

最近とてもうざく感じるようになってきた韓国や中国から届く大量のパケットを遮断したいんですが、こんな感じでOKですか？
xx0 <= wan側nic

block in quick on xx0 proto tcp from aaa.aaa.aaa.aaa/aa to any flags S/S
block in quick on xx0 proto tcp from bbb.bbb.bbb.bbb/bb to any flags S/S
＜略＞
block in on xx0 proto udp from any to any
pass in on xx0 proto udp from any to any port=*** #(udpポートは必要なとこだけ記述)

[49 14 NG NG]

スマソ、再度試したらやっぱ切れた。

[50 名無しさん＠お腹いっぱい。 NG NG]

>>48
ログがウザイなら log level local1.debug とかすれば
いいんじゃないかな。ログなしはそれはそれで恐いような。

incoming HTTP 等を蹴りたいんなら flags S/S は要らない
のではないかしら。

[51 名無しさん＠お腹いっぱい。 NG NG]

>>50
特定のポートはログも取るようなルールにしているのですが、それが特に目的そのものに関係する事では無いのでサンプルには書きませんでした。
又そもそもうざいと感じるのはログに対してではなくて、変なワームが発するパケットの送信元が９割型この２つからなので、それが原因で感じる心理的な疲労感不安感です。

>incoming HTTP 等を蹴りたいんなら flags S/S は要らない
>のではないかしら。
でもflagつけないとACKまで拒否してしまうので向こうのホームページが見れなかったりするんです。
ただflag S/Sじゃなくてflag Sでもいいかもしれませんが。

[52 名無しさん＠お腹いっぱい。 NG NG]

>>51
もしかしてステートフルインスペクション機能を使ってないとか?
pass out quick proto tcp from any to any flags S/SA keep state keep frags

[53 山崎渉 NG NG]

（＾＾）

[54 名無しさん＠お腹いっぱい。 NG NG]

>>52
そういう手があったか。
60秒ルールというのがちょっと不安な感じもします(変更可能?)が試してみます…

試してみたところ、どうも既存のルールにつけたしでやる分には不都合が
あるみたいで新しくルールを作り直さなくてはいけなさそうです。

[55 名無しさん＠お腹いっぱい。 NG NG]

FreeBSD 4-STABLEで、
ipnatとports/net/linuxigdでUPnPしようとしているのですが、
upnpdが落ちてしまったり、WinXPが落ちてしまったりで、
不要なリダイレクトのルールが残ってしまうことがあります。

お手軽でうまい方法があればいいのですが、
何か対策をされている方はいらっしゃいませんか?

[56 名無しさん＠お腹いっぱい。 NG NG]

S/SAってS/ASって書いちゃ駄目なんですか?

[57 age NG NG]

age

[58 名無しさん＠お腹いっぱい。 NG NG]

1 #! /sbin/ipf -Fa -Z -f
1 #pass in quick all
1 #pass out quick all
1 block in log quick from any to any with ipopts
1 block in log quick from any to any with short
1 #
1 # rules on lo0
1 #
1 pass in quick on lo0 all
1 pass out quick on lo0 all
1 #
1 # rules for icmp packets
1 #
1 block in on fxp0 proto icmp all
1 block out on fxp0 proto icmp all
1 pass in on fxp0 proto icmp all
1 pass out on fxp0 proto icmp all
1 #
1 # rules for tcp packets
1 #
1 block in log on fxp0 proto tcp all
1 block out log on fxp0 proto tcp all
1 pass in quick on fxp0 proto tcp all flags A/A
1 #lpr
1 pass in quick on fxp0 proto tcp from any to any port = 515 flags S/SA

[59 名無しさん＠お腹いっぱい。 NG NG]

1 #afpd
1 pass in quick on fxp0 proto tcp from any to any port = 548 flags S/SA
1 #windows network
1 pass in quick on fxp0 proto tcp from any to any port 136 >< 140 flags S/SA
1 pass in quick on fxp0 proto tcp from any port 136 >< 140 to any flags S/SA
1 #
1 # rules for udp packets
1 #
1 block in log on fxp0 proto udp all
1 block out log on fxp0 proto udp all
1 #DNS
1 pass in quick on fxp0 proto udp from any port = 53 to any
1 pass out quick on fxp0 proto udp from any to any port = 53
1 #ntp
1 pass in quick on fxp0 proto udp from any port = 123 to any
1 pass out quick on fxp0 proto udp from any to any port = 123
1 #windows network
1 pass in quick on fxp0 proto udp from any to any port 136 >< 140
1 pass in quick on fxp0 proto udp from any port 136 >< 140 to any
1 pass out quick on fxp0 proto udp from any to any port 136 >< 140
1 pass out quick on fxp0 proto udp from any port 136 >< 140 to any

[60 名無しさん＠お腹いっぱい。 NG NG]

たたき台
ざっと書いてみた

誰か間違いを修正してくれるとこのスレ的にネタ提供もできるし
漏れのpcも硬くなって一石二丁

とりあえず自分突っ込みで137-139を開いているのは根本的な誤り

[61 あぼーん NG NG]

あぼーん

[62 60 NG NG]

>1 block in on fxp0 proto icmp all
>1 block out on fxp0 proto icmp all
>1 pass in on fxp0 proto icmp all
>1 pass out on fxp0 proto icmp all
>
?

