This is an archive of past FreeBSD releases; it's part of the FreeBSD Documentation Archive.

PPP フィルタとの戯れ
PPP - Pedantic PPP Primer
Prev Chapter 6. 熱心な学習者への練習問題 �

6.2. PPP フィルタとの戯れ

PPP プログラムには, PPP 経由のトラフィックに対して, 選択的にフィルタをかける能力があります. これが正式のファイアウォールほどセキュアーだとはとても言えませんが, リンクの使用についてある種のアクセス制御を提供することはできるのです.

(FreeBSD システムをよりセキュアーにする方法を知りたい方は 'man ipfw' してください)

PPP 下で使用できる様々なフィルタとその制御法についての完全な説明は PPP の man にあります.

PPP プログラムに適用できる制御法には四つのクラスがあります.



以下は実際に稼働しているオペレーティングシステムから一部拝借して来たものです. このシステムは「通常の」インターネットオペレーションに十分な素地を提供しつつ, PPP がすべてのデータをダイアルアップ接続越しにやり取りすることのないようにしています. 各ルールセットのロジックを解説する簡単なコメントをつけてあります.

    #
    # KeepAlive フィルタ
    # ICMP,DNS と RIP パケットが流れても「通信中」とはみなさない
    #
     set afilter 0 deny icmp
     set afilter 1 deny udp src eq 53
     set afilter 2 deny udp dst eq 53
     set afilter 3 deny udp src eq 520
     set afilter 4 deny udp dst eq 520
     set afilter 5 permit 0/0 0/0
    #
    # ダイアルフィルタ
    #  注意:  この設定では ICMP もダイアルアウトのトリガになる
    #
     set dfilter 0 permit 0/0 0/0
    #
    # ident パケットの通過を許可する
    #
     set ifilter 0 permit tcp dst eq 113
     set ofilter 0 permit tcp src eq 113
    #
    # インターネットへの telnet 接続を許可する
    #
     set ifilter 1 permit tcp src eq 23 estab
     set ofilter 1 permit tcp dst eq 23
    #
    # インターネットへの ftp アクセスを許可する
    #
     set ifilter 2 permit tcp src eq 21 estab
     set ofilter 2 permit tcp dst eq 21
     set ifilter 3 permit tcp src eq 20 dst gt 1023
     set ofilter 3 permit tcp dst eq 20
    #
    # DNS への問い合わせを許可する
    #
     set ifilter 4 permit udp src eq 53
     set ofilter 4 permit udp dst eq 53
    #
    # DNS ゾーン転送を許可する
    #
     set ifilter 5 permit tcp src eq 53
     set ofilter 5 permit tcp dst eq 53
    #
    # ローカルネットワークから / へのアクセスを許可する
    #
     set ifilter 6 permit 0/0 192.168.1.0/24
     set ofilter 6 permit 192.168.1.0/24 0/0
    #
    # ping と traceroute への返答を許可する
    #
     set ifilter 7 permit icmp
     set ofilter 7 permit icmp
     set ifilter 8 permit udp dst gt 33433
     set ofilter 9 permit udp dst gt 33433
    #
    # cvsup を許可する
    #
     set ifilter 9 permit tcp src eq 5998
     set ofilter 9 permit tcp dst eq 5998
     set ifilter 10 permit tcp src eq 5999
     set ofilter 10 permit tcp dst eq 5999
    #
    # 時間の同期のために NTP を許可する
    #
     set ifilter 11 permit tcp src eq 123 dst eq 123
     set ofilter 11 permit tcp src eq 123 dst eq 123
     set ifilter 12 permit udp src eq 123 dst eq 123
     set ofilter 12 permit udp src eq 123 dst eq 123
    #
    # SMTP もいいかも!
    #
     set ifilter 13 permit tcp src eq 25
     set ofilter 13 permit tcp dst eq 25
    #
    #
    # `whois` を多用するので, これも通す
    #
     set ifilter 14 permit tcp src eq 43
     set ofilter 14 permit tcp dst eq 43
     set ifilter 15 permit udp src eq 43
     set ofilter 15 permit udp dst eq 43
    #
    # 上記のどのルールにもマッチしない場合, パケットはブロックされる.
    #-------


フィルタクラス一つにつき, 20 個までのフィルタリングルールを適用することができます. 各クラスのルールは 0 から 20 までの連続した数字である必要がありますが, あるフィルタクラスに対するルールは, ルールセット '0' が定義されるまでは有効になりません!

PPP の設定でフィルタリングルールを使用しない場合, ISP への接続中はすべてのトラフィックがシステムに出入りすることになります.

フィルタリングルールを使用したいなら, 上記の設定を /etc/ppp/ppp.conf ファイルの "default:", "demand:", または "interactive:" セクションのどれか (あるいはすべて - 選ぶのはあなたです) に追加してください.

Prev Home �
熱心な学習者への練習問題 Up �