5ちゃんねる ★スマホ版★ ■掲示板に戻る■ 全部 1- 最新50  

■ このスレッドは過去ログ倉庫に格納されています

【鉄壁】iptablesの使い方 3【ファイアウォール】

1 :login:Penguin:2006/01/07(土) 09:23:53 ID:lNsnmDoV
iptablesを使って素敵なファイアウォールとか、
快速ルータを作ったりするために、
情報を出し合うスレ

前スレ
おい、iptablesの使い方を(ry その2
http://pc8.2ch.net/test/read.cgi/linux/1079277604/l50


2 :login:Penguin:2006/01/07(土) 09:44:55 ID:vkMct5Pt


3 :login:Penguin:2006/01/07(土) 12:36:33 ID:ptqFsZE8
Manpage of IPTABLES
ttp://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
Linux・iptables・設定・ファイアウォール・セキュリティ
ttp://penguin.nakayosi.jp/linux/iptables.html
典型的(?)なパケットフィルタリングiptables の設定方法
ttp://tlec.linux.or.jp/docs/iptables.html
iptables でファイヤウォール - Linux で自宅サーバ
ttp://www.miloweb.net/iptables.html
第7回 Linux研究会 セキュリティ対策 iptables
ttp://www.mtc.pref.kyoto.jp/linux-ken/2003/security6.htm
netfilter/iptables FAQ
ttp://www.linux.or.jp/JF/JFdocs/netfilter-faq.html
Linux のソフトウェアファイアウォール (iptables) の設定方法
ttp://www.astec.co.jp/products/ASTECX/FAQ/iptables.html
ルーター設定メモ (iptables)
ttp://www.servj.com/pc/howto/rh73_3.html
Linux 2.4 Packet Filtering HOWTO: iptables を使う
ttp://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO-7.html
Linux Security - iptablesによるパケットフィルタリング
ttp://cyberam.dip.jp/linux_security/iptables.html
Linuxで作るファイアウォール[NAT設定編]
ttp://www.atmarkit.co.jp/flinux/rensai/security04/security04a.html
iptables - Hiroshi Ichisawa Wiki
ttp://www.comm.soft.iwate-pu.ac.jp/ichisawa/pukiwiki/pukiwiki.php?iptables

4 :login:Penguin:2006/01/07(土) 13:42:19 ID:dx6N2VIr
iptables設定ツール
fw-rulegen
http://www.b0rken.net/fw-rulegen/
firestarter
http://www.fs-security.com/
dwall
http://dag.wieers.com/home-made/dwall/
shorewall
http://www.shorewall.net/

5 :前スレ953:2006/01/07(土) 15:03:04 ID:NozLc+wJ
sambaの共有設定で悩んでいたものですが、とりあえず下記の設定でできるようになりました。
まだツメが甘いですが、また時間をみてぼちぼち無駄をチェックしていきたいと思います

/sbin/iptables -A OUTPUT -p udp --sport 137 -d 192.168.0.100 --dport 137 -j ACCEPT
/sbin/iptables -A INPUT -p udp --sport 137 -s 192.168.0.100 --dport 137 -j ACCEPT

/sbin/iptables -A OUTPUT -p udp --sport 138 -d 192.168.0.100 --dport 138 -j ACCEPT
/sbin/iptables -A INPUT -p udp --sport 138 -s 192.168.0.100 --dport 138 -j ACCEPT

/sbin/iptables -A OUTPUT -p tcp -d 192.168.0.100 --sport 139 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -s 192.168.0.100 --dport 139 -j ACCEPT

/sbin/iptables -A OUTPUT -p tcp -d 192.168.0.100 --dport 139 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -s 192.168.0.100 --sport 139 -j ACCEPT

/sbin/iptables -A OUTPUT -p udp --sport 137 -d 192.168.0.255 --dport 137 -j ACCEPT
/sbin/iptables -A INPUT -p udp --sport 137 -d 192.168.0.255 --dport 137 -j ACCEPT

/sbin/iptables -A OUTPUT -p udp --sport 138 -d 192.168.0.255 --dport 138 -j ACCEPT
/sbin/iptables -A INPUT -p udp --sport 138 -d 192.168.0.255 --dport 138 -j ACCEPT

/sbin/iptables -A INPUT -m state --state ESTABLISHE,RELATED -j ACCEPT

ポイントは、139番片側固定、片側anyになることと
ブロードキャストは137だけでなく138も必要なんだってことですた
#ESTABLISHEをはずしてもできるかな?

