基本的なファイアーウォールの設定 (iptables)

>> HOME >> FC5 MENU >> 基本的なファイアーウォールの設定 (iptables)

ファイアーウォールは、不正なユーザーからアクセスされないようにします。ファイアーウォールを適切に設定すると、システムのセキュリティを大幅に高めることができます。
Fedora にはファイアーウォール機能がせっかく備わっているので、一番簡単な方法で設定してみたいと思います。

1. 基本的なファイアーウォールの設定: 1 ) ファイアーウォール設定スクリプトの起動; 2 ) ファイアーウォール設定のカスタマイズ
2. ファイアーウォールの起動と自動起動設定: 1 ) iptables の起動; 2 ) iptables の自動起動設定

1. 基本的なファイアーウォールの設定

1 ) ファイアーウォール設定スクリプトの起動

[root@linux ~]# system-config-securitylevel

｢セキュリティレベル:｣を｢(*) 有効｣に設定します。
※ 項目間の移動は Tab キーで、項目の選択はスペースキーで、決定はリターンキーで行います

2 ) ファイアーウォール設定のカスタマイズ

｢カスタマイズ｣を選択します。

受信を許可するポートを選択します。｢その他のポート｣に直接ポート番号を記述することもできます。
(※ ポート番号複数を記述する場合は｢ (スペース)｣または｢,(カンマ)｣で区切ります)。
以下の例では｢SSH(22)｣｢HTTP(80)｣｢HTTPS(443)｣｢FTP(21)｣｢Samba(137-139)｣｢SMTP(25)｣、
｢その他のポート｣で｢DNS(53)｣｢POP3(110)｣を許可しています。

主なポートは以下の通りです。

Port# / 層	名前	コメント
20	ftp-data	FTP データポート
21	ftp	FTP(File Transfer Protocol)
22	ssh	SSH(Secure Shell) サービス
23	telnet	Telnet サービス
25	smtp	SMTP(Simple Mail Transfer Protocol)
53	domain	ドメインネームサービス (BIND 等)
69	tftp	TFTP(Trivial File Transfer Protocol)
80	http	HTTP(HyperText Transfer Protocol)
110	pop3	Post Office Protocol version 3
115	sftp	SFTP(Secure File Transfer Protocol)
123	ntp	NTP(Network Time Protocol)
137	netbios-ns	Samba が使用する NETBIOS ネームサービス
138	netbios-dgm	Samba が使用する NETBIOS データグラムサービス
139	netbios-ssn	Samba が使用する NETBIOS セッションサービス
161	snmp	SNMP (Simple Network Management Protocol)
162	snmptrap	SNMP用のトラップ
143	imap	IMAP (Internet Message Access Protocol)
389	ldap	LDAP (Lightweight Directory Access Protocol)
443	https	HTTP (Secure Hypertext Transfer Protocol)
465/tcp	smtps	SSL を使用したSimple Mail Transfer Protocol (SMTPS)
587	submission	MSA (Mail Message Submission Agent)
631	ipp	IPP (Internet Printing Protocol)
873	rsync	rsync ファイル転送サービス
993	imaps	SSL を使用したInternet Message Access Protocol (IMAPS)
995	pop3s	SSL を使用したPost Office Protocol version 3 (POP3S)
2049	nfs [nfsd]	NFS (Network File System)
3306	mysql	MySQL データベースサービス
5432	postgres	PostgreSQL データベース

その後、｢OK｣を押して変更を確定します。

｢OK｣を押して終了します。

ここまでの変更は、ファイアーウォールの設定ファイル /etc/sysconfig/iptables に反映されます。

[root@linux ~]# cat /etc/sysconfig/iptables 

# Firewall configuration written by system-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 110 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 137 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 138 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 139 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 445 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

2. ファイアーウォールの起動と自動起動設定

1 ) iptables の起動

[root@linux ~]# service iptables start 
ファイアウォールルールを適用中:                            [  OK  ]
チェインポリシーを ACCEPT に設定中filter                   [  OK  ]
iptables モジュールを取り外し中                            [  OK  ]
iptables ファイアウォールルールを適用中:                   [  OK  ]
iptables モジュールを読み込み中ip_conntrack_netbios_ns ip_c[  OK  ]_ftp

2 ) iptables の自動起動設定

[root@linux ~]# chkconfig iptables on 
[root@linux ~]# chkconfig --list iptables 
iptables        0:off   1:off   2:on    3:on    4:on    5:on    6:off