ファイアウォールの設定

　ファイアウォールはサーバへのネットワークアクセスを制限するためのシステム（又はソフトウェア）であり、Fedora Coreには標準でインストールされている。これを設定することにより、外部からの攻撃を防げるなどの効果がある。
　自宅に設置しているサーバの場合、通常はルータを用いてインターネットに接続しているはずなので、ルータの設定をしっかりしていれば、インターネットからサーバを攻撃されることはないと考えていいと思われる。しかし、自宅のPCがウィルスに感染し、サーバに攻撃してしまう場合は防ぎようがなくなってしまう。
　サーバ自身にファイアウォールの設定をすることにより、外からも中からも攻撃されにくいサーバにしよう。

1.前準備

　ファイアウォールの設定内容は/etc/sysconfig/iptablesファイルに記述する。OSインストール時にファイアウォールを無効にしている場合はこのファイルが存在しないので、新たに作成する必要がある。Fedora CoraにはCGIのツールがインストールされているので、それを利用してファイルを作成する。

# lokkit

　ファイアウォールの設定画面が表示されるので、セキュリティレベルをEnabledに設定して、OKボタンを選択する。設定画面が終了するので、ファイルを確認する。 

[root@rina root]# less /etc/sysconfig/iptables
# Firewall configuration written by redhat-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

　通常は、ほぼ全てのアクセスを拒否するように設定されている。

2.設定方法

　主なサービスのプロトコルとポートは次のとおり。

サービスプロトコルポート
ファイル転送（FTP）tcp21
セキュリティ・シェル（SSH）tcp22
telnettcp23
メール転送（SMTP）tcp25
Webサーバ（HTTP）tcp80
メール受信（POP3）tcp110
メール受信（IMAP）tcp143
時間サーバ（NTP）udp123

　ある特定のサービスについてのアクセスを許可するには、その内容を最終行（COMMIT）の上に次のように記述する。

-A RH-Firewall-1-INPUT -m state --state NEW -m プロトコル -p プロトコル --dport ポート -j ACCEPT

　例えばSSHを許可する場合、次のように記述する。

　編集後、ファイアウォールを再起動すると、設定した内容が反映される。

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
# /etc/rc.d/init.d/iptables restart

3.Sambaを使う場合の設定

　Sambaのサービスを公開する場合は、次のように記述する必要がある。 

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 139 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 138 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 137 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 901 -j ACCEPT　←SWATを公開する場合

[ TOP ]