[vine-users:059434] Re: iptables と FORWARD

[Takayoshi Tabuchi <tabuchi@xxxxxxxxxxxxx>]

はじめまして。田淵と申します。

  koyamaさんと私のうちは ルーター兼オールインサーバーで
同じ状況なのだと解釈しています。

  以下は, 自分のマシンでの設定です。これで 動いています。
サンプルとして見て下さい。(はずかしいけど) 
勝手に改行されていますが, $IPTABLES から ACCEPTまでは1行です。

$IPTABLES="/sbin/iptables"
$IPTABLES -F INPUT
$IPTABLES -F OUTPUT
$IPTABLES -t nat -F PREROUTING
$IPTABLES -F FORWARD
$IPTABLES -t nat -F POSTROUTING

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -P FORWARD DROP
$IPTABLES -t nat -P POSTROUTING ACCEPT
####  INPUT OUTPUT #############
#for DNS
#echo "local DNS"
#for DNS client
$IPTABLES -A OUTPUT -o $EXT_IF -p udp -s $EXT_IP --sport $UNPRIVPORTS 
-d $ANYWHERE --dport 53 -j ACCEPT
$IPTABLES -A INPUT  -i $EXT_IF -p udp -s $ANYWHERE  --sport 53 -d $EXT
_IP --dport $UNPRIVPORTS  -j ACCEPT
$IPTABLES -A OUTPUT -o $EXT_IF -p tcp -s $EXT_IP --sport $UNPRIVPORTS 
-d $ANYWHERE --dport 53 -j ACCEPT
$IPTABLES -A INPUT  -i $EXT_IF -p tcp ! --syn -s $ANYWHERE --sport 53 
-d $EXT_IP --dport $UNPRIVPORTS  -j ACCEPT

###  FORWARD ########################

#for ICMP
echo "LAN ICMP"
$IPTABLES -A FORWARD -p icmp -j ACCEPT

#for DNS
#echo "LAN DNS client"
#for DNS client
$IPTABLES -A FORWARD -o $EXT_IF -p udp -d $ANYWHERE --dport 53 -j 
ACCEPT
$IPTABLES -A FORWARD -i $EXT_IF -p udp -s $ANYWHERE --sport 53 -d $
LANIP --dport $UNPRIVPORTS  -j ACCEPT
$IPTABLES -A FORWARD -o $EXT_IF -p tcp -d $ANYWHERE --dport 53 -j 
ACCEPT
$IPTABLES -A FORWARD -i $EXT_IF -p tcp ! --syn -s $ANYWHERE --sport 53
 -d $LANIP --dport $UNPRIVPORTS  -j ACCEPT

#########################################
# masq 
#  IP マスカレード
# In the NAT table (-t nat), Append a rule (-A) after routing
# (POSTROUTING) for all packets going out external interface (-o $EXT_
IF) which says to
# MASQUERADE the connection (-j MASQUERADE).
$IPTABLES -t nat -A POSTROUTING -o $EXT_IF -s $LANIP -j MASQUERADE

--
Takayoshi Tabuchi
buchi@xxxxxxx
http://www.tab2.jp/