6 :login:Penguin:2006/01/07(土) 15:04:33 ID:NozLc+wJ
ちなみに接続できなくなってしまった職場のPCは未だ原因不明・・・
(実験用なんでまぁぼちぼちやっていきます
うまくいくようになったら仕事用PCのほうへ設定を移植する予定)

7 :login:Penguin:2006/01/07(土) 15:08:41 ID:NozLc+wJ
なんだかとっても低レベルな内容でお恥ずかしいデスタイ・・・スマソm(__)m

8 :login:Penguin:2006/01/07(土) 23:40:06 ID:lsNi6f0K
ESTABLISHE,RELATEDな行は最初に入力したほうがいいと思わなくもない。

9 :login:Penguin:2006/01/08(日) 17:15:31 ID:3Dz6uIVF
iptablesでポートスキャンを防ぎたいのですが、
FIN Xmas Null スキャンは
/sbin/iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
で防げるのですが、
TCP connect() スキャンと
TCP SYN スキャンを防ぐ方法を検討しています。

巷でよく見る

/sbin/iptables -N tcp-syn-scan
/sbin/iptables -A tcp-syn-scan -m limit --limit 1/s --limit-burst 4 -j RETURN
/sbin/iptables -A tcp-syn-scan -j LOG --log-prefix "tcp-syn-scan:"
/sbin/iptables -A tcp-syn-scan -j DROP
/sbin/iptables -A INPUT -i eth0 -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j tcp-syn-scan

をやっても実際にnmapで試してみるときちんとスキャンできてしまいます。
iptablesだけで防ぐのは不可能なのでしょうか?


10 :login:Penguin:2006/01/08(日) 17:19:08 ID:EozsQFUN
結論を言ってしまうと、防ぐ必要がない。無意味。
スキャンされてもそれが何か?って感じ。

11 :login:Penguin:2006/01/08(日) 17:53:23 ID:3Dz6uIVF
まあ実際使うポートだけ開けて、他は閉じておけば
開いてるポートのデーモンだけきちんと設定したり、
セキュリティホールチェックしておけば問題ないといえば問題ないけど
開いているポートがばれないに越したことはないかなーと

12 :login:Penguin:2006/01/10(火) 18:29:50 ID:tFkcXht9
どのみち解ろうが解るまいが直接つないでくるからな。

13 :login:Penguin:2006/01/10(火) 23:00:43 ID:tMTdjeO6
>>9
> --tcp-flags SYN,ACK,FIN,RST RST
SYN スキャンの場合、SYN|ACK に対して RST 返すので
それを拾ってるだけ。SYN|ACK が送られるのは開かれたポートに
SYN が来たときだけだからそんなに多くないはず。
1/s にひっかかるかどうか…。
それに、引っ掛かったとしてもある程度は通されるわけだし。

まぁ、どうしてもってなら knockd 使えや。

14 :login:Penguin:2006/01/10(火) 23:53:04 ID:3qVRzt+r
つーか本当にバレずにスキャンしようと思ったら数日から数週間かけてゆっくりやるけど、
そういう周到な攻撃が来るのならおまえらが何やっても無駄だからな。