行頭の1は無視

[63 あぼーん NG NG]

あぼーん

[64 名無しさん＠お腹いっぱい。 NG NG]

> block in on fxp0 proto icmp all
> block out on fxp0 proto icmp all
> pass in on fxp0 proto icmp all
> pass out on fxp0 proto icmp all
blockが無意味

[65 名無しさん＠お腹いっぱい。 NG NG]

FreeBSD をルータ(ipnat)にして LAN で Winny やろうとしてるんですが
うまくいきません。ご指南お願いします…

ネット側(fxp0)は PPPoE(フレッツ) 、LAN側(fxp1 192.168.0.1)に
Win マシン(192.168.0.2)をつないでます。

ipf.rules は
pass in quick proto tcp from any to 192.168.0.2 port = 7743
pass in quick proto tcp from any to 192.168.0.2 port = 7744
pass in quick all
pass out quick all

ipnat は
map pppoe0 192.168.0.1/24 -> 0/32 proxy port ftp ftp/tcp
map pppoe0 192.168.0.1/24 -> 0/32 portmap tcp/udp 40000:60000
map pppoe0 192.168.0.1/24 -> 0/32


ですが、これでもポート警告が出ちゃう……(;´Д｀)

[66 名無しさん＠お腹いっぱい。 NG NG]

nyユーザはフィルターなんぞするな。インターネット直結フルオープンで逝け。

[67 名無しさん＠お腹いっぱい。 NG NG]

なにを思ったか自家LANのgatewayをSolaris8(x86)にしてみた。
とうぜんNATにしたわけだが、NATができるソフトウェアが"SunScreen"と"ipf"しかない。

一見手軽そうにみえたipfを入れてみたがかなりてこずった。
LAN ->外 にftpがとおらない。

ftp-proxyとかいろいろ試してみたが、
主力であるDebianクライアントからapt-getで外につなぐと
なんとSolarisNAT箱がハングアップする。

ipfのバージョンを安定してそうな古いのに落として、
ipf.confは"なにもしなくていいですよ"というのにした。
その上でwwwとftpのみLAN内の鯖マシンにforwardする、という設定を
ipnat.confに書いてようやく安定した。

外へのftpはpassiveでしかできないけど、
どうしても必要な場合は
sshでルータまでトンネルを掘るということで妥協した。

[68 67 NG NG]

# Solaris(x86)ルータの設定
# ipfstat -i
pass in quick on rf0 from any to any
pass in quick on ni0 from any to any
pass in quick on lo0 from any to any

# ipnat -l
map ni0 192.168.0.0/24 -> 0.0.0.0/32 portmap tcp/udp 40000:60000
map ni0 192.168.0.0/24 -> 0.0.0.0/32
rdr ni0 0.0.0.0/0 port 80 -> 192.168.0.253 port 80 tcp //LAN内web鯖用
rdr ni0 0.0.0.0/0 port 20 -> 192.168.0.253 port 20 tcp //以下LAN内ftp鯖用
rdr ni0 0.0.0.0/0 port 21 -> 192.168.0.253 port 21 tcp
rdr ni0 0.0.0.0/0 port 30011 -> 192.168.0.253 port 30011 tcp
rdr ni0 0.0.0.0/0 port 30012 -> 192.168.0.253 port 30012 tcp
rdr ni0 0.0.0.0/0 port 30013 -> 192.168.0.253 port 30013 tcp //LAN内ftp鯖用passive ports (30011-30080)
...
rdr ni0 0.0.0.0/0 port 30080 -> 192.168.0.253 port 30080 tcp

# ndd /dev/tcp tcp_smallest_anon_port tcp_largest_anon_port
32768
65535



# Debianの設定
$ cat /etc/apt/apt.conf
ftp
{
Passive "true";
};

[69 67 NG NG]

# ipfのバージョン
$ pkginfo -l ipf
PKGINST: ipf
NAME: IP Filter
CATEGORY: system
ARCH: i386(32-bit)
VERSION: 3.3.22
VENDOR: Darren Reed
DESC: This package contains tools for building a firewall
INSTDATE: Jan 29 2003 13:07
EMAIL: [e-mail]
STATUS: completely installed
FILES: 75 installed pathnames
11 shared pathnames
1 linked files
21 directories
10 executables
1214 blocks used (approx)

外からLAN内ftp鯖にちゃんとつながるのか、ちょっと不安。
どなたかよかったらテストよろしこ
ftp://lev.ii2.cc/

[70 名無しさん＠お腹いっぱい。 NG NG]

>>67
初心者なんですけど、教えていただけますか？
Solaris8(x86)でipfilterをコンパイルするとエラーがでます。
3.4.31です。
バージョンはいくつのものを使ってますか？