15 :login:Penguin:2006/01/11(水) 10:07:31 ID:WTePKuQe
侵入検知と改ざん検知の2つも組み合わせてこそ意味があるからな、これ。
すり抜けられたことを警告できないシステムなんて防御の意味なさ杉。

iptablesだけ設定して満足してる奴などおらんはずだ。多分。SnortやTripwire併用してるよな。

16 :login:Penguin:2006/01/11(水) 12:46:05 ID:Mjaffih5
ハゲワラ

17 :login:Penguin:2006/01/11(水) 23:19:24 ID:tIGZExRq
面倒だからiptables使ってない。
何でも来い。

18 :login:Penguin:2006/01/12(木) 23:21:12 ID:yIERuXnC
過去ログ、どこかで見られませんか?特に前スレ。

すごい充実した内容だったので。。。
保存してなかった自分の愚かさに泣けてくる。

19 :login:Penguin:2006/01/13(金) 00:08:39 ID:y0elEd6f
>>18

重いけどね
ttp://makimo.to/2ch/index.html

20 :18:2006/01/13(金) 01:35:29 ID:AFhxZw92
>>19さん
多謝。助かりました。ありがとうございますた。

21 :login:Penguin:2006/01/15(日) 14:48:09 ID:RkmQBZOu
ebtablesも使ってあげてください

22 :login:Penguin:2006/01/18(水) 19:31:04 ID:tToObXaA
firestarter1.0.3とIPエイリアス(eth0:0)の組み合わせで、NATがちゃんと動いてる人いますか?
LAN内のPCはpingしか通らない状況。
設定ウィザードではeth0:0が出てこないので、一度sit0を指定して、/etc/firestarter/configurationを
書き換えてやってみたんだけど。
以前バージョン0.8とかの時代に同じようにIPエイリアスでやった時は、設定ウィザードでeth0:0指定して動いてたのに。

pingのみ通るってことは、icmpのみ通す設定になってる?

23 :login:Penguin:2006/01/25(水) 19:55:27 ID:xg2oZ9Q3
今までIIJmio(VDSL)でインターネットに接続してきましたが
先日Fiberbit(テプコ光)に乗り換えました。
それまで動作していたルータ(メルコ製WHR2-G54)でPPPOE接続をすると
何故か失敗し問い合わせても動作保証外と言われたため
Linuxマシンでルータを設定しました。

po-pppoeの設定や、最低限のiptableの設定は出来たのですが
同メーカー製ルータで実装されていたDMZ機能をiptablesで
再現する方法がわかりません。
よろしければご教授お願い致します。

・ここでのDMZとは
 アドレス変換を使用しているときに外部から変換先不明のIPパケットを
 LAN内のIPアドレスに転送するという事です。
 本来の意味とは若干違いますがご了承下さい。

internet --- ppp0(eth0 210.162.XXX.XXX)-[Linux Redhat 9.0]-eth2(192.168.0.1)---DMZ(192.168.0.10)

こんな感じでinternet側から宛先不明のIPパケットを192.168.0.10に転送しようと以下のような設定を
行いましたがうまく転送されませんでした。

iptables -t nat --PREROUTING -i ppp0 -j DNAT --to-destination 192.168.0.10


24 :login:Penguin:2006/01/25(水) 20:26:29 ID:FjeZvP0e
iptables -t nat -A PREROUTING -i ppp0 -j DNAT --to-dest 192.168.0.10
iptables -A FORWARD -s 192.168.0.10 -j ACCEPT

でどうね?

25 :login:Penguin:2006/01/25(水) 20:41:50 ID:yr3PQ5iE
ご教示と書いて欲しい

26 :login:Penguin:2006/01/26(木) 04:39:23 ID:0UK+vE8c
きょうじゅ けう― 【教授】<

(名)スル

(1) 0 1 (ア)児童・生徒に知識・技能を与え、そこからさらに知識への興味を呼び起こすこと。

(イ)専門的な学問・技芸を教えること。
「国文学を―する」「書道―」

(2) 0 大学などの高等教育機関において、専門の学問・技能を教え、また自らは研究に従事する人の職名。助教授・講師の上位。


27 :login:Penguin:2006/01/26(木) 05:42:32 ID:aWkNV4gV
きょうオじ[1][0]ケウ―【教示】
―する 具体的に どうしたらいいかを教えること。
「ご―願いたい」
三省堂 『新明解国語辞典 第五版』
ttp://www.ctv.co.jp/omezame/newimg/prof/kikuchi_01.jpg

こっちはもっとお手軽なやつだ

28 :login:Penguin:2006/01/26(木) 05:52:58 ID:RnqITOKN
教授はレベルが高くて重責なので、安易に関われない。
教えてクレクレ程度にしてクレ。

29 :login:Penguin:2006/01/26(木) 17:40:02 ID:WuSQ56Qo
>>27
またローカルな・・・

30 :login:Penguin:2006/01/27(金) 09:33:22 ID:GlUU4BwY
>>24
これ書く場合は
ローカルで他のサーバが動いている場合、
先にそっちを書かないといけないかな。

31 :login:Penguin:2006/01/27(金) 20:58:45 ID:H1hLO2uT
そもそもポート指定も無しで、全パケットをDMZへ丸投げしたいのか?

32 :login:Penguin:2006/02/02(木) 10:40:50 ID:Fk729cMF
「教授」というのは口頭を含む文字情報による情報伝達法のこと。

対義語は、文字によらざる情報伝達法である「伝授」になる。
お釈迦様と摩訶迦葉の間の「拈華微笑(=以心伝心)」の故事が、これに相当する。
他にも、超能力者が自分と同じ能力を他人に与えることも「伝授」という。

33 :login:Penguin:2006/02/02(木) 12:13:56 ID:c7jGeXSc
PC関連の掲示板では基板→基盤、保証→保障、教示→教授等が
もはや多数派を占めているといっても過言じゃないな

指摘しても逆ギレされるのがオチ('A`)

34 :login:Penguin:2006/02/02(木) 12:22:15 ID:zryO2fWT
そんなことよりiptablesの設定の話しようぜー
ぶっちゃけどっちでも意味が伝わるからいいし

35 :login:Penguin:2006/02/04(土) 06:06:30 ID:H3nkfl8/
>>33
アホか?
いずれも両方使う場面がある言葉じゃねーか。


36 :login:Penguin:2006/02/09(木) 02:36:19 ID:NeonKn9W
iptablesを使ってwinny接続を弾くって事は出来ますか?
内部からのwinnyの接続を拒否したいです。

37 :login:Penguin:2006/02/09(木) 09:11:05 ID:u54kuXyO
LAN内のユーザに使わせたくないって言うこと?

38 :login:Penguin:2006/02/09(木) 09:18:28 ID:u54kuXyO
/sbin/iptables -A FORWARD -p tcp --dport 1123 -j DROP
かな?
それよりもデフォルトポリシーをDROPにして、
必要なHTTPとかSMTPとかPOP3とかだけ許可してあげた方がいいかな。
MSN Messengerのファイル転送とかリモートアシスタンスはUPnPでいけるし。

39 :38:2006/02/09(木) 09:19:39 ID:u54kuXyO
すまん、1123がwinnyで使うと思しきポートね
でもこれだと接続相手が規定のポート以外で動作させてると、
弾けないんだよね

40 :login:Penguin:2006/02/09(木) 10:43:54 ID:L3md9yAf
内側からのパケットも特定のポート以外全部DROPしちゃえば

41 :login:penguin:2006/02/09(木) 11:08:03 ID:XOuDLy2R
LAN内からWANへの一切のアクセスを止めないと無理。要はネット利用禁止。
HTTPポートでも利用できるし、特定のポート空けても無駄(みたいよ)

winny など p2p を止められると謳っている専用のファイアーウォール製品
じゃないと無理っぽいね。

こういうの開発した人って凄いよね。ミョーに感心してしまう。

42 :login:Penguin:2006/02/09(木) 11:27:33 ID:u54kuXyO
>>41
winnyで80で待ってる人あんましいないだろ、
なんだかんだみんな詳しく知らない知らないからデフォルトじゃね?

LANからWAN WANからLANへのパケットをキャプチャして、
winnyなりWinMxのプロトコルのヘッダ部分があったら弾くスクリプトでできそうじゃね?

43 :login:Penguin:2006/02/10(金) 02:10:20 ID:6R1+Xt+d
まず、ping がそのPCに対して通らないことを確認しました。

その後、下記の条件を追加しました。
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 5/s -j ACCEPT

本来なら、5秒間に1回のPingのみを受理して欲しいのですが、
1秒で10回送っても全部帰ってきます。

iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 5/s -j ACCEPT をその後削除したら、
正しくPingはいっさい帰ってこなくなります。

どの指定の部分が間違っているのでしょうか?


44 :43:2006/02/10(金) 02:49:32 ID:6R1+Xt+d
実験の途中の一部で間違えて違うクライアントにPingしていたようです。

もう一度やり直したら正常に動作しました。


45 :login:Penguin:2006/02/10(金) 09:11:03 ID:g9viqx6n
>>43
それだと、1/5秒間に5回まで許可じゃない?

46 :login:Penguin:2006/02/11(土) 00:00:34 ID:AIDaqSit
firewall-1のほうがいい。

47 :login:Penguin:2006/02/11(土) 09:13:15 ID:Sp5Bdg5h
>45
1秒間に5回だと思うお。

48 :login:Penguin:2006/02/11(土) 12:24:07 ID:mCUt6lKC
1秒間に5回許可するにはどうすればいいんだろ。

0.2/s  ?


49 :login:Penguin:2006/02/11(土) 13:20:50 ID:0cVrDx46
>>47
http://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO-7.html

>iptables -A FORWARD -m limit -j LOG
これ見ると、
limitのデフォルトが20分(3/hour)で、limit-burstのデフォルトが5だから、
20分の間に5以上あったらそれ以降DROPって書いてあるけど、
どうなんだろ?

>>48
俺の見解だと
-m limit 1/s -j ACCEPT

50 :47:2006/02/11(土) 16:55:14 ID:Sp5Bdg5h
>49
ごめんなさい。まちがえました。


51 :login:Penguin:2006/02/12(日) 05:08:21 ID:7VrYtKU0
> -m limit 1/s -j ACCEPT
それだと、バーストの指定がされてないんで、
1/1000秒に5パケットでも止まらない。

-m limit --limit 12/m --limit-burst 1 -j ACCEPT

上の書き方をした場合、1パケット目は条件にマッチし、
その後5秒間(1/12分)はマッチしなくなる。

今までずっと動いてるものと思って確認してなかったんで、
実は動いてなかったら泣く。。。(;´Д⊂)


52 :login:Penguin:2006/02/12(日) 11:10:38 ID:MPTsoJ+a
>>51
limit-burst のデフォルトは 5
君のは5分間に1回しかじゃない?
俺がレスしたのは1秒間に5回なんだけど。

53 :login:Penguin:2006/02/12(日) 14:07:40 ID:7VrYtKU0
>>52
> 君のは5分間に1回しかじゃない?
それはどっから湧いてきた数字だ?

> 俺がレスしたのは1秒間に5回なんだけど。
そうはならないな。


54 :login:Penguin:2006/02/12(日) 14:21:34 ID:MPTsoJ+a
>>53
すまん
--limit 12/m

--limit 12/h
に見間違えた

>>48
>>49

55 :login:Penguin:2006/02/12(日) 14:34:33 ID:7VrYtKU0
>>54
前半は分かったけど、後半はどうなん?

> -m limit 1/s -j ACCEPT
これはあくまでも1秒間に1パケットの指定だろ?

--limit-burstが5だから、初めは5パケットまでいけるけど、
継続してパケットが到着した場合に、1秒間で1パケットしか
復活しないとなると、それは意図した動作じゃないのでは?


56 :login:Penguin:2006/02/12(日) 14:46:46 ID:MPTsoJ+a
>>55
え?君のは5秒間に1回のみ許可だと思うけど。
最初のパケットは、ACCEPTされるけど、5秒以内に同じパケットが来たら、別の処理だろ?
そして5秒に1度バーストが回復する。
つまり5秒に1度しか受け付けない。

だと思うんだけど、どこにその処理を求めるレスがあったのかがわからない。

57 :login:Penguin:2006/02/12(日) 14:50:20 ID:MPTsoJ+a
と言うことは1秒間に5回のみACCEPTというのは

-m limit 5/s -j ACCEPT
(-m limit 5/s --limit-burst 5 -j ACCEPT)

と言うのが正解?

これなら0.2秒でバーストが回復するから実質的に1秒間に5回って事かな

58 :login:Penguin:2006/02/12(日) 19:34:18 ID:7VrYtKU0
>>56
元ネタの提供は>>43ね。

> 本来なら、5秒間に1回のPingのみを受理して欲しいのですが、
↑これがそう。

で、それが解決する前に>>48が1秒間に5回の場合のネタ振って
話が逸れたけど、結局のところlimitの分かりにくさの話ではある。

>>57
そうそう、そういうこと。


59 :login:Penguin:2006/02/14(火) 17:40:39 ID:VGzO3A6v
iptabels用のシェルスクリプトが紛失している場合、現在saveしているフィルタリングの内容を
シェルスクリプトに生成しなおすような事って出来ないんでしょうか?
やっぱり-Lで表示しているのを元に書き直すしかないんでしょうか?

60 :login:Penguin:2006/02/14(火) 18:22:13 ID:hXccECX0
ものによるけどCentOSなら
/etc/sysconfig/iptables.save
が今セーブされているやつ

61 :login:Penguin:2006/02/15(水) 03:43:13 ID:I+2RE0fx
>>60
debianってそういうのある?

62 :login:Penguin:2006/02/15(水) 06:08:07 ID:U3aF0Irf
>>61
dabianいじったことないけど、
どこかしらに保存されているはず。

63 :login:Penguin:2006/02/15(水) 07:48:22 ID:hLM2TSS7
>>62
/var/lib/iptables/active

64 :login:Penguin:2006/02/15(水) 19:54:50 ID:pFaenui0
Webサーバのレスポンスが異常に悪いので、
何が原因か調べていました。

そうしたらなんと、

iptables -P INPUT ACCEPT
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -F
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
iptables -P INPUT DROP

こんな感じに、ポート80へのインバウンド接続の許可をやってませんでした。
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
これを追加したらはやくなったのですが・・・。


質問なのですが、何故、速度が非常に遅いだけでポート80へのアクセスを許可していないのにも関わらず、
Webサーバにつながったのでしょうか?

ご教示お願いします。


65 :login:Penguin:2006/02/15(水) 20:00:56 ID:BtY9uoRt
>>63
iptables の README.Debian (の 1. upgrade notes のとこ) 読んだほうがいいんじゃないか?

66 :login:Penguin:2006/02/15(水) 20:05:45 ID:PrFj9feQ
>>64
>iptables -A INPUT -i lo -j ACCEPT
127.0.0.1:80でコネクトしてない?

67 : ◆/UXtw/S..2 :2006/02/15(水) 21:41:01 ID:lHSZilu7
>>64

iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

で、一定量の TCP 新規接続を許可してるから。


68 :64:2006/02/15(水) 21:43:24 ID:pFaenui0
>>66
ご回答ありがとうございます。

iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

ポート80へのインバウンド接続の許可(iptables -A INPUT -p tcp --dport 80 -j ACCEPT)を行っていない状況でも、
この2行があれば非常に遅い(※1)ですが通信できましたが、この2行を削除したら完全に接続できなくなったようです。

※1
画像まで表示させるには大量のリロードが必要だったりページ自体へアクセスできる確率が半分以下だったり、
一般のブラウザで30秒近く表示されないこともある。

もっと実験したいところですが、実働しているサーバなので、これ以上実験するとまずそうですので、
実験環境を作っていろいろ試してみようと思います。


69 :64:2006/02/15(水) 21:47:39 ID:pFaenui0
>>67
ありがとうございます。
SYNフラッド対策としてその1行を加えるべきだという解説をしているサイトが結構あったので、
「Pingを1秒に1回許可する。」みたいに「SYNというPingみたいなもんを1秒に1回許可する。」ような設定だと勘違いしていました。
http://www.google.co.jp/search?hl=ja&q=%22iptables+-A+INPUT+-p+tcp+--syn+-m+limit+--limit+1%2Fs+-j+ACCEPT%22&btnG=Google+%E6%A4%9C%E7%B4%A2&lr=lang_ja

70 :login:Penguin:2006/02/15(水) 22:12:38 ID:hLM2TSS7
>>65
woodyからdist-upgradeした場合ね。

71 :login:Penguin:2006/02/15(水) 22:16:20 ID:U3aF0Irf
>>69
iptablesでは 先に実行されたコマンドが優先されるから、
synフラッド対策のコマンドの前に
iptables -A INPUT -i eth0 -p tcp -m state --state NEW --destination-port 22 -j ACCEPT
(ただし、グローバルにつながっているデバイスがeth0)
すれば解決。

72 :login:Penguin:2006/02/15(水) 22:17:20 ID:U3aF0Irf
すまん上の 22 じゃsshだw 80に書き換えてね

73 :login:Penguin:2006/02/15(水) 23:28:09 ID:BtY9uoRt
>>70
いや、だから Sarge 以降のインストーラを使った人は
/var/lib/iptables/ というディレクトリ自体がないんじゃないの?
# うちは Woody から dist-upgrade したのばっかりだから確認してないけど、
# dpkg -L iptables を見たかぎりでは、ない。
つまり >>63 の回答はいささか不適切なのでは?
/var/lib/iptables/active があるのは、
/etc/init.d/iptables がある環境 (Sarge の iptables にはない) で、
sudo /etc/init.d/iptables save active (あるいは save_active) した場合でしょ。
>>61 への回答としては、「ない」というのがふさわしいかと。
自分で iptables-save 使わないかぎり、ないんだから。
README.Debian では /etc/iptables.up.rules (/etc/iptables.down.rules) を
使う例をあげたりもしてる (もちろんそのファイルは自分で作る)。

74 :login:Penguin:2006/02/16(木) 00:50:48 ID:K90nrbnE
>>73
woodyからって書いてあるじゃん

75 :login:Penguin:2006/02/16(木) 13:34:07 ID:Utn4ixIB
ではsarge以降の場合は?

76 :67 ◆/UXtw/S..2 :2006/02/16(木) 23:55:22 ID:e8JdZL9s
>>69

いいことを教えてやろう。

分かっている人は、わざわざ分かっているこ
とを www に作業の記録として残す必要がな
い。

だから、www に作業の記録として残ってるよ
うな情報の質なんて余り高くないと思って間
違いない。

というわけで、まずはちゃんと JF とか man
ページとか読んでくれ。


77 :login:Penguin:2006/02/17(金) 00:13:25 ID:8LJubZnx
>>76
俺アホだからけっこう忘れちゃうから、
テキストに残してるよ。
この値はこんな意味を持っていて、こういうときにいじると〜だとか。
プログラムだったらサンプルコードの専用のディレクトリ作ってそこに用途別に保存したり。
みんな忘れないもんなの?

78 :login:Penguin:2006/02/17(金) 00:27:07 ID:4hf1A87R
>>77
> みんな忘れないもんなの?
普通はスクリプトにして残しとくじゃん?

で、こないだディスク死んだときにバックアップ探したんだけど、
どうしても見つからなくて、慌てて一から書き直したがwwwwww


79 :login:Penguin:2006/02/17(金) 00:49:42 ID:8LJubZnx
>>78
あ、俺もiptablesに関してはスクリプトで残してる。
サーバとかは設定ファイルごと保存したり。

80 :login:Penguin:2006/02/17(金) 01:46:03 ID:MxIekRNL
RTFM

81 :login:Penguin:2006/02/17(金) 02:04:44 ID:8LJubZnx
>>80
はいはいワロスワロス
ドキュメントの自分が必要な部分をまとめて文書化してるだけですよ

82 :login:Penguin:2006/02/17(金) 02:53:36 ID:4hf1A87R
日本国内のMLや掲示板でRTFMとか書いてる低脳は放置で。


83 :login:Penguin:2006/02/17(金) 08:35:23 ID:MxIekRNL
なんて被害妄想なんだろうwww


84 :login:Penguin:2006/02/17(金) 15:55:54 ID:4hf1A87R
相手にされなかったことがそんなに悔しかったのか?


85 :login:Penguin:2006/02/17(金) 16:28:58 ID:MxIekRNL
悔しいもなにも、RTFM は >76 についてレスしたつもりだったんだけど。
Fine の意味でね。
それから、スクリプトを取っておく作業は誰でもやってることだし、自分もそうする。

いつも、そんな喧嘩ごしなの?


86 :login:Penguin:2006/02/17(金) 17:18:17 ID:4hf1A87R
RTFMに“Fine”の意味はありません。
誹謗中傷の次は見苦しい言い訳と論点ズラしですか?

87 :login:Penguin:2006/02/17(金) 17:28:26 ID:E5lP6Xlb
fの意味するところは諸説あるが、実際に使われるケースの殆んどはあの単語だ罠

88 :login:Penguin:2006/02/17(金) 18:22:13 ID:MxIekRNL
>86
ごめんな。


89 :login:Penguin:2006/02/17(金) 19:20:16 ID:4hf1A87R
>>87
fをfineの頭文字としたところで、文脈上肯定的な表現にはなり得ない。
それはマニュアル作った奴に対する話でしかないし、
fuckin'がかかってるのはmanualじゃないって説もある。
そもそもの話として、fuckin' greatなら最上級の褒め言葉であり、
あの言葉自体の意味は相当に曖昧。

fuckin'だろうとfineだろうと、読み手に対して「読め」と命令するだけなら、
初めからチラシの裏にでも書いとくか、勝手に見下して陰でニヤニヤしてろって話。
ただ威張りたいだけで、人にモノを教えるのがそんなにイヤなら黙ってろと。


90 :login:Penguin:2006/02/17(金) 21:16:16 ID:omFPvqI6
初心者です。iptablesの使い方についていちから教えてください。
RTFMとかドキュメント嫁とだけ書き込む人は返答は不要です。

91 :login:Penguin:2006/02/17(金) 21:56:43 ID:PN2x1RuM
返答の形式について文句を垂れるような奴は不要です。

92 :login:Penguin:2006/02/17(金) 22:54:22 ID:4hf1A87R
>>90
自分より下の奴がいないと不安でしょうがないのか?


93 :login:Penguin:2006/02/18(土) 12:26:16 ID:pR4sac24
やっと土日開放されたんだから遊ばせてやれ。

94 :login:Penguin:2006/02/18(土) 19:48:24 ID:ouAy6Dzu
そういやFC5にGCC4.1は結局間に合うの?

なんかもう諦めたような感じを受けているけど


95 :login:Penguin:2006/02/19(日) 00:56:56 ID:GpvC0cMf
通りすがりだけど
>>89 キモイ
早口で変なこといいながら襲ってくるオタクみたいだぞ
とりあえず落ち着け!
匿名の掲示板で場の空気を悪くしてまで優位に立つ(それで立てるかは別として)

96 :login:Penguin:2006/02/19(日) 00:57:47 ID:GpvC0cMf
必要はないでしょ
楽しくやろうぜ

97 :login:Penguin:2006/02/19(日) 00:59:42 ID:GnlDjTWS
吉野家コピペじゃないけどギスギスしてたほうが2chらしくていいと思う。

98 :login:Penguin:2006/02/19(日) 04:29:02 ID:atoXonGC
まぁ大抵予定調和だし、ディスプレイの向こう側で本気で怒ってる馬鹿は
そう多くはないからなw

優位とか訳の分からない妄言吐いてる>>95みたいのが一番迷惑。
精神的に未熟かつ脆弱な人はヤフーの掲示板でも行ったほうがいいよ。


99 :login:Penguin:2006/02/19(日) 04:49:43 ID:6UbP30PD
ID変わった直後に「通りすがりだけど」warata

100 :login:Penguin:2006/02/20(月) 06:29:44 ID:bWJtKs/w
第三者っーか第四者ぐらいからすれば、下らない。どーでも良い。

ちゃねらーとしては、ニヤニヤ。


79 KB
■ このスレッドは過去ログ倉庫に格納されています

★スマホ版★ 掲示板に戻る 全部 前100 次100 最新50

read.cgi ver 05.04.00 2017/10/04 Walang Kapalit ★
FOX ★ DSO(Dynamic Shared Object)